КибератакиУязивмости, експлойти, ъпдейти

Spectre & Meltdown – Какво трябва да знаете

След като двете уязвимости си извоюваха място във всяко едно заглавие от последните дни, ние искаме да ви дадем кратък обзор на проблема, който ще ви спести ненужната информация.

Ъпдейтнат на 28 06 2018 в 13:28 ч.

Последно обновена на 12.01.2018, 11:50

Светът се сблъска с две от най-мащабните (и като обхват, и като ниво на опасност) уязвимости в историята си – Meltdown и Spectre. Пропуските в дизайните на процесите на Intel, AMD, Qualccomm и още десетки производители позволяват кражбата на чувствителна информация без знанието на потребителите – и без те дори да разберат. И докато технологичните подробности далеч не са за пренебрегване – то ето какво може да направите, за да се предпазите от ефектите на двете уязвимости – както и устройствата, които са засегнати от тях.

Историята, накратко

Meltdown и Spectre бяха „разкрити“ в тема сайт за споделяне на съдържание – reddit.com. Темата, наречена „Intel bug incoming” твърдеше, че процесорите на Intel, произведени през последните 10 години, са засегнати от критична уязвимост.

На преден план излиза това, че чрез експлоатация на една от функциите за ускоряване на работата на процесора, даден процес може да достъпи информация, която не би трябвало да бъде достъпна за него. Това се дължи на факта, че има пролука между пространството на паметта, където се изпълнява потребителски софтуер (user-mode address) и това, в което се съхраняват пароли, сертификати, криптографични ключове и др. (kernel-mode address). По този начин, зловреден код може целенасочено да достъпи до информация, запазена само за специфични процеси с право на достъп до нея.

Двата основни вектора за атака получиха имената Spectre и Meltdown.

Положението към момента

Засега са ясни следните неща:

  • Всички видове процесори са засегнати донякъде. От ARM процесора на телефона ви, до IBM процесорите в суперкомпютрите
  • Добавянето на допълнителен слой сигурност може да доведе до забавянето на производителността на процесорите с между 5% и 30%
  • Най-засегнати от уязвимостите са продуктите на Intel, което ще направи и забавянето им по-осезаемо след патчване

До момента, при откриването на уязвимост или бъг в процесор, производителя му я поправя чрез т.нар. „микрокод“. Поради една или няколко все още неясни причини, „запушването“ на Meltdown и Spectre не може да се случи по този начин. Това накара производителите на процесори, заедно с тези на операционни системи, да работят по отстраняването на опасността на софтуерно ниво.

Засегнати производители

Ето част от засегнатите производители – и мерките, които те са предприели за решаването на проблема.

