Meltdown and Spectre: Chip-hack får et navn, en nødpatch og en officiel erklæring fra Microsoft

Historien om den massive sårbarhed i næsten alle pc'er og tilsyneladende også telefoner i de sidste 20 år udfolder sig hurtigt i dag, og flere detaljer er nu blevet afsløret af to sikkerhedsforskere i centrum for opdagelsen.

Døbt "Meltdown" og "Spectre" og i "næsten alle systemer" har sårbarheden tilsyneladende været til stede siden 1995 og lader hackere få adgang til data fra et hvilket som helst sted i et systems fysiske hukommelse.

"En angriber kan muligvis stjæle alle data på systemet," sagde Daniel Gruss, en sikkerhedsforsker.

Holdet bekræftede, at ikke kun Intel-chips er berørt med nogle, men ikke alle AMD-chips også sårbare. AMD sagde imidlertid: "På grund af forskelle i AMDs arkitektur, mener vi, at der er en næsten nul risiko for AMD-processorer på nuværende tidspunkt."

ARM tilføjede, at nogle af dets processorer, inklusive Cortex-A-chips, er berørt. Cortex-A-kerner bruges også i Qualcomms populære Snapdragon-serie.

Ved at bruge Meltdown-hacket kan en uprivilegeret applikation såsom Javascript-kode potentielt læse dine adgangskoder fra hukommelsen og eksportere dem overalt på internettet. Det har Mozilla bekræftet et Javascript-baseret angreb er muligt og patcher Firefox for at afbøde dette. Intel har sagt, at angribere dog ikke vil være i stand til at ændre RAM'en på en pc eller telefon, hvilket begrænser skaden noget. Spectre kan dog narre applikationer til at afsløre information.

På nuværende tidspunkt sagde Storbritanniens nationale cybersikkerhedscenter, at der ikke er beviser for ondsindede udnyttelser i naturen, men i betragtning af omfanget af sårbarheden antager vi, at hackere skynder sig at producere udnyttelseskode, hvor proof of concept-kode allerede er udgivet på Twitter af sikkerhedsforsker Erik Bosman.

De fulde detaljer om sårbarheden er nu blevet offentliggjort her.

Microsoft har udgivet en out-of-band-sikkerhedspatch for at løse problemet og siger i en erklæring:

Vi er opmærksomme på dette brancheomspændende problem og har arbejdet tæt sammen med chipproducenter for at udvikle og teste begrænsninger for at beskytte vores kunder. Vi er i gang med at implementere begrænsninger til cloud-tjenester og har også udgivet sikkerhedsopdateringer for at beskytte Windows-kunder mod sårbarheder, der påvirker understøttede hardwarechips fra Intel, ARM og AMD. Vi har ikke modtaget nogen information, der indikerer, at disse sårbarheder er blevet brugt til at angribe vores kunder.

Apple har efter sigende rettet fejlen i macOS 10.13.2, og patches til Linux-systemer er også tilgængelige, og nye processorer forventes at blive rekonstrueret og løse problemet yderligere.

Windows 10-patchen vil automatisk blive anvendt kl. 5 ET / 2 PT i dag, mens patches til ældre versioner af Windows udrulles på Patch Tuesday. Microsoft har ikke sagt, om de vil patche Windows XP.

Patchen har potentiale til at sænke pc'er, men nyere processorer som Skylake er mindre påvirket, og ikke alle opgaver er lige påvirket, med opgaver som at få adgang til mange små filer mere påvirket end blot at browse for eksempel.

Selvom sårbarheden oprindeligt er blevet solgt som et Intel-problem, er pc'er meget nemmere at rette end den store mængde Android-telefoner, der ikke længere modtager opdateringer, hvilket i sidste ende tyder på, at dette kan blive et telefonproblem langt ud i fremtiden.

Daniel Gruss, der bemærkede, hvor vanskelige Spectre-angrebene er at afbøde, sagde, at deres problem "kommer til at forfølge os i årevis."

Via ZDNet, Randen