Um novo ataque Rowhammer, batizado de GPUThor, pode contornar as proteções de código corretor de erros, o ECC, em GPUs da NVIDIA, permitindo negação de serviço, DoS, e escalada de privilégios até o nível de root.
Em um artigo publicado pela Universidade de Toronto, os pesquisadores afirmam que o GPUThor alcança taxas de bit flip muito mais práticas do que conceitos anteriores, como o próprio GPUHammer ou o GPUBreach, que perderam relevância após a adoção do ECC.
O ataque foi demonstrado em GPUs de workstation da NVIDIA da classe Ampere, com memória GDDR6, incluindo as RTX A4000, RTX A4500, RTX A5000 e RTX A6000, todas amplamente usadas em IA e infraestrutura em cloud.
Rowhammer é o nome de uma classe de ataques em que linhas de memória são acessadas repetidamente, ou “marteladas”, de forma a aumentar a chance de bits em regiões vizinhas mudarem de estado, passando de 1 para 0 ou o contrário.
Isso pode causar corrupção de dados e abrir brechas de segurança. Como o treinamento de modelos de IA depende fortemente do poder das GPUs, um ataque Rowhammer bem-sucedido pode ter impacto devastador na precisão do modelo.
Para reduzir os riscos desse tipo de ataque, a NVIDIA usa mitigações como SECDED ECC, que corrige erros de um único bit e detecta erros de dois bits dentro dos blocos de memória monitorados.
Ainda assim, os pesquisadores da Universidade de Toronto ajustaram o GPUThor para que o martelamento seguisse um padrão não uniforme, em uma taxa capaz de evitar a ativação das mitigações Target Row Refresh, TRR, da GDDR6.
Eles fizeram isso levando em conta dois comportamentos não documentados das GPUs: como requisições repetidas de memória são combinadas e com que frequência o TRR é ativado.
Segundo os pesquisadores, em comparação com conceitos anteriores de ataque, esse ajuste gerou 6,6 vezes mais ativações de linhas agressoras e chegou a entre 72.000 e 377.000 flips por GB nas GPUs testadas sem proteções de ECC.
Os resultados são entre 4.548 e 23.597 vezes superiores aos do GPUHammer, o ataque anterior dos próprios pesquisadores, e se aproximam das taxas de bit flip obtidas por ataques Rowhammer em CPU de alta eficiência, como o Blacksmith.
Nessas taxas do GPUThor, encontrar um bit flip explorável pode levar cerca de 1,1 minuto, ante 21,9 horas no GPUHammer.
Os pesquisadores explicam que, com o ECC ativado, o GPUThor gerou 387 erros de dois bits, que o ECC detecta, mas não corrige, e dois erros de três bits, que foram reparados de forma incorreta, resultando em corrupção de dados.
A equipe da Universidade de Toronto mostrou que o GPUThor pode induzir um estado de DoS em uma RTX A6000 com ECC ativado, fazendo a GPU reiniciar a cada duas horas e encerrando todas as cargas de trabalho.
Após repetir o ataque na mesma placa, o dispositivo passa, com o tempo, a se marcar como se precisasse ser substituído.
O ataque mais preocupante é a escalada de privilégios até root, algo que, segundo os pesquisadores, seria possível ao corromper tabelas de páginas da GPU, dando a um programa CUDA sem privilégios acesso arbitrário à memória e abrindo um shell de root no sistema hospedeiro.
Além dos quatro modelos confirmados como vulneráveis ao GPUThor, os pesquisadores afirmam que, apesar de limitações que aumentam a resistência a condições de DoS, a escalada de privilégios ainda pode funcionar em GPUs Ampere de classe servidor, como a A100, porque elas continuam dependendo de ECC em nível SECDED.
No caso de algumas GPUs Blackwell, o recurso de resiliência RAS Repair torna o ataque GPUThor mais demorado, mas não o impede.
De acordo com o artigo sobre o GPUThor, publicado ontem, até GPUs HBM3/e e GDDR7 com ECC on-die podem ser vulneráveis se forem acionados múltiplos bit flips.
Os pesquisadores relataram os resultados à NVIDIA em 29 de abril, e em 21 de agosto a empresa publicou um comunicado com orientações.
A NVIDIA recomenda ativar tanto o SYS-ECC quanto o isolamento IOMMU/DMA, monitorar a telemetria de erros da GPU e restringir o compartilhamento ou a execução de cargas de trabalho não confiáveis.
A empresa afirma que o risco varia conforme o dispositivo de DRAM, a tecnologia de memória, o desenho da plataforma, as defesas em DRAM e a configuração do sistema, observando que nenhum bit flip foi detectado nas GPUs GDDR6X ou HBM2e testadas com os mesmos padrões de ataque.
Os pesquisadores recomendam evitar o compartilhamento de GPU entre diferentes locatários sempre que possível, monitorar os contadores de erros de ECC e restringir cargas de trabalho CUDA não confiáveis. Eles acrescentam que a proteção completa provavelmente exigirá, nas futuras GPUs, um ECC mais forte para múltiplos bits e defesas em nível de hardware.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...