I ricercatori Daniël Trujillo e Mengjia Yan del MIT CSAIL hanno presentato a Black Hat USA 2026 una tecnica denominata INTERRUPT INJECTION che aggira le mitigazioni Spectre v2 su processori Intel e AMD. La dimostrazione, avvenuta su AMD Zen 2 con Linux 6.14 e tutte le difese attive, ha leakato memoria kernel a 5.47 byte/secondo con accuratezza del 91.97%. La disclosure risale al 5 febbraio 2026, ma al 6 agosto non esiste traccia pubblica di CVE, commit kernel o bulletin ufficiali che permettano agli amministratori di verificare lo stato della protezione.
- Su AMD Zen 2, un programma Linux non privilegiato ha letto /etc/shadow in 5 su 10 tentativi sfruttando una finestra di 2 istruzioni tra sanificazione e uso del branch predictor
- La tecnica inietta interrupt hardware con precisione nanosecondo per inserirsi nel gap temporale, poi rivelenizza il predictor tramite Inception (CVE-2023-20569)
- Intel ha pagato un bug bounty discrezionale ma non ritiene necessaria alcuna mitigazione; AMD ha promesso patch kernel senza rilasciare documentazione verificabile
- I ricercatori hanno formalizzato una nuova classe di attacco denominata TONTOU, Time-of-Neutralization to Time-of-Use, applicabile a ogni neutralizzazione hardware non atomica
Come funziona la race nel branch predictor
Le mitigazioni Spectre v2 — eIBRS su Intel, saferet su AMD — sanificano il branch predictor prima che il kernel utilizzi predizioni derivate da codice meno privilegiato. Questa sanificazione non è atomica: esiste una finestra tra il momento in cui la difesa ha eseguito e quello in cui il kernel effettivamente legge il predictor.
Trujillo e Yan hanno dimostrato che è possibile temporizzare un interrupt hardware per atterrare esattamente in quella finestra. Su AMD Zen 2 la misura è di 6 byte, ovvero 2 istruzioni. Il sistema operativo permette a programmi user-space di schedulare interrupt con granularità nanosecondo, rendendo l'attacco realizzabile senza privilegi speciali.
Una volta dentro la finestra, l'handler interrupt diventa un gadget di training. I ricercatori hanno utilizzato Inception (CVE-2023-20569), vulnerabilità classificata 4.7 MEDIUM dal NVD, per riempire il Return Stack Buffer con target controllati dall'attaccante. L'effetto è il re-poisoning del predictor dopo che la mitigazione ha già dichiarato l'ambiente sicuro.
La frequenza di successo dell'atterraggio nella finestra varia: dal 5% al 12% delle volte in generale, scendendo a circa il 2% quando i registri sono sotto controllo dell'attaccante. Questi valori, bassi in assoluto, sono sufficienti per un leak sistematico grazie alla ripetibilità dell'attacco.
I numeri della dimostrazione e il divario tra vendor
I tassi di mispredizione misurati mostrano una distribuzione eterogenea tra architetture. Su AMD Zen 2 il misprediction success rate è dello 0.75%. Su Intel Arrow Lake scende allo 0.22%, su Cascade Lake Refresh allo 0.037%. AMD Zen 4 non ha mostrato alcuna mispredizione nel test condotto dai ricercatori.
"An unprivileged Linux program can time a hardware interrupt to land in the gap between a processor sanitizing its branch predictor and the kernel using it, re-poisoning the predictor after the defense has run"
Nonostante questi numeri, le reazioni dei vendor divergono in modo significativo. Secondo il paper dei ricercatori, Intel "does not consider mitigation to be required", giustificando la scelta con il fatto che l'exploitabilità "depends on many factors". La multinazionale ha comunque erogato un discretionary bug bounty bonus. La guidance INTEL-SA-00598, aggiornata a maggio 2025, non menziona gli interrupt.
AMD ha comunicato ai ricercatori che una patch kernel è pianificata. Il MIT CSAIL afferma che la patch è stata spedita, ma The Hacker News non ha trovato alcun commit nel repository del kernel Linux, alcun CVE, alcun bulletin di sicurezza AMD che la documenti al momento della pubblicazione.
