Google und Microsoft enthüllen Spectre V4 CPU-Schwachstelle

[English]Microsoft und Google haben zum 21.5.2018 gemeinsam eine neue CPU-Sicherheitslücke offen gelegt. Diese ist mit den Anfang des Jahres aufgedeckten Meltdown- und Spectre-Schwachstellen vergleichbar.


Anzeige

Die neueste Schwachstelle (Speculative Store Bypass Variante 4) ist ein ähnlicher Exploit wie Spectre und nutzt die spekulative Ausführung, die moderne CPUs verwenden. Ich hatte bereits vor einigen Tagen im Blog-Beitrag Neue Spectre-NG-Sicherheitslücken in Intel CPUs generell über dieses Thema berichtet.

Spectre Variante 4

Wie die anderen GPZ-Varianten nutzt auch die Spectre Variante 4 die spekulative Ausführung, die bei den meisten modernen Prozessorarchitekturen üblich ist, um bestimmte Arten von Daten über einen Seitenkanal freizulegen. In diesem Fall demonstrierten die Forscher die Variante 4 in einer sprachbasierten Laufzeitumgebung.  Wir wissen zwar nichts von einem erfolgreichen Browser-Exploit. Aber Browser wie Safari, Edge und Chrome wurden alle Anfang des Jahres gegen Meltdown gepatcht. Intel schreibt: “Dieser Patch gilt auch für Spectre Variante 4 und ist heute für Verbraucher verfügbar”.

Mainboard
(Quelle: Pexels Fancycrave CC0 License)

Um jedoch sicherzustellen, dass ein vollständiger Schutz gegen Spectre V4 besteht und um zu verhindern, dass diese Angriffsmethode auf andere Weise verwendet wird, bietet Intel (zusammen mit seinen Industriepartnern) eine zusätzliche Abschwächung für Variante 4 an, die eine Kombination aus Mikrocode- und Software-Updates sein wird.

Leistung durch Patches beeinträchtigt

Ähnlich wie Meltdown und Spectre wird es für diese neue Sicherheitslücke auch Firmware-Updates für CPUs geben, die die Leistung beeinträchtigen könnten. Intel hat bereits Mikrocode-Updates für Speculative Store Bypass in Betaform an OEMs geliefert und erwartet, dass diese in den kommenden Wochen breiter verfügbar sein werden.

Durch die Firmware-Updates wird der Bypass-Schutz des Spekulationsspeichers auf “off-by-default” gesetzt. Intel geht davon aus, dass die meisten Industriepartner diesen Bypass-Schutz bestehen lassen. Dieser Modus soll sicherstellen, dass die Benutzer keine negativen Auswirkungen auf die Leistung sehen. Wird der Schutz gegen Variante 4 aktiviert, hat Intel eine Leistungseinbuße von ca. 2 bis 8 Prozent beobachtet, basierend Benchmarks wie SYSmark® 2014 SE und SPEC Integer Rate auf Client1- und Server2-Testsystemen ermittelt.

Schutz gegen Variante 3a

Das gleiche Update enthält auch Mikrocode, der die Variante 3a (Rogue System Register Read) adressiert. Diese Schwachstellen war zuvor von Arm im Januar öffentlich dokumentiert worden. Intel hat bisher keine signifikanten Auswirkungen auf die Performance von Client- oder Server-Benchmarks mit dem Patch für die Variante 3a beobachtet.


Werbung

Intel hat diese beiden Mikrocode-Updates gebündelt, um den Prozess der Auslieferung für Industriepartner und Kunden zu rationalisieren. Weitere Informationen zu den potenziell betroffenen Intel-Produkten finden Sie auf im Produktsicherheitszentrum, zusammen mit White Papers und anderen Ressourcen, die IT-Experten bei der Einschätzung des Risikoniveaus in ihrer Umgebung unterstützen. Darüber hinaus hat Intel die Sicherheits-Website mit einer Liste neuer häufig gestellter Fragen aktualisiert. Nachfolgendes Video erklärt die neuen Varianten.

(Quelle: YouTube)

Ähnliche Artikel:
Neue Spectre-NG-Sicherheitslücken in Intel CPUs
Spectre NG: Patches kommen (noch) nicht …
Windows 10 Spectre V2-Update KB4093112 für AMD-CPUs
Neue Intel Spectre CPU-Lücke: Angriffe mit BranchScope
Neue Intel Spectre V2-Microcode-Updates (20.02.2018)
Intel gibt Spectre-Patches für Skylake-CPUs erneut frei
Meltdown-/Spectre: Testtool-Übersicht


Anzeige
Dieser Beitrag wurde unter Geräte, Sicherheit abgelegt und mit , , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

6 Responses to Google und Microsoft enthüllen Spectre V4 CPU-Schwachstelle

  1. ralf sagt:

    so sieht es derzeit bei amd aus

    AMD:
    “AMD recommended mitigations for SSB are being provided by operating system updates back to the Family 15 processors (“Bulldozer” products)… Microsoft is completing final testing and validation of AMD-specific updates for Windows client and server operating systems, which are expected to be released through their standard update process. Similarly, Linux distributors are developing operating system updates for SSB… We have not identified any AMD x86 products susceptible to the Variant 3a vulnerability in our analysis to-date.”
    https://www.amd.com/en/corporate/security-updates

  2. Cmd.Data sagt:

    Für meine MSI-Computer (mit 3., 4. und 6. Generation Intel-CPUs) sind noch immer keine BIOS-Updates erschienen.

    Da die Microsoft-Updates seit Januar 2018 so viel Ärger machen, habe ich das Security only-Update vom Dezember 2017 als letztes Update eingespielt.

    Was soll man nur machen???

    • Dekre sagt:

      Antwort folgt hier:
      trink ein Bier, vielleicht hilft es Dir.
      Ansonsten trinke jeden Tag morgens in Ruhe eine Liter Grünen Tee. Das hilft ungemein. Der Tee muss heiß sein und lass diesen nur 2 bis max 3 Minuten ziehen. Es hilft und so kannst Du einen Sorgen bekämpfen mit Ignoranz des Bösen.

      Bei mir hat es schon angeschlagen.
      Du kennst doch die Worte für eine Kritik an …:
      # formlos
      # fristlos
      # sinnlos

    • Hans Thölen sagt:

      Bei mir ist das genau so. Updatestand 12. 2017.
      Vielleicht schafft es Microsoft oder andere an dem
      Problem beteiligte Firmen, bis zum Jahr 2020
      Updates ohne Kolateralschäden für uns zu bringen.

    • Thomas S. sagt:

      Sieht bei mir auch so aus, außer NET Framework. Stand; Dezember 2017. Und es läuft alles wunderbar.
      Hast du NET Framework Updates von 2018 installiert?

  3. Werbung

  4. ralf sagt:

    und die naechsten beiden cpu-sicherheitsluecken: spectre 1.1 und spectre 1.2
    https://www.bleepingcomputer.com/news/security/new-spectre-11-and-spectre-12-cpu-flaws-disclosed/

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.