Новиот GPUThor Rowhammer го заобиколува ECC на NVIDIA RTX A6000 за да добие root-пристап до хостот

Академски истражувачи открија Rowhammer напад кој влијае на професионалните графички процесори на NVIDIA со GDDR6 меморија, го заобиколува кодот за корекција на грешки (ECC) — механизмот за заштита што NVIDIA го препорачува против GPU Rowhammer напади — и овозможува напади за одбивање на услугата (DoS), како и ескалација на привилегии до root shell.

Нападот, наречен GPUThor, го развиле истражувачи од Универзитетот во Торонто. Тие 24 часа го изведувале Rowhammer нападот врз четири DRAM банки на секоја од четири графички картички од серијата Ampere, при што предизвикале промени на поединечни битови на секоја од нив.

Следниве графички процесори биле тестирани и било утврдено дека се ранливи:

• RTX A6000 (48 GB GDDR6)
• RTX A5000 (24 GB GDDR6)
• RTX A4500 (20 GB GDDR6)
• RTX A4000 (16 GB GDDR6)

За изведување на нападот потребна е можност да се стартува непривилегиран CUDA kernel на целниот графички процесор — или како корисник што дели графички процесор со други корисници (co-tenant), или како недоверлив код на машина наменета за еден корисник. Истражувачите препорачуваат да се избегнува споделување GPU ресурси меѓу различни корисници, да се следат бројачите на ECC-грешки и да се ограничат недоверливите CUDA работни задачи.

„Неодамна, истражувачи од Универзитетот во Торонто демонстрираа успешно искористување на Rowhammer напад врз NVIDIA A6000 GPU со GDDR6 меморија, каде што System-Level ECC не бил овозможен. Во истиот труд, истражувачите покажаа дека овозможувањето на System-Level ECC го ублажува проблемот со Rowhammer“, соопшти NVIDIA во безбедносно известување од јули 2025 година.

Ова известување следуваше по GPUHammer, претходното истражување на истиот тим и првиот демонстриран GPU Rowhammer напад врз хардвер на NVIDIA. Тој напад предизвикувал 16 промени на битови по гигабајт на RTX A6000, а бил неутрализиран откако бил овозможен ECC.

Она што го додава GPUThor е неуниформното hammering-изведување, при кое редот на напаѓачот, кој се наоѓа веднаш до редот-жртва, се активира многу почесто од таканаречените „decoy“ редови, кои се користат за преоптоварување на заштитата Target Row Refresh (TRR) на меморијата. Кај претходните GPU напади, редовите на напаѓачот и лажните (decoy) редови биле активирани приближно со иста фреквенција.

Истражувачите откриле дека повторените пристапи издадени во рамките на еден warp — група од 32 нишки кои GPU-то ги извршува синхронизирано — се спојуваат во меморискиот контролер во една единствена DRAM активација.

Пристапите што доаѓаат од различни warp-ови и се однесуваат на различни cache линии во рамките на истиот ред остануваат како одделни активации, па kernel-ите за hammering ги распределуваат на соодветен начин.

Во трудот за GPUThor, истражувачите исто така наведуваат дека TRR кај овие GDDR6 компоненти најверојатно се активира приближно еднаш на секои 72 интервали на освежување, наместо еднаш во секој интервал. Врз основа на тоа, тие изградиле шема од шест интервали околу таквиот распоред.

Низ четирите графички картички, кампањите предизвикале од 72.000 до 377.000 промени на битови по гигабајт, кога ECC бил оневозможен.

RTX A5000 била најподложна, со 377.552 промени на битови по гигабајт. Тоа е 23.597 пати повеќе од 16-те промени по гигабајт измерени кај GPUHammer и приближно 500 пати повеќе од 758-те промени по гигабајт пријавени за GDDRHammer, кој претходно бил најмоќниот GPU Rowhammer напад.

Во трудот се наведува дека резултатот за A5000 е близу до приближно 550.000 промени на битови по гигабајт, колку што достигнал Blacksmith — истражување кое покажало дека неуниформното hammering-изведување може да се користи како начин за заобиколување на заштитите вградени во DDR4 меморијата.

При грануларност од 16 бајти, кампањите откриле 387 двобитни промени и две тробитни промени низ четирите графички картички кога ECC бил оневозможен. A5000 била одговорна за 306 од двобитните промени и за двете тробитни промени.

ECC-механизмот SECDED (Single-Error-Correct, Double-Error-Detect) кај овие графички процесори може да коригира еден променет бит во заштитен блок и да детектира два. Истражувачите откриле дека при три променети бита механизмот може да изврши погрешна корекција, што резултира со тивка корупција на податоците (SDC).

