Pesquisadores de segurança revelaram uma nova variante de ataque Spectre V2, denominada Branch Target Reuse (BTR) , que explora compiladores Just-In-Time (JIT) e afeta processadores das principais fabricantes: Intel, AMD e Arm. O anúncio foi feito pelo grupo VUSec, da Universidade Vrije de Amsterdã, em conjunto com a Scuola Superiore Sant’Anna.

Como funciona o ataque BTR

O BTR explora uma vulnerabilidade fundamental na forma como as CPUs modernas gerenciam previsões de desvios indiretos. Quando código compilado em tempo de execução (JIT) é removido da memória, o processador pode reter entradas obsoletas no Branch Target Buffer (BTB). Se a mesma região de memória for reutilizada para novo código, essas previsões antigas podem direcionar a execução especulativa para locais não intencionais, criando o que os pesquisadores chamam de “primitiva especulativa de execute-after-free”.

Em termos práticos, isso permite que um atacante desvie o fluxo de execução especulativa para código gerado em posições obsoletas, contornando mitigações de software como o FineIBT ou alcançando gadgets desalinhados.

Impacto real demonstrado

A demonstração mais impactante da pesquisa envolveu dois exploits completos contra o kernel Linux através de programas cBPF (classic Berkeley Packet Filter). Em sistemas Intel modernos com todas as mitigações habilitadas, os pesquisadores conseguiram:

• Vazar memória arbitrária do kernel
• Recuperar o hash da senha de root de um processo su em execução
• Taxa de vazamento de aproximadamente 8 bytes por segundo

O tempo médio para recuperação completa do hash foi de cerca de 3 minutos em processadores Intel Raptor Cove e 5 minutos em Lion Cove.

É importante destacar que obter o hash da senha não equivale a obter a senha em texto claro. O atacante ainda precisaria quebrar o hash, o que depende da força da senha e do algoritmo de hashing utilizado.

Ambientes afetados

Os pesquisadores analisaram três principais superfícies de ataque:

1. Linux cBPF: Exploits end-to-end funcionais demonstraram vazamento de memória arbitrária
2. Mozilla SpiderMonkey: O motor JavaScript do Firefox apresentou condições que tornam o ataque viável, embora um exploit completo de navegador ainda não tenha sido desenvolvido
3. Oracle GraalVM: Embora reuso de endereços tenha sido demonstrado, a coleta de lixo e compilação do runtime eliminaram as entradas obsoletas antes da exploração

Mitigações implementadas

Kernel Linux

Os desenvolvedores do kernel já integraram patches que:

• Emitem um IBPB (Indirect Branch Predictor Barrier) em todos os núcleos quando um programa cBPF reutiliza uma região previamente executada
• Desencorajam a reutilização de regiões como otimização
• Aplicam a mitigação independentemente do status do IBT

Duas CVEs foram atribuídas:

• CVE-2026-64507: x86/bugs: Enable IBPB flush on BPF JIT allocation
• CVE-2026-64508: bpf: Support for hardening against JIT spraying

Oracle GraalVM

A Oracle optou por randomizar as localizações do cache de código JIT, dificultando que um atacante consiga posicionar código malicioso no mesmo endereço de memória previamente utilizado.

Mozilla Firefox

A Mozilla avaliou mitigações baseadas em IBPB para o SpiderMonkey, mas priorizou a conclusão e implantação do isolamento de sites (site isolation) como estratégia de defesa.

Resposta das fabricantes

• AMD: Declarou que a pesquisa não descreve uma nova vulnerabilidade, afirmando que a técnica já está coberta pelas orientações existentes para Spectre V2
• Intel e Arm: Não forneceram comentários até o momento da publicação

Disponibilidade de correções

As mitigações para o kernel Linux já foram mainlined desde julho e também backported para versões estáveis, portanto não há novas correções sendo liberadas hoje. Usuários de sistemas Linux devem garantir que seus kernels estejam atualizados com as versões mais recentes que incluem essas proteções.

O paper completo está disponível em VUSec.net, e o código proof-of-concept foi publicado no GitHub do grupo de pesquisa.