Phoenix: новая аппаратная уязвимость в DDR5, угроза — получение прав root за минуту

Группа исследователей из ETH Zürich обнародовала вариант Rowhammer-атаки, получивший имя Phoenix. По результатам тестов, атакующий может вызвать контролируемые «битфлипы» в ряде DDR5-модулей и в некоторых конфигурациях повысить привилегии до уровня root за минуты.

Механика проста по сути и опасна по последствиям. Phoenix использует особенности реализации механизма Target Row Refresh и интервалы обновления памяти, в результате чего появляются «слепые» окна, в которых повторяющиеся обращения к определённым строкам памяти приводят к ошибкам в соседних строках. Это позволяет изменить данные в памяти, нарушить целостность ключевых структур и, при удачном стечении обстоятельств, перескочить на код с более высокими привилегиями.

Реакция вендоров «железа» уже есть. AMD опубликовала служебный бюллетень с рекомендациями по снижению рисков и планами по обновлению платформенных компонентов; в ряде случаев компания указывает на необходимость корректировки прошивок и BIOS. При этом авторы исследования предупреждают: полностью устранить проблему программным патчем невозможно: уязвимость заложена на аппаратном уровне.

Что делать администраторам и инженерам прямо сейчас. Первое - провести инвентаризацию систем и выделить машины с DDR5-модулями от производителей, упомянутых в отчёте. Второе - установить рекомендованные обновления BIOS и микрокода, где они уже выпущены; это снижает риски в ряде сценариев. Третье - ограничить привилегированный доступ и усилить мониторинг аномальной активности в узлах с новой памятью. Наконец, для критичных сред стоит подготовить план замены платформ, если тестирование подтвердит уязвимость в конкретных конфигурациях.

Phoenix — ещё один сигнал: аппаратные векторы атак становятся практичнее и заметнее. Для российских организаций это особенно важно там, где используются современные серверы и решения на базе DDR5, в том числе в продуктах отечественных вендоров и интеграторов.