Daniël Trujillo e Mengjia Yan del MIT CSAIL hanno presentato a Black Hat USA 2026 l'attacco TONTOU, un bypass delle mitigazioni neutralization-based per Spectre v2 che consente a programmi non privilegiati di estrarre dati sensibili dalla memoria del kernel Linux. La tecnica sfrutta una finestra temporale finora ignorata tra la sanitizzazione del branch predictor e il suo effettivo utilizzo, dimostrando che le difese considerate standard da anni contengono una superficie d'attacco non precedentemente analizzata.
- TONTOU bypassa eIBRS su Intel e Safe RET su AMD, le mitigazioni neutralization-based per Spectre v2 attive per default nei kernel Linux
- Su AMD Zen 2 con Linux 6.14.0-37-generic, l'attacco leaka memoria kernel a 5.47 bytes/s con accuratezza del 91.97%
- In 5 su 10 tentativi, i ricercatori hanno estratto il contenuto di /etc/shadow con tempo medio di 18 minuti
- L'interrupt injection combinata con Inception permette il re-poisoning del branch predictor nella post-neutralization window
Come funziona la finestra TONTOU
Le mitigazioni neutralization-based operano su un principio apparentemente solido: isolare o ripristinare lo stato del branch predictor prima che codice potenzialmente malevolo possa influenzare flussi di esecuzione privilegiati. Su Intel questo meccanismo è eIBRS; su AMD, Safe RET. Entrambe le tecnologie sono abilitate per default nei kernel Linux moderni e costituiscono il livello base di protezione contro Spectre v2.
TONTOU — acronimo di Time-of-Neutralization to Time-of-Use — identifica un gap temporale tra queste due fasi. Secondo i ricercatori, durante l'esecuzione del kernel è possibile schedulare interrupt timer precisamente allineati che reindirizzano il flusso verso un handler di interrupt. Questo handler opera all'interno della finestra post-neutralizzazione, prima che il branch vittima venga effettivamente eseguito, e permette di re-iniettare stato avvelenato nel branch predictor.
La sequenza completa dell'attacco comprende quattro stadi: neutralizzazione, reindirizzamento, avvelenamento e utilizzo del branch predictor compromesso. La neutralizzazione avviene correttamente; il reindirizzamento la interrompe; l'avvelenamento ripristina le condizioni di Spectre v2; l'utilizzo esegue il leak.
Le metriche concrete dell'esfiltrazione
I test condotti su un sistema AMD Zen 2 con 16GB RAM e kernel Linux 6.14.0-37-generic hanno prodotto metriche misurate con precisione. La velocità di leak di memoria kernel arbitraria è risultata pari a 5.47 bytes/s con accuratezza del 91.97%. Per un contesto operativo, i ricercatori hanno mirato al file /etc/shadow, che contiene gli hash delle password di sistema.
Su 10 esecuzioni del proof-of-concept, l'attacco ha localizzato ed estratto con successo il contenuto del file in 5 casi. Il tempo medio per tentativo è risultato di 18 minuti. Questi numeri derivano esclusivamente dal reportaggio di BleepingComputer, unica fonte primaria con accesso alla presentazione Black Hat USA 2026; non risulta disponibile alcuna verifica indipendente delle stesse metriche.
"An attacker without any special access to read arbitrary memory from the system, including sensitive data such as hashed passwords" — Daniël Trujillo, MIT CSAIL
La combinazione con Inception e la risposta AMD
I ricercatori hanno combinato la primitive di interrupt injection con Inception, un attacco precedentemente divulgato da Trujillo stesso. Inception — noto per l'identificatore CVE-2023-20569 — permette il poisoning controllato del Return Stack Buffer (RSB). La sovrapposizione delle due tecniche amplia la superficie d'attacco: l'interrupt injection fornisce il timing preciso, Inception fornisce il payload microarchitetturale.
AMD ha pubblicato un advisory in cui indica che il problema di interrupt injection "appears to be associated" con l'implementazione Linux di Safe RET. Il provvedimento citato non chiarisce se sia previsto un rilascio coordinato di microcode o patch kernel. Non risulta disponibile un CVE specifico per TONTOU nelle fonti esaminate.
