Vulnerabilitățile Meltdown și Spectre: ce trebuie să știți


NOTĂ: Microsoft a lansat Miercuri, 3 ianuarie 2018, Security Advisory 18002, anunțând modalitatea de adresare unei vulnerabilități majore a Windows în arhitecturile moderne ale CPU-urilor. ESET a lansat modulul Antivirus și Anti-spyware 1533.3 în aceeași zi pentru toți clienții, pentru a se asigura că utilizarea produselor noastre nu va afecta compatibilitatea cu patch-ul Microsoft.

Background

Primele câteva zile ale anului 2018 au fost pline de discuții elaborate privind o vulnerabilitate amplă în arhitectura procesoarelor bazate pe arhitectura Intel Core utilizată în PC-uri de mulți ani, precum și în  procesoarele AMD. Sfera de vulnerabilitate este vastă, afectând totul de la procesoarele ARM utilizate în mod obișnuit în tablete și smartphone-uri la procesoarele IBM POWER folosite în supercomputere.

La momentul redactării acestui articol, nu au fost prezentate toate detaliile, dar se pare că problema este că programele care rulează în spațiul de adrese al modului de utilizator (gama "normal" a memoriei în care rulează software-ul aplicației, jocurile și altele asemenea) pe un computer poate deduce sau "vedea" unele informații stocate în spațiul de adrese al modului kernel (domeniul "protejat" de memorie folosit pentru a încărca sistemul de operare, driverele de dispozitiv și informațiile sensibile, cum ar fi parolele și certificatele de criptografie).

Remedierile aduse pentru ca preveni ca programele user-mode să poată să facă "peering inside" în memoria kernel-mode sunt introdusă de furnizorii de sisteme de operare, de furnizorii de dispozitive hypervisor și chiar de companiile de cloud computing, însă runda inițială de patch-uri va încetini într-o oarecare măsură sistemele de operare. Suma exactă a încetinirii este deschisă dezbaterii. Intel a declarat că încetinirea performanței “nu va fi semnificativă” pentru majoritatea utilizatorilor, însă site-ul Phoronix ce susține entuziast platforma Linux, a evaluat aceste penalități de performanță de la 5-30%, în funcție de ceea ce face computerul.

Istorie

Un thread lung de la Reddit intitulat "Intel bug incoming" a identificat vulnerabilitatea, de când au început să apară informații, de pe 2 ianuarie 2018; Ars Technica și The Register au acoperit, de asemenea, subiectul excelent.

Producătorul de procesoare AMD a anunțat că acestea nu sunt afectate, potrivit rapoartelor de pe CNBC și a unui mesaj către Linux Kernel Mailing List trimis de un inginer AMD, dar rapoartele atât de la Proiectul Zero Google  și Microsoft afirmă că procesoarele AMD sunt afectate. De atunci, AMD a lansat o declarație pentru a clarifica această problemă.

Articolul realizat de Microsoft continuă să afirme că aceasta nu este o problemă specifică Windows și că afectează Android, Chrome OS, iOS și macOS, de asemenea. Articolul companiei Red Hat include arhitectura IBM POWER printre cele vulnerabile. Producătorii de hpervizor VMware și Xen și-au emis propriile avertismente, așa cum a făcut și Amazon Web Services.

Furnizori afectați

Iată o listă cu furnizorii afectați și anunțurile respective și / sau anunțurile de patch-uri:

