Attālais GPU uzbrukums rada risku, ka pārlūkprogrammas nodrošinās vietnēm piekļuvi grafiskajām kartēm potenciālajiem kriptorakstu ieguves darbiem
Pētnieki no Grācas Tehnoloģiju universitātes Austrijā un Rennas Universitātes Francijā ir atklājuši satraucošu ievainojamību attiecībā uz grafikas apstrādes vienībām (GPU), kuras, iespējams, varētu izmantot kriptovalūtas ieguvei un citām ļaunprātīgām darbībām. Šis jaunatklātais drauds ir vērsts uz populārām pārlūkprogrammām un grafikas kartēm.
Ievainojamība ir saistīta ar WebGPU — API, kas tīmekļa izstrādātājiem ļauj piekļūt datora GPU, lai veiktu augstas veiktspējas uzdevumus tieši tīmekļa pārlūkprogrammā. Atjautīgi manipulējot ar šo API, izmantojot JavaScript, pētnieki ir parādījuši attālā uzbrukuma vektoru, kas pilnībā darbojas pārlūkprogrammā, novēršot vajadzību pēc tiešas piekļuves vietējām GPU API.
Šī uzbrukuma metode ir viens no agrākajiem GPU kešatmiņas sānu kanāla uzbrukuma gadījumiem, kas rodas no tīmekļa pārlūkprogrammas. Vilinot lietotājus apmeklēt ļaunprātīgu vietni, kurā tiek mitināts ļaunprātīgas izmantošanas kods, uzbrucēji var to izpildīt attālināti, bez lietotāja mijiedarbības, izņemot tikai dažu minūšu uzturēšanos vietnē.
Šīs ievainojamības sekas ir nozīmīgas. Uzbrukumu var izmantot starptaustiņu nospiešanas laika uzbrukumiem, potenciāli atklājot sensitīvu informāciju, piemēram, paroles, pamatojoties uz taustiņu nospiešanas laiku. Turklāt tas ļauj iegūt uz GPU balstītas AES šifrēšanas atslēgas un izveido slēptus datu eksfiltrācijas kanālus ar mērenu pārraides ātrumu.
Pētnieki uzsver, ka pārlūkprogrammu pārdevējiem ir jāizturas pret GPU piekļuvi ar tādu pašu piesardzību kā pret citiem drošības ziņā jutīgiem resursiem. Viens no pētniekiem Lukass Džiners uzsver riskus, ko rada pārlūkprogrammas, kas vietnēm nodrošina neierobežotu piekļuvi resursdatora sistēmas GPU, atsaucoties uz iespējamu slepenu uzbrukumu vai pat slēptu kriptovalūtas ieguves darbību iespējamību, lietotājam nezinot.
Pētījums bija vērsts uz virkni darbvirsmas grafikas karšu gan no AMD, gan NVIDIA, ietekmējot pārlūkprogrammas, kas atbalsta WebGPU, tostarp Chrome, Chromium, Edge un Firefox Nightly. Neskatoties uz paziņojumiem Mozilla, AMD, NVIDIA un Chromium izstrādātājiem, tikai AMD ir sniegusi atbildi, norādot, ka viņi netic, ka pētnieki ir pierādījuši ļaunprātīgu izmantošanu pret viņu produktiem.
Pētnieki ieteica ieviest uznirstošos atļaujas logus, kas būtu līdzīgi tiem, kas ļauj piekļūt mikrofonam vai kamerai, lai mazinātu risku. Tomēr Chromium komanda izteica iebildumus, atsaucoties uz iespējamību palielināt lietotāju berzi bez samērīgām drošības priekšrocībām.
Šī atklāsme uzsver kritisko nepieciešamību pēc proaktīviem pasākumiem, lai nodrošinātu GPU piekļuvi pārlūkprogrammās, jo šīs ievainojamības neievērošana var pakļaut lietotājus dažādām ļaunprātīgām darbībām, sākot no datu zādzības līdz slēptai kriptovalūtas ieguvei.