Cyberpediaod Brain
PLDEENESFRITNLPT

Rowhammer, atak odwracający bity w pamięci

Rowhammer zmienia zawartość pamięci DRAM urządzenia bez bezpośredniego dostępu do niej. Co widzi pracownik, jak to działa i jakie nawyki pomagają.

W 30 sekund

Gdzie to się zdarza
W pamięci DRAM komputerów i urządzeń, także wtedy, gdy strona internetowa uruchamia JavaScript w przeglądarce1.
Czego chce atakujący
Zmienić bity, których jego program nie ma prawa modyfikować, na przykład aby uzyskać uprawnienia administratora13.
Odruch
Aktualizować system, przeglądarkę i oprogramowanie, ponieważ regularna aktualizacja oprogramowania jest środkiem ochrony, który MITRE ATT&CK wymienia wobec wykorzystywania luk34.
Jeśli to już się stało
Zgłosić zespołowi bezpieczeństwa każde nietypowe zachowanie urządzenia, na przykład nagłe wyłączenie się programu antywirusowego, które MITRE ATT&CK zalicza do oznak wykorzystania luki4.

O co chodzi

Podstawowa zasada bezpieczeństwa informatycznego mówi, że miejsce w pamięci mogą zmieniać tylko programy, które mają prawo do zapisu. Rowhammer omija tę zasadę: odczytując bardzo często wybrane obszary pamięci DRAM, program może zmienić zawartość sąsiednich komórek, nie mając do nich dostępu1.

Pracownik powinien zapamiętać, że do przeprowadzenia tego ataku wystarczy strona internetowa z JavaScriptem1. Atak dotyczy samego sprzętu, a według autorów zabezpieczenia istniejące w 2015 roku go nie blokowały1.

Pytania wprost

Czym jest Rowhammer?

To wada pamięci DRAM. Autorzy Rowhammer.js wyjaśniają, że zakłócenia w DRAM mogą zmienić zawartość komórki pamięci bez dostępu do niej, gdy z dużą częstotliwością odwołuje się do innych miejsc1. Zaznaczają, że w chwili publikacji artykułu wada ta występowała w większości używanych modułów pamięci1.

Dlaczego ta wada istnieje?

Według drugiej wersji artykułu DRAM stała się gęstsza, więc jej komórki są słabiej odizolowane od siebie2. Wielokrotne odwołania do wierszy DRAM mogą wtedy powodować przypadkowe odwrócenia bitów w sąsiednim wierszu2.

Czy jeden odwrócony bit to naprawdę poważna sprawa?

Tak, według tych samych autorów. Wadę wykorzystano już do uzyskania uprawnień root i do wyjścia z piaskownicy2. Piaskownica to odizolowana przestrzeń, w której program ma pozostawać zamknięty.

Czy trzeba mieć dostęp do komputera, żeby go zaatakować?

Niekoniecznie. Według autorów Rowhammer.js to pierwszy sprzętowy atak wywoływany zdalnie przez oprogramowanie: nie wymaga fizycznego dostępu do maszyny, wykonania kodu natywnego ani specjalnych instrukcji2. Do wywołania błędów w zdalnym sprzęcie wystarczy strona internetowa z JavaScriptem1.

Co widzi ofiara?

Cytowane tu źródła nie opisują żadnego komunikatu ani oznaki na ekranie. Wskazują, że takie ataki prowadzone przez JavaScript mogą po cichu i jednocześnie obejmować miliony użytkowników2.

1W skórze atakującego1 min

Atakujący zaczyna od przeszkody: program działający z niewielkimi uprawnieniami nie ma dostępu do niektórych zasobów systemu. MITRE ATT&CK opisuje ten etap jako podniesienie uprawnień, które może przenieść z poziomu użytkownika do uprawnień SYSTEM lub root3. Może też umożliwić opuszczenie środowiska zwirtualizowanego, takiego jak maszyna wirtualna lub kontener, i dotarcie do maszyny hosta3.

Rowhammer daje drogę do tego celu, ponieważ pozwala zmieniać pamięć bez zezwolenia. Autorzy Rowhammer.js wymieniają ataki z podniesieniem uprawnień wśród skutków1. Wskazują też, że strona internetowa wystarczy, aby uzyskać nieograniczony dostęp do systemów jej odwiedzających1.

MITRE ATT&CK opisuje inną technikę, wykorzystanie luki w celu uniknięcia wykrycia, która polega na działaniu w sposób zmniejszający widoczność lub wtapiający się w legalną aktywność4. Ta fiszka nie twierdzi, że Rowhammer użyto w ten sposób: cytowane tu źródła o tym nie wspominają.

