Meltdown and Spectre: Chip-hack krijgt naam, noodpatch en officiële verklaring van Microsoft

Het verhaal over de enorme kwetsbaarheid in bijna elke pc en blijkbaar ook in telefoons van de afgelopen 20 jaar ontvouwt zich vandaag snel en er zijn nu meer details onthuld door twee beveiligingsonderzoekers die centraal staan ​​in de ontdekking.

De kwetsbaarheid, genaamd "Meltdown" en "Spectre", en in "bijna elk systeem", is blijkbaar al sinds 1995 aanwezig en geeft hackers toegang tot gegevens vanaf elke locatie in het fysieke geheugen van een systeem.

"Een aanvaller kan mogelijk alle gegevens op het systeem stelen", zegt beveiligingsonderzoeker Daniel Gruss.

Het team bevestigde dat niet alleen Intel-chips worden getroffen, maar dat niet alle AMD-chips ook kwetsbaar zijn. AMD zei echter: "Vanwege de verschillen in AMD's architectuur zijn we van mening dat er op dit moment bijna geen risico is voor AMD-processors."

ARM voegde eraan toe dat sommige van zijn processors, waaronder de Cortex-A-chips, worden beïnvloed. Cortex-A-kernen worden ook gebruikt in de populaire Snapdragon-serie van Qualcomm.

Met behulp van de Meltdown-hack kan een niet-bevoorrechte toepassing zoals Javascript-code mogelijk uw wachtwoorden uit het geheugen lezen en ze overal op internet exporteren. Mozilla heeft bevestigd dat een op Javascript gebaseerde aanval is mogelijk en patchen Firefox om dit te verhelpen. Intel heeft echter gezegd dat aanvallers het RAM-geheugen van een pc of telefoon niet kunnen wijzigen, waardoor de schade enigszins wordt beperkt. Spectre kan applicaties echter misleiden om informatie te onthullen.

Op dit moment zei het Britse National Cyber ​​Security Centre dat er geen bewijs is van kwaadwillende exploits in het wild, maar gezien de omvang van de kwetsbaarheid, gaan we ervan uit dat hackers haast maken om exploitcode te produceren, waarbij proof-of-concept-code al op Twitter wordt vrijgegeven door veiligheidsonderzoeker Erik Bosman.

De volledige details van de kwetsbaarheid zijn nu hier gepubliceerd.

Microsoft heeft een out-of-band beveiligingspatch uitgebracht om het probleem aan te pakken en zegt in een verklaring:

We zijn ons bewust van dit branchebrede probleem en hebben nauw samengewerkt met chipfabrikanten om oplossingen te ontwikkelen en te testen om onze klanten te beschermen. We zijn bezig met het implementeren van oplossingen voor cloudservices en hebben ook beveiligingsupdates uitgebracht om Windows-klanten te beschermen tegen kwetsbaarheden die van invloed zijn op ondersteunde hardwarechips van Intel, ARM en AMD. We hebben geen informatie ontvangen die erop wijst dat deze kwetsbaarheden zijn gebruikt om onze klanten aan te vallen.

Apple heeft naar verluidt de fout in macOS 10.13.2 gepatcht en patches voor Linux-systemen zijn ook beschikbaar en naar verwachting zullen nieuwe processors opnieuw worden ontworpen om het probleem verder op te lossen.

De Windows 10-patch wordt vandaag automatisch toegepast om 5 uur ET / 2 uur PT, terwijl patches voor oudere versies van Windows op Patch Tuesday worden uitgerold. Microsoft heeft niet gezegd of ze Windows XP gaan patchen.

De patch heeft het potentieel om pc's te vertragen, maar nieuwere processors zoals Skylake worden minder beïnvloed, en niet alle taken worden even zwaar getroffen, waarbij taken zoals het openen van veel kleine bestanden meer worden beïnvloed dan alleen browsen bijvoorbeeld.

Hoewel het beveiligingslek aanvankelijk werd verkocht als een Intel-probleem, zijn pc's veel gemakkelijker te repareren dan de enorme reeks Android-telefoons die geen updates meer ontvangen, wat suggereert dat dit uiteindelijk een telefoonprobleem kan worden voor ver in de toekomst.

Daniel Gruss, die opmerkte hoe lastig de Spectre-aanvallen zijn om te verminderen, zei dat ze ons jarenlang zullen achtervolgen.

Via ZDNET, de rand