Rocket-Chip CSR Logic Vulnerability: MRET-Triggered Exception Causes Faulty Privilege State Handling

重要な脆弱性情報 脆弱性名称 Rocket-Chip CSRロジックの脆弱性: 例外処理と復帰メカニズム間の不具合により、mretトリガーによる例外で誤ったトラップ動作が発生する。 発見者 Shu Fanyun, Zhang Yang, Fu Zheng, Zhang Zhiheng, Wang Jian（中国電子科技大学 情報通信工程学院） 概要 Rocket-Chipの制御および状態レジスタ（CSR）において、例外処理メカニズムと復帰メカニズム（MRET）の間に競合が発生している。マシンモードで例外発生前にMRETを実行すると、命令アクセス故障（Instruction Access Fault）がトリガーされる可能性がある。これにより、例外処理ロジックと例外復帰ロジックが同時にアクティブ化され、例外処理フローにエラーが生じる——例えば、MPIE（Previous Machine Interrupt Enable）が仕様どおりMIE（Machine Interrupt Enable）の値を保存しないなど。 脆弱性の一般的な説明 プロセッサアーキテクチャにおいて、例外処理メカニズムは、不正命令や範囲外メモリアクセスなどの、命令実行中の不正事象に対応することを目的としている。例外が発生すると、プロセッサは現在の実行フローを直ちに中断し、重要な状態情報を保存して、定義済みの例外ハンドラにジャンプする必要がある。例外エントリにおいて、プロセッサは通常、現在の中割り込み有効状態（例：MIE）をバックアップビット（MPIE）に保存し、ネストされた例外を防ぐために中割り込みを無効化する。MRET命令は、mstatusレジスタに保存されていた例外状態および例外レベルを復元することで、通常の実行へ戻るために使用される。しかし、実装においてRocket Chipは、MRET命令が例外をトリガーする可能性を無視していた。これにより、例外処理と例外復帰のロジックが同時にトリガーされ、制御および状態レジスタの競合を引き起こす可能性がある。 発見の経緯 ダイナミックテストにおいて、Rocket Chipはマシンモードで例外状態ではなくMRET命令を実行した際、命令アクセス故障をトリガーした。この際、プロセッサが例外処理ロジックと復帰ロジックを誤って同時にアクティブ化し、例外処理フローを破壊していることが観察された。この欠陥の主要な現れ方は、MPIEがRISC-V特権アーキテクチャ仕様第3.1.6節（26ページ）で規定されているMIEの値を正しく復元しなかったことである。命令実行前: MIE=0, MPIE=1, mcause=0。命令実行後: mcauseは1（命令アクセス故障を示す）に更新されるが、MPIEは変更されず1のままであった。詳細なランタイムログは次を参照: https://github.com/heyfenny/Vulnerability_disclosure/blob/main/RISCV/Rocket-chip/25-7-10/Rocket_Runtime_log.log。これは、適切な特権状態の遷移が正常に完了しなかったことを示している。 最終的に、プロセッサは例外処理フローへ移行したが、例外処理は正しく実行されず、プログラムは異常終了した。これは、Rocket Chipの現在のCSRロジックがMRET中にトリガーされる例外を堅牢に処理できないことを示しており、特権アーキテクチャの要件に違反し、システムの信頼性を損なうものである。 脆弱性タイプ CWE-440: Expected Behavior Violation 影響を受ける製品コードリポジトリ Rocket-Chip: The Berkeley Open-Source RISC-V Processor のコミット f517abb およびそれ以前のバージョン 影響を受けるコンポーネント src/main/scala/rocket/CSR.scala（制御および状態レジスタ） 例示コード 提供されたコードは、オープンソースプロジェクトRocket-ChipのCSRモジュール（src/main/scala/rocket/CSR.scala）から抜粋したものである。このプロジェクトはプロセッサをScalaで設計し、その後Verilogコードを生成するため、使用言語はScalaである。 Rocketの例外エントリロジック: Rocketの復帰ロジック: これらの2つの意思決定ロジックは単純すぎ、復帰ロジックの意思決定プロセスにおいて例外のトリガーをチェックするメカニズムが欠如していることが観察される。 推奨される修正コード

目標達成すべての支援者に感謝 — 100%達成しました！

Rocket-Chip CSR Logic Vulnerability: MRET-Triggered Exception Causes Faulty Privilege State Handling

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Rocket-Chip CSR Logic Vulnerability: MRET-Triggered Exception Causes Faulty Privilege State Handling

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！