Cosa differenzia Intel da AMD nel test
L'attacco è riproducibile su entrambe le architetture ma con differenze sostanziali. Su AMD Zen 2 la catena completa funziona con le mitigazioni aggiornate. Su Intel, la complessità aumenta per via di requisiti software aggiuntivi non specificati nel dettaglio dalla fonte.
Una fonte secondaria aggiunge che su Intel Cascade Lake Refresh e Arrow Lake il team ha avuto successo nel retraining di alcuni meccanismi di branch prediction, mentre su AMD Zen 4 non è stata osservata la tecnica di false branching con lo stesso metodo. Questi dati aggiuntivi provengono da Gigazine, che li attribuisce al paper di ricerca; non è tuttavia verificabile se derivino direttamente dal lavoro accademico o dalla presentazione conferenziale.
Perché è importante
La posta in gioco supera il singolo proof-of-concept. Le mitigazioni neutralization-based sono considerate linea di base non negoziabile nella maggior parte dei sistemi Linux enterprise e cloud. La loro invalidazione ricostruisce una condizione di rischio che il settore considerava risolta da anni, con impatto diretto sui modelli di minaccia per hosting multi-tenant e provider cloud.
Il dossier non specifica se esista una patch kernel in sviluppo o in quale timeframe possa essere rilasciata. Non è chiaro se configurazioni esistenti del kernel possano mitigare parzialmente l'attacco, né se il paper accademico sia già accessibile al di fuori della presentazione a Black Hat USA 2026. La fonte indica che la pubblicazione ufficiale è prevista a USENIX Security 2026, con date di conferenza fissate al 27-29 ottobre.
Il brief non documenta misure correttive specifiche né fornisce indicazioni operative per gli amministratori di sistema in attesa di aggiornamenti.
FAQ
TONTOU è una nuova variante di Spectre v2?
No. È un bypass delle mitigazioni esistenti, non una variante della vulnerabilità originale. Spectre v2 rimane la classe di riferimento; TONTOU dimostra che le difese attive possono essere eluse tramite timing attack.
Il 50% di successo rende l'attacco irrilevante in pratica?
Il 50% su 10 tentativi in laboratorio non stabilisce la rilevanza operativa. Stabilisce la fattibilità. In sicurezza microarchitetturale, la dimostrazione che una mitigazione standard è bypassabile tipicamente precede l'ottimizzazione della catena d'attacco.
Quali sistemi sono a rischio immediato?
Il dossier specifica AMD Zen 2 con Linux 6.14.0-37-generic. Su Zen 4 non è stato osservato il medesimo pattern; su Intel la complessità è maggiore. La fonte non fornisce una matrice di rischio completa per famiglie di processore o versioni kernel.
Le informazioni sono basate sull'articolo citato e aggiornate al momento della pubblicazione.
Fonti
- https://www.bleepingcomputer.com/news/security/new-tontou-cpu-attack-bypasses-spectre-v2-fixes-leaks-linux-password-hashes/
- https://www.hendryadrian.com/new-tontou-cpu-attack-bypasses-spectre-v2-fixes-leaks-linux-password-hashes/
- https://www.prsol.cc/2026/08/07/new-tontou-cpu-attack-bypasses-spectre-v2-fixes-leaks-linux-password-hashes/
- https://gigazine.net/gsc_news/en/20260807-tontou-spectre-v2/
- https://www.bleepingcomputer.com/news/security/new-inception-attack-leaks-sensitive-data-from-all-amd-zen-cpus/
- https://wiz.io/lp/ai-threat-readiness-101?utm_source=bleepingcomputer&utm_medium=display&utm_campaign=FY27Q2_INB_FORM_AI-Threat-Readiness-Infographic&sfcid=701Vh00000delRcIAI&utm_term=FY27-bleepingcomputer-article-970x250-August&utm_content=AITR-Infographic
- https://wiz.io/lp/ai-threat-readiness-playbook?utm_source=bleepingcomputer&utm_medium=display&utm_campaign=FY27Q2_INB_FORM_AI-Threat-Readiness-Playbook&sfcid=701Vh00000cnU0lIAE&utm_term=FY27-bleepingcomputer-article-970x250-August&utm_content=AITR-Playbook
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.