难以想象的芯片UAF漏洞，Zenbleed漏洞分析

(gdb) x/20i __strlen_avx2
...
   <__strlen_avx2+9>:   vpxor  xmm0,xmm0,xmm0
...
   <__strlen_avx2+29>:  vpcmpeqb ymm1,ymm0,YMMWORD PTR [rdi]
   <__strlen_avx2+33>:  vpmovmskb eax,ymm1
...
   <__strlen_avx2+41>:  tzcnt  eax,eax
   <__strlen_avx2+45>:  vzeroupper
   <__strlen_avx2+48>:  ret

图片来源：https://lock.cmpxchg8b.com/zenbleed.html

第二段vpcmpeqb ymm1, ymm0, [rdi]将rdi指向的内存32字节与YMM0比较，比较的结果存入YMM1中。相同的字节会被设置成0xFF，不同的字节会被设置成0x00。

图片来源：https://lock.cmpxchg8b.com/zenbleed.html

随后vpmovmskb eax, ymm1将ymm1中保存的结果转存到eax中，ymm1中每一个不为0x0的字节将设置eax对应的比特位为1

图片来源：https://lock.cmpxchg8b.com/zenbleed.html

最后判断字符串的长度，我们就只需要数出来eax中有多少个前导为0的bit。tzcnt eax, eax就正好是做这个的。

图片来源：https://lock.cmpxchg8b.com/zenbleed.html

这段代码还执行了vzeroupper，用于清空所有YMM寄存器的高128bit，同时也可以避免在从VEX模式切换到non-VEX模式带来的性能损失。因此，他出现在了这段代码的末尾。

复现这个问题的方式有很多，我们可以看一个很简单的例子:

    vcvtsi2s{s,d}   xmm, xmm, r64
    vmovdqa         ymm, ymm
    jcc             overzero
    vzeroupper
overzero:
    nop

cvtsi2sd 是用来触发寄存器合并优化的，它实际做了啥并不重要，任何可以触发寄存器合并优化指令都可以。然后我们用vmovdq触发寄存器重命名，然后用一个条件跳转让cpu预测错误，投机执行vzeroupper但随后回滚操作，就可以触发这个问题了。

触发后，我们就能直接从ymm寄存器中，读出别的程序可能正在处理的数据。

实际的复现比这个复杂一些，可以后台索要附件查看。最终，原作者实现了可以泄露30kb每核每秒的能力，这个速度足以监控一些密钥和密码信息。

AMD已经提交了最新的微码，linux用户更新linux-firmware即可。你的主板厂家也应该会放出含有最新微码的BIOS/UEFI，请及时更新。

如果暂时无法更新，可以修改DE_CFG[9]来规避，在linux上，使用以下命令即可。

# wrmsr -a 0xc0011029 $(($(rdmsr -c 0xc0011029) | (1<<9)))

但这个会带来性能损失。

没有什么好的办法检测和识别此类攻击的存在，因为它不需要任何的权限或特殊系统调用。当然我们也绝对不能通过检查vzeroupper的调用来判断，它的使用实在是太广泛了。

内存管理在哪儿都很难，即使是在芯片中。

寄存器文件：https://zh.wikipedia.org/wiki/寄存器堆

寄存器重命名：https://zh.wikipedia.org/wiki/寄存器重命名

XMM寄存器合并优化：https://www.amd.com/en/server-docs/software-optimization-guide-for-amd-epyc-7003-processors-zip-format , section 2.11.5