DDR4 DRAM 칩의 적절하지 않은 Rowhammer 패치로 인해 비트 플리핑 공격 다시 가능해져

Poor Rowhammer Fixes On DDR4 DRAM Chips Re-Enable Bit Flipping Attacks

Rowhammer 취약점을 기억하시나요? 이는 최신 DRAM 칩에 존재하는 치명적 이슈로 공격자가 타깃 시스템에서 반복적으로 메모리 셀에 접근해 비트 플립을 유도하여 높은 커널 권한을 얻을 수 있도록 허용합니다.

많은 메모리 칩 생산 업체에서는 최신 DDR4 DRAM에서 Rowhammer 취약점을 완화하기 위해 피해 행이 한계점을 넘어 접근할 경우 인접 행을 리프레시하는 TRR(타깃 행 리프레시)을 적용했습니다.

하지만 TRR 방식을 적용하더라도 공격자가 새로운 해머링 패턴을 통해 최신 하드웨어에서 빗 플립 공격이 가능하도록 재활성화 할 수 있는 것으로 나타났습니다.

새로운 Rowhammer 퍼징 툴인 TRRespass

이 새로운 취약점은 VUSec Lab의 연구원들이 발견했으며 CVE-2020-10255로 등록되었습니다. 이들은 실제 공격에 적용할 수 있는 정교한 해머링 패턴을 식별 가능한 오픈 소스 블랙박스 RowHammer 퍼징 툴인 ‘TRRespass’를 공개했습니다.

연구원들은 TRRespass 퍼징 툴에 대해 해머링을 위해 DRAM 내 다양한 위치의 다른 랜덤 행들을 반복적으로 선택하며, 메모리 컨트롤러나 DM 칩의 구현 여부를 알 수 없을 때에도 동작한다고 밝혔습니다.

게다가 이 최신 취약점은 최신 스마트폰 대부분에 내장된 LPDDR4 및 LPDDR4X에도 영향을 미칩니다. 이에 기기 수 백만대가 다시 RowHammer 공격에 취약한 상태가 되었습니다.

<이미지 출처: https://download.vusec.net/papers/trrespass_sp20.pdf>

연구원들은 “단순화한 TRRespass 버전을 ARM으로 포팅해 구글 픽셀 3과 삼성 갤럭시 S10을 포함한 다양한 스마트폰에서 비트플립에 성공했습니다.”라 밝혔습니다.

TRR 방식은 인접 행의 활동 수를 세어 선정의된(pre-defined) 값과 비교하는 방식으로 잠재적 피해 행을 식별합니다. 하지만 공격 행을 통한 비트 플립을 효과적으로 완화하기 위해 동시에 접근한 모든 행에 대한 정보를 유지할 수 없습니다.

“알려진 Rowhammer 변종은 공격을 실행하기 위해 최대 2개의 공격 행을 사용합니다. TRR은 소수 행에서 빈번한 접근이 발생할 경우 쉽게 모니터링 가능합니다. 하지만 더 많은 공격 행을 사용할 경우에도 막을 수 있을까요?”

“TRR은 한 번에 적은 수의 공격 행 만을 추적할 수 있기 때문에, 많은 공격 행을 사용할 경우 TRR을 압도할 수 있을 것입니다. DDR4 칩은 이 공격에 더욱 취약합니다. 비트 플립을 발생시키기 위해 각 공격행에 접근해야 하는 횟수를 줄일 수 있기 때문입니다. 즉 완화법을 우회하기 위해 공격 행의 횟수를 늘릴 수 있다는 의미입니다.”

연구원들은 메모리 제조 업체 3곳(전체 시장의 약 99%)의 DIMM 42개에 TRRespass를 테스트한 결과 12개에서 비트 플립 현상을 발견했다고 밝혔습니다.

VUSec 팀은 작년 이 공격에 영향을 받는 모든 조직에 새로운 RowHammer 공격에 대해 제보했으나 안타깝게도 가까운 시일 내 패치될 가능성은 없을 것으로 보입니다.

출처 :

https://thehackernews.com/2020/03/rowhammer-vulnerability-ddr4-dram.html

https://www.vusec.net/projects/trrespass/