POP SS デバッグ例外 - CVE-2018-8897 [中程度] & CVE-2018-1087 [重要]

Red Hat では、POP SS と MOV SS 命令の後でトリガーされる例外を Linux カーネルが処理する方法において不具合があることを認識しています。これらの問題は、パッチ未適用のシステムでサービス拒否につながる可能性があります。

これらの命令は、次の命令の後の命令の境界まで、割り込み、データブレークポイント、シングルステップトラップの例外の配信を保留します。Linux カーネーションと KVM テクノロジーでは、個別の問題が特定されています。

背景情報

最近のプロセッサーではデバッグインフラストラクチャーが提供されており、システム設計者やアプリケーション開発者がソフトウェアのデバッグにこれを使用しています。これにはデバッグレジスターのセット (DR0...DR7) や他のマシン固有レジスター (MSR) などがあります。ユーザーはこれらのレジスターが、メモリーアクセス (読み取りまたは書き込み)、命令実行および I/O ポートアクセスなどのイベントをモニターするように設定できます。プログラムの実行中にこのようなイベントが発生すると、プロセッサーはデバッグ例外 (#DB) を発生させて、実行制御をデバッグソフトウェア (例: gdb) に移します。これによりデバッグ例外がキャッシュされ、開発者はプログラムの実行状態を調べることができるようになります。たとえば、アドレス「0x4007c7」における読み取り/書き込みメモリーのアクセスをモニターするには、ユーザーはアドレス「0x4007c7」をデバッグレジスター DR0...DR3 のいずれかに保存し、プログラム実行中にメモリー「0x4007c7」の場所にアクセスがあった場合は、プロセッサーが #DB を発生させます。このようなデバッグレジスターのアドレス指定は、ブレークポイントと呼ばれます。

        Mov %DR0, 0x4007c7

通常、例外は命令の境界で発生します。例外を発生させる命令の前のすべての命令は完了することができ、例外を発生させている命令が保留されるので、例外が処理されれば、その命令は実行が再開されます。命令がタスクスイッチやスタックスイッチを発生させるというインスタンスでは、このような例外は命令の後で発生します。特に MOV SS や POP SS の場合、例外を引き起こしている命令は完了することができます。

謝辞

Red Hat は Everdox Tech LLC の Nick Peterson 氏が CVE-2018-8897を報告してくださったことに感謝いたします。また、
Andy Lutomirski 氏が CVE-2018-1087 を報告してくださったことに感謝いたします。

影響を受ける製品

Red Hat Product セキュリティーチームは、カーネルの問題 (CVE-2018-8897) の影響度を中程度と評価しています

Red Hat Product セキュリティーチームは、KVM の問題 (CVE-2018-1087) の影響度を重要と評価しています

以下の Red Hat 製品のバージョンが影響を受けます。

• Red Hat Enterprise Linux 5
• Red Hat Enterprise Linux 6
• Red Hat Enterprise Linux 7
• Red Hat Enterprise Linux Atomic Host
• Red Hat Enterprise MRG 2
• Red Hat Virtualization Hypervisor 4
• Red Hat Enterprise Virtualization Hypervisor 3

攻撃の詳細

よくあるスタックスイッチでは、2 つの操作があります。1 つ目は、スタックセグメントセレクター (SS) レジスターの読み込みで、もう 1 つはスタックポインターレジスター (RSP) を以下のように設定することです。

        Mov SS, [RAX]
        Mov RSP, RBP

上記のように MOV SS (または POP SS) 命令を介してスタックをスイッチした場合には、プロセッサーはすべての割り込みとデバッグ例外 (#DB) の配信を保留します。これは、セグメントセレクター (SS) レジスターが読み込まれた後 (ただし、スタックポインター (RSP) レジスターが適切に配置される前) に例外が発生すると、割り込みハンドラーは無効なスタック状態を発見するためです。つまり、スタックスイッチが実行された後の最初の命令の後に、プロセッサーは保留となっていた割り込みやデバッグ例外を配信します。

ここで、ブレークポイントが (上記の [RAX]) メモリーの場所に設定されており、スタックスイッチ中に Mov SS 命令によってアクセスされたとします。このブレークポイントは、スタックスイッチの後にブレークポイント例外 (#BP) を生成します。スタックスイッチ後の最初の命令が、SYSCALL、SYSENTER、INT3 などの現在の権限レベル (CPL 3) を変更するものであった場合、上記の遅延されたブレークポイント例外 (#BP) はカーネルスペースに配信され、権限のエスカレートが可能になります。