Intel: Spekulationen über ernste Sicherheitslücke in allen CPUs

[Blueriver]

Spekulationen über eine potenziell massive Sicherheitslücke in allen Intel-CPUs sorgen aktuell für Aufsehen, weil zum Umgehen dieses Hardware-Bugs tiefgreifende Umbauarbeiten an Betriebssystemen erforderlich sind, die sich obendrein negativ auf die Leistung auswirken. AMD-CPUs sind nicht betroffen.

Die Entwickler des Linux-Kernels haben in den letzten Wochen tiefgreifende Umbauarbeiten am Virtual-Memory-Subsystem des Kernels vorgenommen. Nicht-trivialen Änderungen an diesem zentralen Teil des Linux-Kernels gehen sonst üblicherweise monate- oder jahrelange Diskussionen voraus. Und als wäre das noch nicht genug, werden diese großen Patches aktuell nicht nur in die kommende Version 4.15 des Linux-Kernels eingebaut, sondern auch in die bereits veröffentlichten und als „stabil“ deklarierten Kernel 4.9 und 4.14 zurückportiert. Aufmerksamen Beobachtern wird zunehmend klar, dass es für diese insbesondere über die Feiertage außergewöhnliche Hektik einen triftigen Grund geben muss.

Eine offenbar massive Lücke in Intel-CPUs

Dem aktuellen Vernehmen nach verhindern die Patches das Ausnutzen einer massiven Sicherheitslücke in allen Intel-CPUs. Offenbar kann ein Prozess eine Intel-CPU durch Ausnutzen eines Hardware-Bugs dazu bringen, Speicherbereiche spekulativ zu laden und den Zugriff darauf dann ohne weitere Prüfung zu erlauben, ohne dass der Prozess die erforderlichen Rechte hat. So kann ein unprivilegierter Prozess auf den Speicher des Kernels zugreifen, in welchem sich sensible Daten befinden können. Besonders prekär ist das für Cloud-Provider wie Amazon und Google, die ein Ausbrechen aus virtuellen Maschinen verhindern wollen. Darüber hinaus könnte die als „Defense in Depth“ eingesetzte Sicherheitstechnik Address Space Layout Randomization (ASLR) des Kernels ausgehebelt werden.


Auch Microsoft arbeitet an einem Patch

Weil die Sicherheitslücke von einem Hardware-Bug in Intel-CPUs ausgelöst wird, sind neben Linux natürlich auch Windows, macOS und andere Betriebssysteme von dem Problem betroffen, wenngleich aufgrund des offenen Entwicklungsmodells die Linux-Workarounds zuerst publik geworden sind. Auch Microsoft arbeitet bereits an einem ähnlichen Isolations-Feature, wie Entwickler Mitte November festgestellt hatten („KAISER“ ist die damalige Bezeichnung für KPTI):

Hier geht es zum ganzen Bericht.

[Blueriver]

Status der Kernel-Patches gegen Meltdown und Spectre

Der Linux-Kernel-Entwickler Greg Kroah-Hartman hat eine aktuelle Übersicht über den Stand der Maßnahmen gegen die Prozessorfehler Meltdown und Spectre gegeben. Aktualisierte Kernel verfügen jetzt über eine Möglichkeit, die Anfälligkeit gehen die beiden Probleme zu überprüfen.

Nicht nur im Kernel, sondern auch in Anwendungen sind Maßnahmen möglich oder erforderlich. Für den Linux-Kernel hat Greg Kroah-Hartman, der neben vielen anderen Dingen für die Pflege der langfristig unterstützten Kernel-Versionen zuständig ist, eine neue Statusaktualisierung veröffentlicht. Demnach verfügen aktualisierte Kernel über eine Möglichkeit, sich über die Anfälligkeit gehen die beiden Probleme zu informieren. Durch das Kommando grep . /sys/devices/system/cpu/vulnerabilities/* wird eine Ausgabe wie beispielsweise

Code: Alles auswählen

$ grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Mitigation: PTI
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Vulnerable
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Vulnerable: Minimal generic SM retpoline

geliefert. Existieren die angesprochenen Pseudodateien nicht, ist der Kernel auf jeden Fall noch gefährdet und sollte aktualisiert werden, es sein denn, man verwendet einen aktualisierten Kernel einer Unternehmens-Distribution, der zwar die Sicherheitslücken (teilweise) behebt, aber nicht die Erweiterung des Sysfs-Dateisystems enthält. Außerdem gilt diese Ausgabe nur für die x86_64-Architektur.

Hier geht es zum ganzen Bericht.