ПРОИЗВОДИТЕЛ  ОФИЦИАЛНА ПОЗИЦИЯ
A10 NetworksSPECTRE/MELTDOWN – CVE-2017-5715/5753/5754
Amazon (AWS)AWS-2018-013: Processor Speculative Execution Research Disclosure
AMDAn Update on AMD Processor Security
Android (Google) Android Security Bulletin—January 2018
AppleHT208331: About the security content of macOS High Sierra 10.13.2, Security Update 2017-002 Sierra, and Security Update 2017-005 El Capitan
HT208394: About speculative execution vulnerabilities in ARM-based and Intel CPUs
HT208403: About the security content of Safari 11.0.2
Arista NetworksSecurity Advisory 0031: Arista Products vulnerability report
ARMVulnerability of Speculative Processors to Cache Timing Side-Channel Mechanism
ARM Trusted Firmware Security Advisory TFV 6
Aruba NetworksARUBA-PSA-2018-001: Unauthorized Memory Disclosure through CPU Side-Channel Attacks („Meltdown“ and „Spectre“)
ASUSASUS Motherboards Microcode Update for Speculative Execution and Indirect Branch Prediction Side Channel Analysis Method
AvayaASA-2018-001: linux-firmware security update (RHSA-2018-0007)
ASA-2018-002: linux-firmware security update (RHSA-2018-0013)
ASA-2018-004: linux-firmware security update (RHSA-2018-0012)
ASA-2018-005: linux-firmware security update (RHSA-2018-0008)
ASA-2018-006: linux-firmware security update (RHSA-2018-0014)
ASA-2018-011: VMware ESXi, Workstation and Fusion updates address side-channel analysis due to speculative execution. (VMSA-2018-0002)
Azure (Microsoft)Securing Azure customers from CPU vulnerability
Microsoft Cloud Protections Against Speculative Execution Side-Channel Vulnerabilities
CentOSCESA-2018:0007 Important CentOS 7 kernel Security Update
CESA-2018:0008 Important CentOS 6 kernel Security Update
CESA-2018:0012 Important CentOS 7 microcode_ctl Security Update
CESA-2018:0013 Important CentOS 6 microcode_ctl Security Update
CESA-2018:0014 Important CentOS 7 linux-firmware Security Update
ChromiumActions Required to Mitigate Speculative Side-Channel Attack Techniques
Ciscocisco-sa-20180104-cpusidechannel – CPU Side-Channel Information Disclosure Vulnerabilities
Alert ID 56354: CPU Side-Channel Information Disclosure Vulnerabilities
CitrixCTX231399: Citrix Security Updates for CVE-2017-5715, CVE-2017-5753, CVE-2017-5754
CoreOSContainer Linux patched to address Meltdown vulnerability
Cumulus NetworksMeltdown and Spectre: Modern CPU Vulnerabilities
DebianDebian Security Advisory DSA-4078-1 linux – security update
DellSLN308587 – Microprocessor Side-Channel Attacks (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impact on Dell products
SLN308588 – Microprocessor Side-Channel Attacks (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impact on Dell EMC products (Dell Enterprise Servers, Storage and Networking)
Digital OceanA Message About Intel Security Findings /a>
Dragonfly BSDIntel Meltdown bug mitigation in master
More Meltdown fixes
Duo SecurityArticlesIs Duo affected by the recent Spectre or Meltdown vulnerabilities?
Extreme NetworksMeltdown and Spectre (VN 2017-001 & VN 2017-002)
VN 2018-001 (CVE-2017-5715, CVE-2017-5753 – Spectre)
VN 2018-002 (CVE-2017-5754 – Meltdown)
F5 NetworksK91229003: Side-channel processor vulnerabilities CVE-2017-5715, CVE-2017-5753, and CVE-2017-5754
FedoraProtect your Fedora system against Meltdown
FortinetFortinet Advisory on New Spectre and Meltdown Vulnerabilities
FreeBSDFreeBSD News Flash
GoogleGoogle Project Zero: Reading Privileged Memory with a Side-Channel
Google’s Mitigations Against CPU Speculative Execution Attack Methods
HPESide Channel Analysis Method allows information disclosure in Microprocessors (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754)
HPESBHF03805 – Certain HPE products using Microprocessors from Intel, AMD, and ARM, with Speculative Execution, Elevation of Privilege and Information Disclosure.
HuaweiSecurity Notice – Statement on the Media Disclosure of the Security Vulnerabilities in the Intel CPU Architecture Design
IBMPotential CPU Security Issue
Potential Impact on Processors in the POWER Family
IntelINTEL-SA-00088 Speculative Execution and Indirect Branch Prediction Side Channel Analysis Method
INTEL-OSS-10002: Speculative Execution Branch Prediction Side Channel and Branch Prediction Analysis Method
JuniperJSA10842: 2018-01 Out of Cycle Security Bulletin: Meltdown & Spectre: CPU Speculative Execution and Indirect Branch Prediction Side Channel Analysis Method
KEMP TechnologiesMeltdown and Spectre (CVE-2017-5754 & CVE-2017-5753)
LenovoLenovo Security Advisory LEN-18282: Reading Privileged Memory with a Side Channel
LinodeCPU Vulnerabilities: Meltdown & Spectre
Linux MintSecurity notice: Meltdown and Spectre
Liquid WebHere Is What You Need to Know About Meltdown and Spectre
LLVMD41723: Introduce the „retpoline“ x86 mitigation technique for variant #2 of the speculative execution vulnerabilities
D41760: Introduce __builtin_load_no_speculate
D41761: Introduce llvm.nospeculateload intrinsic
MicrosoftSecurity Advisory 180002: Guidance to mitigate speculative execution side-channel vulnerabilities
Windows Client guidance for IT Pros to protect against speculative execution side-channel vulnerabilities
Windows Server guidance to protect against speculative execution side-channel vulnerabilities
SQL Server Guidance to protect against speculative execution side-channel vulnerabilities
Surface Guidance to protect against speculative execution side-channel vulnerabilities
Important information regarding the Windows security updates released on January 3, 2018 and anti-virus software
MitelMitel Product Security Advisory 18-0001: Side-Channel Analysis Vulnerabilities
MozillaMozilla Foundation Security Advisory 2018-01: Speculative execution side-channel attack („Spectre“)
NetAppNTAP-20180104-0001: Processor Speculated Execution Vulnerabilities in NetApp Products
NetgearPSV-2018-0005: Security Advisory for Speculative Code Execution (Spectre and Meltdown) on Some ReadyNAS and ReadyDATA Storage Systems
nVidiaSecurity Notice 4609: Speculative Side Channels
Security Bulletin 4611: NVIDIA GPU Display Driver Security Updates for Speculative Side Channels
Security Bulletin 4613: NVIDIA Shield TV Security Updates for Speculative Side Channels
Security Bulletin 4614: NVIDIA Shield Tablet Security Updates for Speculative Side Channels
Security Bulletin 4616: Security Bulletin: NVIDIA Tegra Jetson TX1 L4T and Jetson TK1 L4T Security Updates for Speculative Side Channels
OktaSecurity Bulletin: Meltdown and Spectre vulnerabilities
Open TelekomOpen Telekom Cloud Security Advisory about Processor Speculation Leaks (Meltdown/Spectre)
OpenBSDMeltdown
OpenSUSE[Security-Announce] Meltdown and Spectre Attacks
OVHInformation about Meltdown and Spectre vulnerability fixes
Find your patch for Meltdown and Spectre
Palo Alto NetworksInformation about Meltdown and Spectre findings (PAN-SA-2018-0001
Pulse SecureKB43597 – Impact of CVE-2017-5753 (Bounds Check bypass, AKA Spectre), CVE-2017-5715 (Branch Target Injection, AKA Spectre) and CVE-2017-5754 (Meltdown) on Pulse Secure Products
QEMUQEMU and the Spectre and Meltdown attacks
QNAPNAS-201801-08: Security Advisory for Speculative Execution Vulnerabilities in Processors
Qubes OSAnnouncement regarding XSA-254 (Meltdown and Spectre attacks)
Raspberry PiWhy Raspberry Pi isn’t vulnerable to Spectre or Meltdown
Red HatKernel Side-Channel Attacks – CVE-2017-5754 CVE-2017-5753 CVE-2017-5715
RHSA-2018:0008 – Security Advisory
RHSA-2018:0012 – Security Advisory
RHSA-2018:0013 – Security Advisory
RHSA-2018:0014 – Security Advisory
RISC-V FoundationBuilding a More Secure World with the RISC-V ISA
Riverbed TechnologyJan 05, 2018: Update on Meltdown and Spectre
SonicWallMeltdown and Spectre Vulnerabilities: A SonicWall Alert
Sophos128053: Advisory: Kernel memory issue affecting multiple OS (aka F**CKWIT, KAISER, KPTI, Meltdown & Spectre)
SuperMicroSecurity Vulnerabilities Regarding Side Channel Speculative Execution and Indirect Branch Prediction Information Disclosure (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754)
SUSESUSE Linux security updates CVE-2017-5715
SUSE Linux security updates CVE-2017-5753
SUSE Linux security updates CVE-2017-5754
SynologySynology-SA-18:01 Meltdown and Spectre Attacks
UbuntuUbuntu Updates for the Meltdown / Spectre Vulnerabilities
VMwareNEW VMSA VMSA-2018-0002 VMware ESXi, Workstation and Fusion updates address side-channel analysis due to speculative execution
VultrIntel CPU Vulnerability Alert
XenAdvisory XSA-254: Information leak via side effects of speculative execution

