Нова техника за атака манипулира контролера на паметта на компютъра, за да заобиколи някои от най-надеждните хардуерни граници за сигурност, вградени в съвременните процесори, включително защитите около режима за управление на системата (System Management Mode), платформата за сигурност на процесора (Platform Security Processor) и микрокода на процесора.

Проучването, публикувано като проект с отворен код под името „skitter-creek-bath-salts“ в GitHub от изследователя по сигурността Кристофър Домас, разкрива забележителна атака, насочена към слой от системата, намиращ се под почти всеки съществуващ механизъм за защита: логиката за преобразуване на адреси на DRAM контролера.

Всеки физически адрес, генериран от процесора, в крайна сметка преминава през този контролер, който го пренасочва към реални координати в паметта – конкретна банка, ранг, ред и колона в рамките на DIMM модула.

Функциите за сигурност като SEV, SGX, TDX, TrustZone и фърмуерно базираните заделени части от паметта разчитат на това физическите адреси да остават фиксирани и предвидими, след като напуснат ядрото на процесора. Техниката на Домас показва, че това предположение може да бъде нарушено с една-единствена инструкция.

Чрез промяна на конкретни конфигурационни битове в контролера на паметта, атакуващият може да пренапише начина, по който физическите адреси се съпоставят с действителните DRAM клетки – процес, който изследването описва като „спагетизиране“ на паметта. След като това пренасочване бъде променено, напълно различен адрес може да бъде насочен към същата физическа клетка памет, която преди това е била изолирана и недостъпна.

Тъй като всеки механизъм за контрол на достъпа над контролера на паметта проверява физическите адреси, а не базовите DRAM координати, нито една от тези защити не забелязва промяната в основната карта на съпоставяне.

От решаващо значение е, че този клас уязвимост не е свързан с единичен дефект, който може просто да бъде отстранен чрез корекция за сигурност. Според изследването атаката работи, тъй като преобразуването на адреси, извършвано от контролера на паметта, е линейна операция над GF(2), което означава, че тя може да бъде математически възстановена чрез линейна алгебра с помощта на SMT инструмент за решаване като Z3, дори когато точното пренасочване не е документирано от производителя.

Домас демонстрира техниката върху процесори AMD Family 16h, като извлича рутината за RSA подписване на fTPM директно от паметта на Platform Security Processor, която би трябвало да бъде напълно изолирана от операционната система.

Същият метод извлича обработчика на прекъсвания на System Management Mode от SMRAM – област от паметта, рекламирана като „заключена“ от чипсета, и възстановява необработено състояние на регистрите на процесора, включително корените на таблиците със страници и APIC конфигурацията, съхранявани в DRAM, докато ядрата са в състояние на покой с ниска консумация C6.

Може би най-значимото е, че изследването показва, че активната корекция на микрокода на процесора, която обикновено е временна и недостъпна, се записва временно в DRAM по време на преходи в режим на покой и може да бъде прочетена и презаписана чрез същия трик с алиасинг.

Въпреки че публикуваната в GitHub демонстрация на концепцията е насочена към по-стара платформа на AMD, за която спецификациите случайно документират достатъчно от регистрите на контролера, за да се възстанови преобразуването, Домас отбелязва, че същият архитектурен модел (преплитане на канали и рангове, разместване на банки и съпоставяне по избор на чип) съществува в практически всеки съвременен контролер на паметта при архитектури на AMD, Intel, ARM и RISC-V.

Резултатите ще бъдат представени подробно на конференцията Black Hat 2026 г., а изследователите се очаква да проследят внимателно как производителите на чипове ще се справят с този клас уязвимости, които излизат извън обхвата на традиционните модели за сигурност на процесорите.