DDR5内存遭Phoenix新型攻击，2分钟内可获取root权限

9 月 16 日消息，网络安全媒体 bleepingcomputer 最新报道显示，瑞士苏黎世联邦理工学院与谷歌合作研发的"Phoenix"攻击技术，成功突破了 DDR5 内存的安全防线。这项发布于 9 月 15 日的重磅研究，揭示了现代内存防护机制仍存在严重漏洞。

Rowhammer 攻击技术本质上是通过高频访问内存特定区域，利用电磁干扰效应致使邻近存储单元出现数据异常翻转。这种攻击手法可能被恶意利用来修改关键数据、获取系统特权、运行恶意程序或泄露机密信息。

虽然 DDR5 标准引入了"目标行刷新(TRR)"的防护机制——当检测到异常访问频率时会自动刷新受影响区域，但最新研究证明这些防护措施仍存在缺陷。

苏黎世联邦理工与谷歌的联合研究团队经过深入分析发现，SK 海力士 DDR5 芯片的 TRR 机制在某些特定刷新间隔存在监测盲区。他们开发的"Phoenix"攻击不仅能够精准抓住这些时机，还创新性地采用了自校正同步技术，即便出现监测失误也能自动调整攻击节奏。

在实测中，Phoenix 攻击在多种刷新模式下均表现优异。研究人员使用 15 款不同 DDR5 内存进行测试时，全部样本都出现了预期的比特翻转现象，这证明了漏洞的普遍性。

研究团队首次基于 Rowhammer 技术实现了权限提升：仅需两分钟就能在默认系统配置下获取 root 权限。后续测试更显示，攻击者可以任意读写内存中的页表项(PTE)。以下是具体演示视频：

特别值得注意的是：在 RSA-2048 密钥测试中，73% 的内存条漏洞会导致 SSH 认证被攻破；另有三分之一样本可通过修改 sudo 程序获取最高权限。据证实，2024 全年生产的 DDR5 内存均受 CVE-2025-6202 漏洞影响，安全风险等级被评估为高危。

目前唯一可行的临时解决方案是将 DRAM 刷新频率(tREFI)提升至三倍，但这会导致系统性能下降，甚至可能引发数据错误。相关详细研究将发表于明年的 IEEE 安全与隐私研讨会，实验代码已向学术界公开。