FURNIZOR ARTICOL/ANUNȚ
Amazon (AWS) AWS-2018-013: Processor Speculative Execution Research Disclosure
AMD An Update on AMD Processor Security
Android (Google) Android Security Bulletin—January 2018
Apple HT208331: About the security content of macOS High Sierra 10.13.2, Security Update 2017-002 Sierra, and Security Update 2017-005 El Capitan
HT208394: About speculative execution vulnerabilities in ARM-based and Intel CPUs
ARM Vulnerability of Speculative Processors to Cache Timing Side-Channel Mechanism
Azure (Microsoft) Securing Azure customers from CPU vulnerability
Microsoft Cloud Protections Against Speculative Execution Side-Channel Vulnerabilities
Chromium Project Actions Required to Mitigate Speculative Side-Channel Attack Techniques
Cisco cisco-sa-20180104-cpusidechannel - CPU Side-Channel Information Disclosure Vulnerabilities
Citrix CTX231399: Citrix Security Updates for CVE-2017-5715, CVE-2017-5753, CVE-2017-5754
Debian Debian Security Advisory DSA-4078-1 linux -- security update
Dell SLN308587 - Microprocessor Side-Channel Attacks (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impact on Dell products
SLN308588 - Microprocessor Side-Channel Attacks (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impact on Dell EMC products (Dell Enterprise Servers, Storage and Networking)
F5 Networks K91229003: Side-channel processor vulnerabilities CVE-2017-5715, CVE-2017-5753, and CVE-2017-5754
FreeBSD FreeBSD News Flash
Google's Project Zero Reading Privileged Memory with a Side-Channel
Huawei Security Notice - Statement on the Media Disclosure of the Security Vulnerabilities in the Intel CPU Architecture Design
IBM Potential CPU Security Issue
Potential Impact on Processors in the POWER Family
Intel INTEL-SA-00088 Speculative Execution and Indirect Branch Prediction Side Channel Analysis Method
Lenovo Lenovo Security Advisory LEN-18282: Reading Privileged Memory with a Side Channel
Microsoft Security Advisory 180002: Guidance to mitigate speculative execution side-channel vulnerabilities
Windows Client guidance for IT Pros to protect against speculative execution side-channel vulnerabilities
Windows Server guidance to protect against speculative execution side-channel vulnerabilities
SQL Server Guidance to protect against speculative execution side-channel vulnerabilities
Important information regarding the Windows security updates released on January 3, 2018 and anti-virus software
Mozilla Mozilla Foundation Security Advisory 2018-01: Speculative execution side-channel attack ("Spectre")
NetApp NTAP-20180104-0001: Processor Speculated Execution Vulnerabilities in NetApp Products
nVidia Security Notice ID 4609: Speculative Side Channels
Security Bulletin 4611: NVIDIA GPU Display Driver Security Updates for Speculative Side Channels
Security Bulletin 4613: NVIDIA Shield TV Security Updates for Speculative Side Channels
Raspberry Pi Foundation Why Raspberry Pi isn’t vulnerable to Spectre or Meltdown
Red Hat Kernel Side-Channel Attacks – CVE-2017-5754 CVE-2017-5753 CVE-2017-5715
SUSE SUSE Linux security updates CVE-2017-5715
SUSE Linux security updates CVE-2017-5753
SUSE Linux security updates CVE-2017-5754
Synology Synology-SA-18:01 Meltdown and Spectre Attacks
Ubuntu Ubuntu Updates for the Meltdown / Spectre Vulnerabilities
VMware NEW VMSA VMSA-2018-0002 VMware ESXi, Workstation and Fusion updates address side-channel analysis due to speculative execution
Xen Advisory XSA-254: Information leak via side effects of speculative execution

Detalii tehnice

Confuzia asupra mărcilor de procesoare afectate poate fi cauzată de faptul că aceasta nu este o vulnerabilitate singulara, ci două vulnerabilități similare, numite Meltdown și Spectre de către cei care le-au descoperit. Aceste vulnerabilități au trei numere CVE (un standard cvasi-guvernamental pentru urmărirea vulnerabilităților și a expunerilor la securitatea calculatorului) care le sunt atribuite:

NUMĂR CVE  DESCRIERE
CVE-2017-5715 Branch Target Injection, exploited by Spectre
CVE-2017-5753 Bounds Check Bypass, exploited by Spectre
CVE-2017-5754 Rogue Data Cache Load, exploited by Meltdown

 

De mulți ani, producătorii de procesoare - cum ar fi Intel - au reușit să remedieze defectele în arhitectura procesoarelor prin intermediul actualizărilor microcodului, care scriu o actualizare a procesorului în sine pentru a repara o eroare. Pentru unul sau mai multe motive - până acum neanunțate - această vulnerabilitate nu poate fi fixată în acest fel în procesoarele Intel, așa că producătorii de sisteme de operare au colaborat cu Intel pentru a lansa patch-uri pentru vulnerabilități.

Sistemul de consultanță pentru securitate Intel,  INTEL-SA-00088 Speculative Execution and Indirect Branch Prediction Side Channel Analysis Method, listează 44 de familii afectate de procesoare, fiecare dintre ele putând conține zeci de modele. ARM Limited a lansat un aviz consultativ intitulat Vulnerability of Speculative Processors to Cache Timing Side-Channel Mechanism care conține în prezent 10 modele de procesoare afectate.

CERT a emis următoarea notă de vulnerabilitate: CERT Vulnerability Note VU#584653, CPU hardware vulnerable to side-channel attacks

US-CERT a emis și un aviz tehnic: US-CERT Alert (TA18-000FA): https://www.us-cert.gov/ncas/alerts/TA18-004A

Răspunsul ESET

După cum s-a menționat la începutul articolului, ESET a lansat miercuri, 3 ianuarie 2018, actualizarea modulului Antivirus și Anti-spyware 1533.3, pentru a asigura compatibilitatea cu actualizările Microsoft la sistemele de operare Windows. ESET lucrează alături de furnizorii de hardware și software pentru a diminua riscul reprezentat de vulnerabilități.

Pentru informații suplimentare, consultați:

Verificați periodic aceste articole și verificați această postare de blog pentru actualizări, deoarece tot mai multe informații vor fi disponibile.

Istoricul reviziilor

2017-01-05: Lansarea inițială.

2017-01-06: Informații adiționale pentru AMD, Android (Google), Proiectul Chromium, Cisco, Citrix, Debian, Dell, F5 Networks, Huawei, NetApp, nVidia, Raspberry Pi, SUSE, Synology și Ubuntu.

2017-01-07: Istoric revizuit. Adăugare link-uri către CERT și US-CERT. Adăugare informații pentru FreeBSD. Revizuirea linkurilor existente.

 

ARYEH GORETSKY
CORESPONDENT INDEPENDENT

Aryeh Goretsky January 8, 2018

Lasa un comentariu