GPUThor bypassa ECC NVIDIA: escalation root in 1.1 minuti su GPU workstation

Il 25 agosto 2026 un team dell'University of Toronto ha reso pubblico GPUThor, un attacco Rowhammer non-uniforme che annulla la protezione SECDED ECC su GPU NVIDIA workstation della famiglia Ampere. In un anno la posizione del vendor è capovolta: da luglio 2025 NVIDIA considerava l'ECC come mitigazione sufficiente, mentre oggi le stesse schede RTX A4000-A6000 restano prive di patch con un exploit pratico che raggiunge il root dell'host in 1.1 minuti.

Come il non-uniform hammering inganna il memory controller NVIDIA

Il meccanismo si basa su due comportamenti non documentati del memory controller delle GPU Ampere workstation. Le richieste ripetute all'interno di un singolo warp vengono fuse in un'unica attivazione DRAM, mentre accessi da warp diversi a cache line diverse nella stessa riga sopravvivono come attivazioni separate. TRR su GDDR6 si attiva circa una volta ogni 72 intervalli di refresh, non a ogni ciclo.

I ricercatori hanno costruito un pattern a sei intervalli che concentra le attivazioni sulla riga aggressore adiacente alla vittima, bypassando il meccanismo di difesa. Con ECC disabilitato il range di bit flip oscilla tra 72.000 e 377.000 per GB: RTX A5000 registra il massimo con 377.552 flips/GB, un moltiplicatore di circa 23.597x rispetto al precedente GPUHammer (16 flips/GB) e circa 500x rispetto a GDDRHammer (758 flips/GB).

Le stesse condizioni producono 387 double-bit flips e 2 triple-bit flips a granularità 16-byte su tutte e quattro le schede testate. Su RTX A5000 da sole si concentrano 306 double-bit e 2 triple-bit del totale.

Perché SECDED ECC fallisce: dalla miscorrezione triple-bit alla finestra DUE

Il codice SECDED (Single Error Correction, Double Error Detection) corregge errori a 1 bit, rileva quelli a 2 bit, ma miscorregge quelli a 3 bit trasformandoli in silent data corruption. Su RTX A6000 con ECC abilitato i ricercatori hanno misurato 11 DUE (detectable uncorrectable errors) e 1 SDC (silent data corruption) in un giorno di hammering su una banca.

La frequenza media di un DUE ogni circa due ore espone il sistema a condizioni di denial of service. Più critico è il comportamento dei DUE su GPU NVIDIA: serviti pigramente, lasciano una finestra temporale di circa 10 ms tra rilevazione e kill della GPU. Durante questo intervallo il dato corrotto viene consumato dal kernel attaccante.

Come affermano i ricercatori nel paper: "Moreover, we discover that even double-bit DUEs are exploitable, since DUEs are serviced lazily in NVIDIA GPUs, leaving a ~10 ms time window between DUE detection and the GPU being killed, during which the corrupted data is consumed by the attacker's GPU kernel".

L'escalation end-to-end: da GPUHammer a GPUThor

L'exploit di escalation riutilizza il codice di GPUBreach, precedente ricerca dello stesso team: corruzione della page table GPU, repointing di entry a memoria CPU, overwrite di strutture credenziali processo. Localizzare errori multi-bit esploitabili senza innescare DUE ha richiesto circa 4 giorni su A6000.

Il tempo di escalation end-to-end si è ridotto drasticamente: da 21.9 ore con GPUHammer a 1.1 minuti con GPUThor. Il passaggio da ore a minuti rende l'attacco operativamente pratico in scenari reali.

"We used these to crash GPUs and to escalate privileges with ECC enabled. ECC still raises the bar and remains worth enabling, but it can no longer be treated as a sufficient defense" — Ricercatori University of Toronto, progetto GPUThor

La citazione misura la distanza percorsa in dodici mesi. A luglio 2025 NVIDIA aveva pubblicato una security notice che affermava: "enabling System-Level ECC mitigates the Rowhammer problem". GPUThor dimostra che questa asserzione non regge per le GPU workstation Ampere con la specifica implementazione GDDR6 testata.

Cosa fare adesso

NVIDIA ha rilasciato un advisory il 21 agosto 2026 con quattro linee di azione specifiche per gli operatori. I ricercatori aggiungono raccomandazioni complementari basate sui risultati sperimentali.

Abilitare SYS-ECC e IOMMU/DMA isolation. L'advisory NVIDIA del 21 agosto richiede entrambi attivi. I ricercatori confermano che IOMMU abilitato blocca la route DUE double-bit, riducendo l'esposizione alla sola SDC triple-bit che richiede condizioni più rare.

Monitorare GPU error telemetry. La raccomandazione NVIDIA specifica il tracciamento sistematico degli errori. I ricercatori consigliano di prestare attenzione ai contatori ECC come indicatore precoce di attività sospetta.

Restringere workload CUDA non trusted. Entrambe le fonti convergono: workload non verificati su GPU condivise rappresentano il vettore di attacco primario. Il rischio cross-tenant è concreto quando più utenti accedono alla stessa GPU.

Evitare condivisione GPU cross-tenant. I ricercatori raccomandano esplicitamente questa separazione, che va oltre le indicazioni vendor e si basa sulla dimostrazione pratica di escalation con accesso CUDA non privilegiato.

Il gap hardware che NVIDIA non può chiudere in software

La matrice delle GPU testate rivela una frammentazione precisa. Nessun bit flip su A10, L4, L40 (GDDR6), RTX 4090 (GDDR6X), A30 (HBM2e). Le GPU server-class Ampere e Blackwell dispongono di Error Containment, Dynamic Page Offlining e RAS Repair, che rendono la route DUE-based più time-consuming ma non la impediscono del tutto. La route SDC-based potrebbe ancora funzionare anche su queste architetture.

A100 e H100 non sono state testate; il loro stato di vulnerabilità resta sconosciuto. Una correzione efficace richiederebbe multi-bit ECC e difese in-DRAM come Refresh Management e Per-Row Activation Counting in GPU future, non aggiornamenti software sulle schede esistenti.

Il conto alla rovescia per novembre

La disclosure a NVIDIA è avvenuta il 29 aprile 2026, con embargo fino al 25 agosto 2026. Nessuna patch è disponibile al 27 agosto 2026. Il codice exploit sarà pubblico il 15 novembre 2026, giorno di apertura di ACM CCS, aumentando la pressione sui deployment esistenti.

Per le infrastrutture AI e cloud che impiegano RTX A4000-A6000, il divario tra raccomandazione vendor e realtà tecnica è misurato in minuti di exploit, non in ore di teoria. La posizione di NVIDIA si è spostata da "ECC mitiga" a "ECC, IOMMU, monitoring e restrizione workload" — una stratificazione difensiva che riconosce implicitamente che nessuna singola contromisura è più sufficiente.

Fonti

• https://thehackernews.com/2026/08/gputhor-rowhammer-defeats-ecc-on-nvidia.html
• https://www.bleepingcomputer.com/news/security/new-gputhor-attack-defeats-nvidia-ecc-protection-for-root-access/
• https://thehackernews.com/2025/07/gpuhammer-new-rowhammer-attack-variant.html
• https://thehackernews.com/2021/11/new-blacksmith-exploit-bypasses-current.html
• https://thehackernews.com/2026/04/new-gpubreach-attack-enables-full-cpu.html
• https://thehackernews.uk/zero-trust-claude-d

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti