‏Spectre برگشته، این بار سراغ موتورهای JIT

آسیب‌پذیری Spectre دوباره برگشته و این بار موتورهای JIT رو هدف گرفته؛ یعنی بخش‌هایی که موقع اجرا کد ماشین تولید می‌کنن، مثل موتور جاوااسکریپت مرورگر یا cBPF تو کرنل لینوکس. Spectre از speculative execution سوءاستفاده می‌کنه، یعنی وقتی CPU برای سرعت بیشتر، کد رو قبل از اینکه واقعاً لازم بشه اجرا می‌کنه. این کار ردپایی به جا می‌ذاره که می‌شه ازش اطلاعات محرمانه رو حدس زد.

حمله‌ی جدید Branch Target Reuse یا BTR اسم داره و کار چهار محقق از Vrije Universiteit هلند و Scuola Superiore Sant’Anna ایتالیاست. این یه حمله‌ی Spectre v2 هست، یعنی سراغ indirect branch prediction می‌ره: وقتی برنامه به جای دستور مشخص، به یه آدرس اشاره می‌کنه و CPU سعی می‌کنه حدس بزنه اون آدرس کجاست. محقق‌ها می‌گن BTR اولین حمله‌ی عملی in-place از این نوع علیه کامپایلرهای JIT‌ه، یعنی حمله فقط داخل همون شاخه‌ی قربانی اتفاق می‌افته.

اصل ماجرا اینه که CPUهای امروزی بعد از اینکه کد خودش رو تغییر بده، ظاهر کد رو درست می‌کنن، ولی آدرس‌های پیش‌بینی‌شده‌ی قدیمی رو پاک نمی‌کنن. تو موتورهای JIT این آدرس‌های کهنه بعد از حذف کد اصلی باقی می‌مونن و وقتی کش کد دوباره پر می‌شه، دوباره استفاده می‌شن. محقق‌ها به این می‌گن یه speculative execute-after-free. نتیجه‌ش اینه که مهاجم می‌تونه مسیر اجرای حدسی CPU رو دست بگیره و بعضی دفاع‌های نرم‌افزاری مثل FineIBT رو دور بزنه.

تیم تحقیق دو نمونه‌ی اثبات مفهوم علیه کرنل لینوکس روی Intel ساخت که هش پسورد root رو لو می‌داد، حتی با وجود دفاع constant binding تو cBPF. سرعت نشت داده روی Raptor Cove حدود ۵.۷ کیلوبایت در ثانیه و روی Lion Cove حدود ۵.۴ کیلوبایت در ثانیه‌ست. کنده، ولی برای اینکه یه کاربر بدون دسترسی ویژه هش پسورد رو دربیاره کافیه. موتورهای Oracle GraalVM و Mozilla SpiderMonkey هم آسیب‌پذیرن.

بعد از گزارش محقق‌ها، توسعه‌دهنده‌های کرنل لینوکس و Oracle وصله منتشر کردن و دو شناسه‌ی CVE-2026-64507 و CVE-2026-64508 ثبت شد. به گفته‌ی محقق‌ها Mozilla ترجیح داده روی site isolation کار کنه و مستقیم سراغ این مشکل نره. راه‌حل‌های قوی مثل IBPB جواب می‌دن، ولی پیچیدگی اضافه می‌کنن و کارایی رو پایین میارن. مقاله‌ی BTR تو کنفرانس ACM CCS 2026 (۱۵ تا ۱۹ نوامبر، لاهه) ارائه می‌شه.

نکات کلیدی:

• BTR یه حمله‌ی Spectre v2 هست که موتورهای JIT مثل Linux cBPF، Oracle GraalVM و Mozilla SpiderMonkey رو هدف می‌گیره.
• ریشه‌ی مشکل اینه که CPU آدرس‌های پیش‌بینی‌شده‌ی قدیمی رو بعد از تغییر کد پاک نمی‌کنه.
• سرعت نشت داده ۵.۷ KB/s روی Intel Raptor Cove و ۵.۴ KB/s روی Lion Cove هست.
• برای لینوکس و Oracle وصله اومده: CVE-2026-64507 و CVE-2026-64508.
• Mozilla مستقیم وصله نکرده و روی site isolation تمرکز کرده.