Eksternt GPU-angrep gir risiko for at nettlesere gir nettsteder tilgang til grafikkort for potensielle kryptogruveutnyttelser
Forskere fra Graz University of Technology i Østerrike og University of Rennes i Frankrike har avslørt en bekymringsfull sårbarhet angående grafikkbehandlingsenheter (GPUer), som potensielt kan utnyttes til gruvedrift av kryptovaluta og andre ondsinnede aktiviteter. Denne nylig oppdagede trusselen retter seg mot populære nettlesere og grafikkort.
Sårbarheten sentreres rundt WebGPU, et API som lar webutviklere benytte seg av en datamaskins GPU for høyytelsesoppgaver direkte i en nettleser. Gjennom smart manipulering av denne API-en ved hjelp av JavaScript, har forskerne demonstrert en ekstern angrepsvektor som opererer utelukkende i nettleseren, og eliminerer behovet for direkte tilgang til native GPU APIer.
Denne angrepsmetoden representerer en av de tidligste forekomstene av et GPU-cache-sidekanalangrep som stammer fra en nettleser. Ved å lokke brukere til å besøke et ondsinnet nettsted som er vert for utnyttelseskoden, kan angripere utføre utnyttelsen eksternt, uten brukerinteraksjon utover å bare oppholde seg på nettstedet i noen minutter.
Implikasjonene av denne sårbarheten er betydelige. Angrepet kan utnyttes for inter-tastestroke timing angrep, potensielt avsløre sensitiv informasjon som passord basert på tastetrykk timing. Dessuten muliggjør det utvinning av GPU-baserte AES-krypteringsnøkler og etablerer skjulte dataeksfiltreringskanaler med moderate overføringshastigheter.
Forskerne understreker behovet for nettleserleverandører å behandle GPU-tilgang med samme forsiktighet som andre sikkerhetssensitive ressurser. Lukas Giner, en av forskerne, fremhever risikoen ved at nettlesere gir nettsteder ubegrenset tilgang til vertssystemets GPU, med henvisning til potensialet for snikende angrep eller til og med skjulte gruveoperasjoner for kryptovaluta uten brukerens bevissthet.
Forskningen rettet seg mot en rekke stasjonære grafikkort fra både AMD og NVIDIA, og påvirket nettlesere som støtter WebGPU, inkludert Chrome, Chromium, Edge og Firefox Nightly. Til tross for varsler til Mozilla-, AMD-, NVIDIA- og Chromium-utviklere, er det bare AMD som har gitt et svar som sier at de ikke tror forskerne har demonstrert en utnyttelse mot produktene deres.
Forskerne foreslo å implementere en tillatelsespop-up som ligner de for tilgang til mikrofon eller kamera for å redusere risikoen. Chromium-teamet uttrykte imidlertid forbehold, med henvisning til potensialet for å legge til brukerfriksjon uten tilsvarende sikkerhetsfordeler.
Denne avsløringen understreker det kritiske behovet for proaktive tiltak for å sikre GPU-tilgang i nettlesere, siden unnlatelse av å adressere dette sikkerhetsproblemet kan utsette brukere for en rekke ondsinnede aktiviteter, fra datatyveri til skjult utvinning av kryptovaluta.