Nova variante Spectre-v2 BTR expõe vulnerabilidade crítica em sistemas Linux

A variante BTR (Branch Target Reuse) do Spectre-v2 representa um novo capítulo na exploração de falhas de execução especulativa em CPUs. Diferente de ataques anteriores que focavam em desviar o fluxo de controle para outro ponto, o BTR explora a reutilização temporal de entradas obsoletas na predição de branch em engines JIT. Basicamente, quando um código é liberado e realocado, as CPUs modernas restauram a coerência arquitetural do código, mas não invalidam necessariamente as entradas antigas de predição de branch. Isso cria uma janela para que atacantes consigam 'sequestrar' o fluxo de execução transiente para códigos recém-gerados em offsets defasados.

A prova de conceito foi bem sucedida na extração do hash da senha de root em sistemas Linux com JIT cBPF em minutos. É um ataque que se aproveita da interação entre Self-Modifying Code (SMC) e a predição de branch indireta, comum em engines JIT de navegadores, runtimes de linguagens e, crucialmente, no kernel do sistema operacional. Mesmo plataformas Intel já atualizadas com defesas padrão não se mostraram imunes, exigindo correções específicas integradas ao kernel Linux (CVE-2026-64507, CVE-2026-64508).

A cobertura anterior do CEVIU, como a matéria de 7 de agosto de 2026, já alertava sobre o ataque TONTOU, que também burlava mitigações do Spectre v2. Contudo, o BTR traz uma nuance importante: ele é um ataque 'in-place' e 'temporal'. Isso significa que a exploração acontece no mesmo branch indireto, mas em diferentes momentos, reutilizando entradas obsoletas de predição. Ataques anteriores ao Spectre-v2 eram mais focados em violações 'espaciais', desviando para outro alvo. O BTR prova que a 'mudança de significado' do código subjacente, mesmo mantendo o mesmo branch e alvo, é suficiente para o ataque.

Esta nova variante mostra que a resincronização de estados microarquitetônicos em CPUs modernas, especialmente em relação a código auto-modificável (JIT), ainda é deficiente. Não basta invalidar caches de instrução e dados; a predição de branch também precisa ser limpa. Enquanto o TONTOU explorava outras brechas, o BTR acende um alerta sobre como os JIT engines precisam agora de mecanismos de isolamento ou mitigações específicas, como a Mozilla planeja com o isolamento de sites, em vez de depender apenas de barreiras como o IBPB.

A persistência e a evolução das vulnerabilidades do tipo Spectre-v2 são um desafio contínuo para a segurança de sistemas. A BTR reforça que mesmo com as defesas padrão em vigor, falhas na arquitetura da CPU podem ser exploradas de novas maneiras, especialmente quando há interação com tecnologias como os engines JIT. A capacidade de extrair hashes de senha de root em sistemas Linux amplamente utilizados, mesmo em ambientes atualizados, é um risco de segurança elevadíssimo para infraestruturas e usuários.

Esta descoberta também aponta para uma falha fundamental no design de CPUs modernas: a forma como gerenciam o estado microarquitetônico ao reescrever código. Como ressaltado pelos pesquisadores, a sincronização completa de todos os estados é custosa, o que abre portas para futuros problemas similares ao BTR. Para empresas e desenvolvedores, a mensagem é clara: a segurança não é estática e exige vigilância constante, especialmente na gestão de vulnerabilidades que exploram a base do hardware.