SFOP: ataque usa falhas de segmentação para burlar o Intel CET no Linux

Processadores modernos passaram a incluir proteções de hardware para impedir ataques de corrupção de memória. Uma dessas defesas é a Control‑Flow Enforcement Technology (CET) da Intel, criada para bloquear ataques de reutilização de código — técnica comum usada por invasores para executar código malicioso aproveitando instruções já existentes em um programa.

Mas novas pesquisas mostram que até mecanismos de hardware podem ser contornados quando interagem com comportamentos legítimos do sistema operacional.

Pesquisadores do CISPA Helmholtz Center for Information Security apresentaram uma técnica chamada Segmentation Fault Oriented Programming (SFOP), capaz de contornar o CET em sistemas Linux explorando a forma como o sistema lida com falhas de segmentação e sinais de erro. O trabalho foi discutido em contexto do IEEE Symposium on Security and Privacy 2026, um dos eventos mais importantes da área de segurança computacional.

O que é Segmentation Fault Oriented Programming (SFOP)

O SFOP é descrito como um ataque de reutilização de código serial, no qual o invasor provoca deliberadamente múltiplos crashes de um programa para controlar seu fluxo de execução.

Em vez de explorar diretamente retornos de função ou saltos indiretos — como ocorre em ataques tradicionais — o SFOP utiliza repetidas falhas de segmentação como mecanismo de controle.

O processo típico funciona assim:

• O atacante provoca um acesso ilegal à memória do programa.
• Isso gera uma falha de segmentação (SIGSEGV).
• O Linux ativa o manipulador de sinal registrado pelo programa.
• O manipulador prepara o próximo passo da exploração — geralmente causando outra falha.

Ao repetir esse ciclo várias vezes, o atacante cria uma cadeia controlada de eventos de falha, transformando cada crash em um estágio do ataque.

Por que o Intel CET deveria impedir esse tipo de ataque

A Control‑Flow Enforcement Technology (CET) é uma proteção de hardware introduzida pela Intel e adotada gradualmente desde as gerações Core de 10ª e 11ª geração. Ela foi projetada para impedir ataques que desviam o fluxo de execução de um programa.

Entre seus mecanismos estão:

• validação de endereços de retorno
• restrições para saltos indiretos
• proteção contra cadeias de gadgets usadas em ataques de reutilização de código

A ideia é impedir que invasores redirecionem o fluxo de execução para instruções inesperadas dentro do próprio programa.

Como o SFOP contorna o CET

O ponto-chave do ataque é que a entrega de sinais pelo sistema operacional é um fluxo de controle legítimo.

O SFOP explora exatamente esse comportamento.

De forma simplificada, o ataque funciona assim:

1. O programa é forçado a acessar uma região de memória inválida.
2. O Linux gera um sinal SIGSEGV.
3. O sistema transfere a execução para o manipulador de sinal registrado.
4. O manipulador executa código que prepara a próxima falha.
5. O processo se repete criando uma cadeia de execuções.

Cada manipulador de sinal se torna um elo em uma sequência de execução controlada pelo atacante.

Como a transição para o manipulador ocorre por meio de um mecanismo legítimo do sistema operacional, ela não viola diretamente as verificações de fluxo de controle impostas pelo CET.

Com várias iterações desse processo, o invasor pode combinar trechos de código já existentes no programa ou em suas bibliotecas para alcançar execução arbitrária de código.

O papel do mecanismo de sinais SIGSEGV no Linux

No Linux, aplicações podem registrar manipuladores para sinais como SIGSEGV, permitindo que programas tentem lidar com falhas de memória — por exemplo, registrando logs ou tentando recuperar o processo.

O SFOP transforma esse mecanismo de recuperação em uma ferramenta de ataque:

• provocando falhas de segmentação repetidamente
• acionando o manipulador de sinal várias vezes
• mudando o comportamento executado a cada etapa

Assim, o próprio sistema de tratamento de erros vira um bloco reutilizável de controle de fluxo para exploração.

Possíveis mitigações

Pesquisadores sugeriram diferentes estratégias para reduzir o risco desse tipo de ataque.

Endurecimento do kernel do Linux

Uma abordagem envolve alterações no comportamento de tratamento de sinais do kernel, para evitar que falhas de segmentação repetidas possam ser usadas como primitivas confiáveis de controle de fluxo.

Relatos públicos mencionam patches no kernel relacionados ao problema, embora detalhes técnicos completos ainda não estejam amplamente documentados nas publicações resumidas disponíveis.

Camada de proteção PLaTypus

Outra proposta é a camada de hardening PLaTypus, projetada para fortalecer proteções como o CET.

O objetivo principal é limitar transições de fluxo de controle entre bibliotecas diferentes dentro de um programa.

Pesquisadores observaram que ataques ainda conseguem redirecionar execução entre funções de bibliotecas distintas — algo que amplia bastante a superfície de exploração.

O PLaTypus reduz esse problema ao:

• restringir saltos indiretos entre bibliotecas
• manter transições dentro da mesma biblioteca sempre que possível
• permitir exceções apenas quando explicitamente autorizadas

De acordo com os relatos da pesquisa, essa abordagem pode reduzir mais de 98% dos alvos úteis de reutilização de código, com impacto mínimo no desempenho.

Por que essa descoberta é relevante

O SFOP reforça uma lição importante na segurança moderna: proteções de hardware sozinhas não são suficientes.

Mesmo mecanismos sofisticados como o Intel CET podem ser contornados quando atacantes encontram maneiras de redirecionar a execução usando mecanismos legítimos do sistema operacional, como o tratamento de sinais.

Para desenvolvedores de sistemas e engenheiros de segurança, o recado é claro: a proteção precisa considerar toda a pilha tecnológica — CPU, sistema operacional e bibliotecas — porque qualquer camada exposta pode se tornar um novo vetor de ataque.