Remote-GPU-Angriff birgt das Risiko, dass Browser Websites Zugriff auf Grafikkarten für potenzielle Krypto-Mining-Exploits gewähren
Forscher der Technischen Universität Graz in Österreich und der Universität Rennes in Frankreich haben eine besorgniserregende Sicherheitslücke in Grafikprozessoren (GPUs) aufgedeckt, die möglicherweise für das Mining von Kryptowährungen und andere böswillige Aktivitäten ausgenutzt werden könnte. Diese neu entdeckte Bedrohung zielt auf gängige Browser und Grafikkarten ab.
Die Schwachstelle dreht sich um WebGPU, eine API, die es Webentwicklern ermöglicht, direkt in einem Webbrowser auf die GPU eines Computers zuzugreifen, um Hochleistungsaufgaben auszuführen. Durch geschickte Manipulation dieser API mithilfe von JavaScript haben die Forscher einen Remote-Angriffsvektor demonstriert, der vollständig innerhalb des Browsers funktioniert, sodass kein direkter Zugriff auf native GPU-APIs erforderlich ist.
Diese Angriffsmethode stellt eine der frühesten Instanzen eines GPU-Cache-Seitenkanalangriffs dar, der von einem Webbrowser ausgeht. Indem Benutzer dazu verleitet werden, eine bösartige Website zu besuchen, auf der der Exploit-Code gehostet wird, können Angreifer den Exploit aus der Ferne ausführen, ohne dass der Benutzer eingreifen muss, außer dass er nur ein paar Minuten auf der Website bleibt.
Die Auswirkungen dieser Sicherheitslücke sind erheblich. Der Angriff kann für Inter-Tastendruck-Timing-Angriffe ausgenutzt werden, wodurch möglicherweise vertrauliche Informationen wie Passwörter preisgegeben werden, die auf dem Tastendruck-Timing basieren. Darüber hinaus ermöglicht es die Extraktion von GPU-basierten AES-Verschlüsselungsschlüsseln und richtet verdeckte Datenexfiltrationskanäle mit moderaten Übertragungsraten ein.
Die Forscher betonen, dass Browser-Anbieter den GPU-Zugriff mit der gleichen Vorsicht behandeln müssen wie andere sicherheitsrelevante Ressourcen. Lukas Giner, einer der Forscher, weist auf die Risiken hin, die von Browsern ausgehen, die Websites uneingeschränkten Zugriff auf die GPU des Hostsystems gewähren, und verweist auf das Potenzial für heimliche Angriffe oder sogar verdeckte Kryptowährungs-Mining-Operationen ohne Wissen des Benutzers.
Die Untersuchung zielte auf eine Reihe von Desktop-Grafikkarten von AMD und NVIDIA ab und betraf Browser, die WebGPU unterstützen, darunter Chrome, Chromium, Edge und Firefox Nightly. Trotz Benachrichtigungen an Mozilla-, AMD-, NVIDIA- und Chromium-Entwickler hat nur AMD eine Antwort herausgegeben und erklärt, dass sie nicht glauben, dass die Forscher einen Exploit gegen ihre Produkte nachgewiesen haben.
Um das Risiko zu mindern, schlugen die Forscher die Implementierung eines Berechtigungs-Popups vor, ähnlich denen für den Mikrofon- oder Kamerazugriff. Das Chromium-Team äußerte jedoch Vorbehalte und verwies auf das Potenzial für zusätzliche Benutzerreibungen ohne entsprechende Sicherheitsvorteile.
Diese Enthüllung unterstreicht die dringende Notwendigkeit proaktiver Maßnahmen zur Sicherung des GPU-Zugriffs in Browsern, da die Nichtbehebung dieser Schwachstelle dazu führen könnte, dass Benutzer einer Reihe böswilliger Aktivitäten ausgesetzt sind, von Datendiebstahl bis hin zum verdeckten Kryptowährungs-Mining.