Со овозможен ECC на локално поседуван RTX A6000, еднодневното hammering-тестирање на една мемориска банка предизвикало 11 детектирани, некоригирачки грешки (DUE) и една SDC, односно во просек по една DUE на секои два часа. Секоја DUE ги прекинува сите kernel-и што работат на графичката картичка, поради што таа станува неупотреблива сè додека не се изврши ресетирање.

За самата ескалација на привилегиите, истражувачите повторно го искористиле експлоат-кодот од GPUBreach, нивното претходно истражување за ескалација на привилегии преку GPU page tables.

Прво, page tables се подготвуваат така што ќе бидат поставени во ранлив мемориски ред. Потоа соседните редови се изложуваат на hammering со цел да се оштети бројот на физичката мемориска страница (page-frame number) во еден запис. Втор kernel потоа може преку изменетиот запис да пристапи до меморија надвор од границите на процесот.

Користејќи ја тробитната SDC, истражувачите успеале да добијат root-пристап до хостот, дури и кога IOMMU бил овозможен. Користејќи двобитна DUE, успеале да постигнат ескалација на привилегиите на ниво на хостот кај системи каде што IOMMU бил оневозможен.

Во тој случај, page-table записот се пренасочува кон меморијата на процесорот (CPU). Потоа се препишува структурата со акредитиви на процесот (process credential structure), со што напаѓачот може да добие повисоки привилегии.

„Покрај тоа, откривме дека дури и двобитните DUE-грешки може да се искористат, бидејќи DUE-грешките се обработуваат одложено кај NVIDIA графичките процесори. Тоа остава временски прозорец од околу 10 ms помеѓу детектирањето на DUE-грешката и исклучувањето на GPU-то, при што во тој период оштетените податоци ги користи kernel-от на графичкиот процесор на напаѓачот“, велат истражувачите.

Пронаоѓањето на искористливи повеќебитни грешки без активирање на DUE-грешка траело околу четири дена на A6000. Целосната ескалација на привилегии, која на оваа картичка траела 21,9 часа, со шаблоните на GPUHammer била завршена за 1,1 минута, а со шаблоните на GPUThor исто така за 1,1 минута.

Истите шаблони не предизвикале ниту една промена на битови кај другите тестирани NVIDIA компоненти, вклучувајќи ги A10, L4 и L40 со GDDR6, RTX 4090 со GDDR6X и A30 со HBM2e.

„Тестиравме и други типови меморија (види Додаток D), вклучувајќи HBM, GDDR6X и понова генерација GDDR6 на NVIDIA графички процесори, и не забележавме ниту една промена на битови. Ова најверојатно се должи на различните имплементации на TRR кај овие мемории во споредба со графичките процесори A4000–A6000, поради што шаблоните на GPUThor не се успешни“, велат истражувачите.

A100 и H100 не биле дел од тестираната група.

Ampere графичките процесори од серверска класа и поновите модели имаат Error Containment и Dynamic Page Offlining, кои ја ограничуваат грешката на апликацијата што ја предизвикала. Сепак, тие и понатаму се потпираат на ECC од типот SECDED, а истражувачите велат дека ескалација базирана на SDC и понатаму би можела да функционира против нив. Тие наведуваат и дека RAS Repair кај некои Blackwell графички процесори го прави пристапот базиран на DUE побавен, но не го спречува.

GPUThor бил пријавен до NVIDIA на 29 април 2026 година, како и до Google, Microsoft и AWS. Потоа наодите биле ставени под ембарго кое траело до 25 август 2026 година. Според истражувачите, NVIDIA на крајот објавила безбедносно известување со препораки.

GPUThor нема доделен CVE идентификатор, а до 27 август 2026 година нема пријави дека нападот бил искористен во реални напади. Нема закрпа што директно го адресира нападот, а истражувачите велат дека целосното решение би барало посилна корекција на повеќебитни грешки и пософистицирани заштити во самата DRAM меморија, како што се Refresh Management или Per-Row Activation Counting, кај идните GPU модели.

Кодот за нападот треба да биде јавно објавен на 15 ноември 2026 година, на првиот ден од конференцијата ACM Conference on Computer and Communications Security, каде што ќе биде презентиран и трудот.

The Hacker News ја контактирал NVIDIA за коментар во врска со тоа дали ECC и понатаму претставува доволна мерка за заштита, како и истражувачите од Универзитетот во Торонто за дополнителни детали. До објавувањето, ниту една од страните не одговорила.

„Ги искористивме овие механизми за да предизвикаме паѓање на GPU-ата и за ескалација на привилегиите со овозможен ECC. ECC и понатаму ја зголемува тежината на нападот и останува вредно да се овозможи, но повеќе не може да се смета за доволна одбрана“, велат истражувачите на веб-страницата на проектот GPUThor.

Извори:

• The Hacker News – New GPUThor Rowhammer Defeats ECC on NVIDIA RTX A6000 to Gain Host Root Access The Hacker News