Saugumo tyrėjų grupė atrado aštuonis naujus Intel „Spectre Class" pažeidžiamumumus Intel procesoriuose, kurie taip pat įtakoja bent jau nedidelį skaičių ARM procesorių ir gali turėti įtakos ir AMD procesoriaus architektūrai.

Išsami informacija apie pažeidžiamumą pirmą kartą buvo paviešinta žurnalistams Vokietijos kompiuterių žurnale „Heise", kuriame teigiama, kad "Intel" suklasifikavo keturius naujus pažeidžiamumus į vietas kaip turinčius didelę riziką, o likusius keturis - kaip turinčius vidutinę riziką.

Pranešama, kad nauji procesorių trūkumai kilo dėl tos pačios konstrukcijos problemos, dėl kurios atsirado originalus „Spectre" pažeidimas, tačiau ataskaitoje teigiama, kad vienas iš naujai atrastų trūkumų leidžia užpuolikams, turintiems prieigą prie virtualios mašinos (VM), lengvai patekti į pagrindinę sistemą, todėl gali padaryti daugiau žalos nei originalus Spectre pažeidžiamumas.

„Piktavalis gali atakuoti kitus klientus, veikiančius tame pačiame serveryje. Slaptažodžiai ir slapti raktiniai žodžiai saugiam duomenų perdavimui yra labai populiarūs taikiniai debesų sistemose, o ši spraga leidžia tuo pasinaudoti", - rašoma pranešime.

„Vis dėlto pirmiau minėtą  „Spectre-NG" pažeidžiamumą galima lengvai išnaudoti, kai išpuoliai yra visame sistemos ruože, o grėsmių potencialas gali pakilti į naują lygį." Debesijos paslaugų teikėjai, tokie kaip „Amazon" arba „Cloudflare" ir žinoma, jų klientai yra itin pažeidžiami."

Jei nežinote, „Spectre" pažeidžiamumas, apie kurį pranešta anksčiau šiais metais, priklauso nuo šalutinio kanalo atakos su procesoriaus spekuliacinio vykdymo varikliu, leidžiančiu kenkėjiškajai programai skaityti slaptą informaciją, pvz., slaptažodžius, šifravimo raktus ar slaptą informaciją.

Nors Vokietijos svetainėje nebuvo atskleista saugumo tyrėjų arba komandos pavadinimas, kurie pranešė apie šiuos trūkumus „Intel", buvo atskleista, kad vienas iš pažeidžiamumų buvo atrastas „Google" projekto „Zero" saugumo tyrime.

Svetainė taip pat teigė, kad „Google" saugumo tyrėjas pranešė lustų gamintojams beveik prieš 88 dienas. Tai rodo, kad tyrėjas galbūt atskleis informaciją apie bent jau greitu laiku, kai sueis 90 dienų saugumo pažeidiamumo atskleidimo terminas.

Atsakingai atskleisti „Specter NG" pažeidžiamumą tiekėjams yra tikrai gera praktika, tačiau atrodo, kad tyrėjai, kurie atrado naują Spectre klasės klasikinių trūkumų seriją, vengia atskleisti savo vardus iš anksto, kad būtų užkirstas kelias žiniasklaidos kritikai, panašiam į tą, su kuria susiduria „CTS Labs” po to, kai jie atskleidė dalinę informaciją apie AMD trūkumus, turinčius specialią svetainę, gražią grafiką ir vaizdo įrašus.

„Intel" atsakas į Spectre NG trūkumus

Kai "Intel’io” paprašė naujų išvadų, lustų gamintojo milžinas pateikė tokį teiginį, kuris nei patvirtina, nei atmeta Spectre-NG spragų buvimą:

„Mūsų klientų duomenų apsauga ir mūsų produktų saugumo užtikrinimas mums yra svarbūs prioritetai. Mes reguliariai glaudžiai bendradarbiaujame su klientais, partneriais, kitais mikroschemų kūrėjais ir mokslo darbuotojais, kad suprastume ir sušvelnintume bet kokias iškylančias bėdas, o dalis šio proceso apima blokų rezervavimą CVE numeriais."

„Mes labai tikime, kad suderintai atskleidžiama vertė yra naudinga, ir pasidalinsime papildoma informacija apie bet kokias galimas problemas, kai mes baigsime spręsti problemas. Geriausia praktika ir toliau skatiname visus nuolat atnaujinti savo sistemas."

„Specter-NG" pažeidžiamumas, kaip pranešama, veikia "Intel" procesorius, taip pat yra požymių, kad bent kai kurie ARM procesoriai yra jautrūs šioms problemoms, tačiau AMD procesoriams ši įtaka dar nėra patvirtinta.

Pasak vokiečių svetainės, „Intel" jau pripažino naują „Specter-NG" pažeidžiamumą ir planuoja išleisti saugos pataisas, pirmą paketą gegužės mėnesį, o antrą - rugpjūtį.

„Microsoft" taip pat planuoja išspręsti problemas, išleisdama saugos pataisą su „Windows" naujinimais artimiausiais mėnesiais.

Tačiau šiuo metu nežinoma, ar naujų pataisų taikymas dar kartą įtakotų pažeidžiamų įrenginių našumą, lygiai taip pat, kaip anksčiau šiais metais įvyko su originaliais „Spectre” ir „Meltdown” pažeidžiamumais.

Komentarai ()