Arm Neoverse V3AE分支预测漏洞解析与防护

1. Arm Neoverse V3AE核心的分支预测机制解析

现代处理器通过分支预测技术显著提升性能，其本质是CPU根据历史执行模式（如循环、条件判断等）预先加载可能执行的指令。Arm Neoverse V3AE采用两级自适应预测器：

• 第一级：局部历史表（LHT）记录最近16次分支结果，通过4位计数器预测方向
• 第二级：全局历史表（GHT）跟踪跨分支的关联模式，使用12位全局分支历史寄存器

分支目标缓冲区（BTB）存储预测目标地址，当预测正确时流水线无停顿；预测错误时需清空流水线，代价约为15-20个时钟周期。在异常等级（EL）切换场景中，Arm架构要求从低EL（如EL0用户态）切换到高EL（如EL1内核态）时，必须清除分支历史记录（BHB），防止低权限代码影响高权限执行流。

2. 漏洞形成机理与攻击场景还原

2.1 CPUACTLR4寄存器的关键作用

该漏洞(CVE-2024-XXXXX)的核心在于CPUACTLR4_EL1寄存器的两个配置位：

• Bit 10 (BHB_FLUSH_AT_VEC_RESTART_EN)：控制EL切换时是否刷新BHB
• Bit 11 (BHB_SUPPRESS_AT_VEC_RESTART_DIS)：控制是否抑制历史记录

当Bit10=0且Bit11=0时（默认配置），处理器在EL切换时既不清除历史也不抑制预测，导致攻击者可构造特定分支序列"训练"预测器。例如以下攻击代码：

assembly复制; 攻击者代码（EL0）
loop:
    cmp x0, #0x100
    b.ne target1  ; 重复执行100次建立预测模式
    ...
target1:
    ; 触发EL切换到EL1
    svc #0  

2.2 侧信道攻击实现路径

攻击分三个阶段实施：

1. 训练阶段：在EL0反复执行特定分支指令，污染BHB状态
2. 触发阶段：通过系统调用进入EL1，内核代码因预测错误执行非预期路径
3. 探测阶段：利用缓存计时攻击检测内核访问的内存位置

典型攻击目标包括：

• AES加密算法的S-Box访问痕迹
• 内核地址空间布局随机化（KASLR）的偏移量
• 安全飞地（如TrustZone）的内存访问模式

3. 漏洞