Как да се защитите?

Засега най-добрия ви вариант за навременна реакция е да следите новините от производителите, чиито процесори използвате, и потребителската общност, както и да се осведомите за бъдещи обновления за операционната ви система.

Информация за системни администрартори

Meltdown и Spectre са толкова комплексни като уязвимости, че е трудно решението им да бъде обобщено в един абзац или няколко реда. Въпреки това, имаме няколко полезни съвета и други материали:

  1. Опознайте уязвимостите, за да разберете как да се пазите от тях. Например, тук както и ето тук. Блогът на Raspberry Pi има опростено обяснение на техническите специфики около уязвимостите – можете да го намерите тук
  2. Можете да намерите много по-подробна информация за всеки производител на хардуер и софтуер относно уязвимостите в това github repository
  3. Таблица с информация за това дали антивирусния ви софтуер предотвратява обновленията на операционната система и дали и как можете да го поправите можете да видите в Google Drive
  4. Скриптове, които ви позволяват да проверите дали сте засегнати от уязвимостите можете да намерите за Linux и Windows 
  5. Обновявайте софтуера на всички ваши устройства и следете за подозрителна активност

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook. 

Тагове
Покажи още

Вашият коментар

Вашият имейл адрес няма да бъде публикуван. Задължителните полета са отбелязани с *

Back to top button
Close