TONTOU: Jurang Dua Arahan yang Membuka Semula Risiko Kebocoran Data Kernel

Bagaimana TONTOU memintas pertahanan Spectre v2?

Spectre v2, yang juga dikenali sebagai Branch Target Injection, memanfaatkan pelaksanaan spekulatif—keupayaan CPU melaksanakan arahan lebih awal berdasarkan ramalan. Jika ramalan itu dimanipulasi, kesan sampingannya boleh digunakan untuk membocorkan data melalui saluran sisi masa.

Mekanisme seperti eIBRS dan Safe RET cuba menghalang perkara ini dengan membersihkan atau mengasingkan keadaan peramal cabang apabila pemproses merentasi sempadan keistimewaan, contohnya ketika beralih daripada ruang pengguna kepada kernel .

TONTOU menyerang andaian asas di sebalik pertahanan itu. Penyerang menyusun suntikan gangguan (INTERRUPT INJECTION) yang sangat tepat masanya supaya gangguan perkakasan berlaku selepas keadaan peramal dibersihkan, tetapi sebelum kernel menggunakannya. Keadaan itu kemudian boleh “dicemarkan” semula dengan maklumat yang dipengaruhi penyerang .

Pada Safe RET AMD, jurang tersebut dilaporkan hanya selebar dua arahan . Walaupun sangat singkat, ia mencukupi untuk mengaktifkan semula kebocoran saluran sisi pelaksanaan spekulatif. Serangan itu juga tidak memerlukan keistimewaan pentadbir; penyerang hanya perlu dapat menjalankan kod ruang pengguna tanpa keistimewaan pada mesin sasaran .

Kesan yang berjaya ditunjukkan

Pasukan penyelidik membina eksploitasi hujung ke hujung dan mengujinya pada beberapa generasi pemproses:

• Intel Cascade Lake Refresh
• Intel Arrow Lake
• AMD Zen 2
• AMD Zen 4

Pada sistem AMD Zen 2 yang menjalankan Linux 6.14.0-37-generic, dengan 16 GB RAM dan perlindungan Spectre v2 lalai diaktifkan, eksploitasi itu berjaya membocorkan memori kernel arbitrari pada kadar 5.47 bait sesaat . Data yang diperoleh mempunyai ketepatan 91.97% .

Yang lebih membimbangkan, penyelidik berjaya mencari dan mengekstrak kandungan fail /etc/shadow—fail Linux yang menyimpan cincangan kata laluan—dalam lima daripada 10 percubaan. Setiap percubaan mengambil kira-kira 18 minit .

Bagi Intel, penyelidik menunjukkan pintasan separa terhadap eIBRS pada Cascade Lake Refresh dan Arrow Lake, walaupun permukaan serangannya berbeza daripada kes Safe RET pada AMD . Kaedah yang sama pula tidak mengesahkan kejayaan mengarahkan cabang secara salah pada AMD Zen 4 .

Tindakan AMD, Intel dan Linux

Pendedahan itu diselaraskan dengan AMD, Intel dan Arm pada 5 Februari 2026 . Susulan yang dilaporkan ialah:

• Pada 2 Jun 2026, tampalan kernel Linux dikomit oleh Borislav Petkov dari AMD dengan tajuk “x86/bugs: Make Safe-RET robust against interrupt injection” .
• Tampalan itu diterima ke dalam kernel Linux utama pada 5 Ogos 2026 .
• Pada 6 Ogos 2026, AMD menerbitkan buletin keselamatan AMD-SB-7061, bertajuk “Safe RET Interrupt Vulnerability”, yang menyenaraikan pemproses Zen 1 hingga Zen 4 sebagai terjejas . AMD menilai isu itu sebagai berkaitan dengan pelaksanaan Safe RET dalam Linux bagi mitigasi Speculative Return Stack Overflow (SRSO), bukannya semata-mata kelemahan seni bina pemproses .
• Pembetulan untuk CVE-2026-68480 dihantar dalam Linux 7.1.7, 6.18.43, 6.6.149 dan 6.1.181 .

Intel mengakui penemuan itu sepanjang proses pendedahan terkoordinasi dan memberikan ganjaran melalui program bug bounty. Bagaimanapun, syarikat itu memberitahu penyelidik bahawa ia tidak akan membangunkan mitigasi tambahan, antara lain kerana eksploitasi dunia sebenar bergantung pada faktor seperti ketersediaan disclosure gadgets .

Mengapa penemuan ini penting?

Serangan terdahulu seperti Spectre lazimnya menyasarkan mekanisme ramalan CPU. TONTOU pula menyasarkan pertahanan yang dibina untuk menghalang serangan tersebut. Ia menunjukkan bahawa proses “membersihkan” peramal dan proses “menggunakannya” tidak boleh dianggap sebagai satu operasi atomik yang tidak boleh diganggu.

Bagi pengguna Linux, pentadbir sistem dan penyedia perkhidmatan yang menjalankan kod daripada pengguna tidak dipercayai, langkah paling penting ialah memasang kemas kini kernel yang mengandungi pembetulan berkaitan. Pada masa yang sama, penemuan TONTOU mengingatkan industri bahawa keselamatan CPU tidak boleh bergantung pada tampalan perisian semata-mata—andaian pada peringkat seni bina perkakasan juga perlu diuji semula.