2Co widać na ekranie1 min

Cytowane tu źródła nie opisują tego, co zauważa użytkownik. Mówią jedynie, że atak przez przeglądarkę może być prowadzony po cichu2. W scenariuszu opisanym przez autorów Rowhammer.js ofiara odwiedza stronę internetową zawierającą JavaScript1.

Skoro Rowhammer nie ma własnej widocznej oznaki, trzeba zwracać uwagę na symptomy typowe dla każdego wykorzystania luki. MITRE ATT&CK wymienia nietypowe zachowania procesów, takie jak nieoczekiwane zatrzymanie programu antywirusowego lub narzędzia wykrywającego, albo dzienniki z lukami4.

3Pod maskąZespoły IT1 min

Pamięć DRAM przechowuje dane w komórkach ułożonych w wiersze. Gdy gęstość rośnie, komórki są gorzej od siebie odizolowane2. Bardzo częsty odczyt jednego wiersza może wtedy przełączać bity w wierszu sąsiednim2.

Pierwsze exploity napisane z myślą o tej wadzie używały kodu natywnego i specjalnych instrukcji służących do usuwania danych z pamięci podręcznej2. Wszystkie badania i ataki sprzed Rowhammer.js zależały od dostępności instrukcji opróżniania pamięci podręcznej, aby wywołać odwołania do DRAM z wystarczającą częstotliwością1.

Rowhammer.js usunął to ograniczenie. Jego autorzy pokazują, że można zmusić pamięć podręczną do szybkiego wypierania danych i wywołać wadę zwykłymi odwołaniami do pamięci1. Atak staje się wtedy możliwy w środowiskach z ograniczeniami, także skryptowych1. Strategia wypierania znaleziona przez ogólny algorytm podnosi współczynnik wypierania z 95,2 % do 99,99 %2.

Autorzy twierdzą, że zabezpieczenia istniejące w chwili publikacji artykułu nie chroniły przed tym nowym atakiem1. W drugiej wersji proponują środki zaradcze, które można zastosować od razu2.

4Analizy incydentówPrawdziwe przypadki1 min

Rowhammer.js, lipiec 2015

24 lipca 2015 roku Daniel Gruss, Clémentine Maurice i Stefan Mangard złożyli w arXiv artykuł Rowhammer.js1. Przedstawiają w nim implementację ataku w JavaScripcie2. Opisują atak w pełni zautomatyzowany, który do wywołania błędów w zdalnym sprzęcie wymaga jedynie strony internetowej z JavaScriptem1.

Według nich atak działa na systemach dostępnych w handlu i daje nieograniczony dostęp do systemów odwiedzających stronę1. Druga wersja ukazała się 27 sierpnia 2015 roku, a ostatnia pochodzi z 5 kwietnia 2016 roku12. Artykuł przyjęto na 13. konferencji DIMVA w 2016 roku1.

5Co Pan/Pani robi1 min

Cytowane tu źródła nie podają żadnego działania właściwego dla Rowhammera, ani w odniesieniu do pamięci ECC, ani do najnowszych generacji DDR. Pozwalają jedynie zapamiętać ogólny środek podany przez MITRE ATT&CK: regularnie aktualizować oprogramowanie, z zarządzaniem poprawkami dla stacji roboczych i serwerów firmy34.

Dla pracownika oznacza to przyjmowanie aktualizacji proponowanych przez dział IT i niewstrzymywanie ich bez powodu. MITRE ATT&CK wymienia też zabezpieczenia wykrywające zachowania typowe dla wykorzystania luk oraz izolowanie aplikacji w piaskownicy, które utrudnia atakującemu postęp4.

Karta

Identyfikator
CP-088
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Zabezpieczać urządzenia (secure_devices)
Odruch Brain
cr-055
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 4
ŹródłaŹródła: 4
  1. arXiv, „Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript”, 24 lipca 2015. https://arxiv.org/abs/1507.06955 (dostęp 3 listopada 2026)
  2. arXiv, „Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript”, 27 sierpnia 2015. https://arxiv.org/abs/1507.06955v2 (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1068/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1211/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Rowhammer, atak odwracający bity w pamięci”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/rowhammer-odwracanie-bitow-pamiec-dram/

BibTeX 
@misc{brain_cp088_pl_2026,
  author = {Brain},
  title = {Rowhammer, atak odwracający bity w pamięci},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/rowhammer-odwracanie-bitow-pamiec-dram/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0