Spectre-v2: атака через JIT-компиляторы — что это и зачем смотреть

Попался материал про новую атаку типа Spectre-v2 — не про сайт, а про процессоры. Читал, как исследователи показали, что JIT-компиляторы в Linux, Firefox и GraalVM могут быть использованы для перепrogramмирования предсказателя ветвлений. В результате — спекулятивное выполнение кода и извлечение секретов, например, хеша пароля root. Демонстрация прошла на cBPF, у других компиляторов — частичный результат. Атака работает на Intel, AMD и ARM. Всё это — не уязвимость сайта, а уязвимость железа. Но она не прошла мимо. } {

Прочитал, что новая атака Spectre-v2 использует JIT-компиляторы для перепrogramмирования предсказателя ветвлений в процессорах. Это позволяет извлекать секреты — например, хеши паролей — через кэш-память. Работает на Intel, AMD, ARM. Демонстрация прошла на cBPF в Linux, частично — на SpiderMonkey и GraalVM. Время извлечения — 3–5 минут. Это не про сайт, а про железо. И всё равно важно.

Считаю, что сам по себе факт не меняет работу с сайтами. Но он меняет контекст: если у клиента сайт на сервере с Linux, а там — JIT-компилятор, то уязвимость не в коде, а в архитектуре. Это не то, что можно «поставить патч» за вечер. Это — системный риск. И если сайт уже заражён, то атака может быть частью цепочки.

На мой взгляд, важно не думать «а что, если у меня будет атака?», а думать «а что, если у меня уже есть уязвимость, которая может быть использована через такой канал?». Я уже начал проверять, какие компоненты на серверах клиентов используют JIT-компиляцию. Пока не вижу прямых рисков, но в план на неделю включил проверку конфигураций, где есть такие компоненты. У клиентов на поддержке это не пропустить — атака не в коде, но в системе.