Perché la mancanza di traccia pubblica è un problema di sicurezza
La situazione crea una condizione di rischio gestionale non banale. Gli amministratori di sistemi multi-tenant e ambienti cloud che hanno attivato le mitigazioni Spectre v2 negli ultimi anni — eIBRS, saferet, retpoline dove applicabile — non dispongono di strumenti per verificare se la protezione sia effettiva contro INTERRUPT INJECTION. Non esiste advisory che elenchi versioni kernel corrette, non esiste CVE che permetta il tracciamento nei tool di vulnerability management, non esiste comunicazione Intel che riconosca formalmente la classe di attacco.
Il divario tra la dichiarazione MIT ("patch spedita") e l'assenza di evidenza pubblica è il cuore dell'angolo editoriale: la sicurezza hardware richiede trasparenza verificabile, non fiducia unilaterale. Se un amministratore non può confermare di essere protetto, non può nemmeno documentare lo stato di rischio per audit o per i propri tenant.
Il brief non specifica misure correttive specifiche che gli operatori possano adottare autonomamente. La fonte non documenta contromisure temporanee, workaround o configurazioni che riducano la superficie di attacco in attesa del rilascio ufficiale.
TONTOU: una classe di attacco oltre Spectre
I ricercatori hanno denominato TONTOU, Time-of-Neutralization to Time-of-Use, la classe generale di cui INTERRUPT INJECTION è istanza. Il principio si applica a ogni neutralizzazione hardware che non sia atomicamente coincidente con il suo effetto protettivo: se tra la sanificazione e l'uso effettivo esiste un gap temporale misurabile, quel gap è un vettore.
La proposta di fix avanzata dai ricercatori prevede una seconda neutralizzazione all'uscita dell'interrupt — stuffing del RSB prima di iret, o IBHF su Intel nuove generazioni — ma il brief non riporta dati sul costo prestazionale di questa doppia difesa. Il paper è in arrivo a USENIX Security; fino alla pubblicazione il repository artifact non è disponibile.
Il brief non riporta risposte da vendor ARM, sebbene i ricercatori abbiano menzionato un contatto. Non emerge alcuna sovrapposizione infrastrutturale che colleghi INTERRUPT INJECTION a varianti precedenti come GhostRace (CVE-2024-2193) o Native BHI (CVE-2024-2201): il meccanismo specifico — interrupt hardware temporizzati — è distinto dal training via eBPF o dal branch history injection.
Perché è importante
La fonte non specifica la natura completa dei dati esposti oltre alla dimostrazione su /etc/shadow. Il dossier non documenta se altre piattaforme operative oltre Linux 6.14 siano interessate, né fornisce una timeline per la pubblicazione del repository artifact. Non emerge alcuna evidenza di exploitation in-the-wild.
Il disallineamento tra la valutazione Intel (non necessario) e AMD (patch pianificata ma non verificabile) genera confusione su priorità e perimetri di protezione. Per i ricercatori, TONTOU apre un campo di indagine su altre neutralizzazioni hardware che potrebbero presentare gap simili. Per gli operatori, la lezione immediata è che una mitigazione attivata non è automaticamente una mitigazione funzionante se non esiste modo di verificarne lo stato.
La fonte non specifica misure correttive specifiche, contromisure temporanee o configurazioni riduttive del rischio. Il brief non documenta se esistano indicatori di compromesso associati a questa tecnica.
Le informazioni sono basate sull'advisory citato e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/08/new-interrupt-injection-attack-can.html
- https://thehackernews.com/2024/04/researchers-uncover-first-native.html
- https://thehackernews.com/2022/03/new-exploit-bypasses-existing-spectre.html
- https://thehackernews.com/2024/10/new-research-reveals-spectre.html
- https://blogs.oracle.com/linux/understanding-spectre-v2-mitigations-on-x86
- https://kb.cert.org/vuls/id/155143
- https://security.googleblog.com/2021/03/a-spectre-proof-of-concept-for-spectre.html
- https://support.google.com/faqs/answer/7625886
- https://msrc.microsoft.com/blog/2018/03/mitigating-speculative-execution-side-channel-hardware-vulnerabilities/
- https://thehackernews.com/2024/03/ghostrace-new-data-leak-vulnerability.html
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.