새로운 Spectre v2 공격 변종, 단 몇 분 만에 리눅스 root 비밀번호 해시 유출

Branch Target Reuse(BTR)라는 새로운 Spectre v2 공격 변종이 리눅스를 구동하는 인텔 컴퓨터에서 단 몇 분 만에 root 비밀번호 해시를 복구할 수 있는 것으로 밝혀졌다.

BTR 공격은 JIT(just-in-time, 코드를 실행 시점에 실시간으로 생성하는) 엔진이 새 코드를 위해 메모리를 재사용한 뒤, 프로세서의 분기 예측기(branch predictor)에 남아있는 낡은 정보를 악용한다.

이 남겨진 정보를 조작함으로써, 공격자는 프로세서가 일시적으로 잘못된 명령을 실행하도록 속여 민감한 데이터를 노출시킬 수 있다.

VUsec(암스테르담 자유대학교 시스템·네트워크 보안 그룹)와 Scuola Superiore Sant'Anna 연구진이 이 새로운 공격을 고안했으며, Firefox의 JavaScript 엔진인 SpiderMonkey, GraalVM, 그리고 리눅스 커널의 cBPF를 대상으로 실제 활용 가능성을 평가했다.

VUSec의 Cristiano Giuffrida는 BleepingComputer에, 2018년 이후 업계에서는 자체 수정 코드(self-modifying code, SMC)가 상용 JIT 엔진의 동적 코드 생성 기반이 되기 때문에 이런 유형의 공격이 실용적이지 않다고 여겨져 왔다는 점에서 이번 공격이 중요한 발견이라고 설명했다.

BTR은 그 반대임을 보여준다. SMC 기반 투기적 실행(transient execution) 공격이 실제 환경에서 실용적이라는 것을 입증했으며, 이를 통해 root 비밀번호 해시를 유출할 수 있다.

연구진은 영향을 받는 벤더에 이를 통보했고, 해당 문제에는 CVE-2026-64507과 CVE-2026-64508이라는 식별자가 부여됐다. 리눅스 커널에는 이미 수정 사항이 반영됐다.

BTR, root 비밀번호 해시를 유출하다

Spectre-v2 투기적 실행 사이드채널 공격에서는 CPU가 잘못 예측된 분기 목적지에서 명령을 잠시 실행하도록 유도되며, 이를 통해 CPU 캐시로 데이터가 노출될 수 있다.

그 변종인 BTR은 해당 목적지의 코드가 교체된 이후에도 이전 예측을 재사용함으로써 이를 수행한다고 연구진은 기술 논문에서 설명한다.

이 새로운 공격은 JIT로 컴파일된 코드와 CPU의 분기 예측기 사이의 간극을 악용한다. 구체적으로, JIT 엔진이 코드를 해제하고 같은 주소에 새 코드를 배치하면, CPU는 여전히 이전 코드의 간접 분기 목적지를 기억하고 있을 수 있다.

이후 분기 지점—CPU가 다음에 실행할 명령을 결정하는 지점—에서, CPU는 정상적인 실행이라면 다른 곳으로 가야 함에도 불구하고, 그 낡은 목적지에 있는 새 코드를 투기적으로 잠시 실행할 수 있다.

BTR 공격 개요

출처: VUSec

리눅스 테스트에서 연구진은 권한이 없는 classic BPF 프로그램을 사용해 해당 예측을 학습시키고, 원래 프로그램을 해제한 뒤, 재사용된 메모리에 다른 프로그램을 배치했다.

낡은 목적지 정보로 인해 CPU는 잘못 정렬된 오프셋에서 공격자가 조작한 명령을 실행하게 됐고, 이는 투기적 실행 중 데이터 접근을 발생시켜 측정 가능한 캐시 흔적을 만들어냈으며, 연구진은 이를 통해 데이터를 바이트 단위로 추론할 수 있었다.

이어서 연구진은 실행 중인 'su' 프로세스를 찾아내 초당 8바이트의 속도로 해당 프로세스 메모리에서 root 비밀번호 해시를 복구했다.

"우리는 Raptor Cove와 Lion Cove 양쪽에서 엔드투엔드 익스플로잇을 평가했으며, 평균적으로 각각 3분과 5분 안에 비밀번호를 유출했다"고 연구진은 밝혔다.

실용적인 관점에서, 비밀번호 해시를 유출하는 것이 평문 비밀번호를 얻는 것과 같지는 않다. 하지만 공격자는 오프라인에서 또는 클라우드 컴퓨팅 자원을 이용해 해당 해시를 크래킹(crack, 무차별 대입 등으로 원문을 알아내는 것)을 시도할 수 있으며, 성공 여부는 해싱 알고리즘과 비밀번호의 강도에 달려 있다.

공개된 기술 논문은 리눅스 cBPF를 대상으로 한 두 가지 엔드투엔드 익스플로잇을 보여준다. 하나는 기본 설정 상태, 다른 하나는 constant blinding 하드닝(강화) 옵션이 활성화된 상태다.

후자의 경우, 익스플로잇은 공격자가 제어하는 명령을 점프 오프셋에 인코딩하도록 조정되었으며, 여전히 5분 안에 해시를 복구할 수 있었다.

constant blinding 하드닝에 맞게 조정된 익스플로잇

출처: VUSec

연구진은 또한 Firefox의 SpiderMonkey와 Oracle의 GraalVM을 별도의 JIT 엔진으로서 BTR 노출 여부를 조사했다.

SpiderMonkey에서는 VUSec의 개념 증명(proof-of-concept)이 코드 재사용 이후에도 낡은 예측이 남아있음을 보여줬지만, 완전한 브라우저 익스플로잇으로 이어지지는 않았다.

GraalVM에서는 연구진이 샌드박스 검사를 투기적으로 건너뛸 수 있는 방법을 확인했지만, 엔진의 동작으로 인해 예측 정보가 지워져 실험에서는 공격을 완료하지 못했다.

실제 환경에 대한 영향과 관련해, 연구진은 대부분의 최신 하드웨어가 이 새로운 BTR 공격에 취약하다고 지적한다.

"간접 분기 예측은 최신 CPU에 본질적으로 내재된 기능이며, BTR은 분기 예측기와 실제 코드 상태 사이의 동기화 불일치(desynchronization)를 악용한다"고 VUSec은 설명했다.

"현재 어떤 CPU도 이 둘을 동기화 상태로 유지하는 메커니즘을 갖고 있지 않다. 따라서 벤더가 그런 메커니즘을 추가하기 전까지는 여러분의 CPU도 취약하다."

"우리는 테스트한 모든 CPU, 즉 인텔, AMD, Arm 전반에서 이러한 동작을 확인했다."

사용자에게는 OS 및 펌웨어 업데이트 적용이 권고되며, 리눅스 사용자는 최신 커널 버전으로 업그레이드할 것이 권장된다.

투기적 실행 및 CPU 마이크로아키텍처 공격에 관한 VUsec의 이전 연구로는 RIDL, BHI, SLAM 등 최신 프로세서를 대상으로 한 공격들이 있다.