Meltdown og Spectre: Enorme sikkerhedshuller fundet i CPU'er

Tirsdagens rygter angående et alvorligt sikkerhedshul i Intel-processorer blev bekræftet sent onsdag aften dansk tid, da et større hold af sikkerhedsforskere fra Googles Project Zero sammen med universiteter i Østrig, USA samt Australien, tillige med flere sikkerhedfirmaer, frigav fulde detaljer omkring to sårbarheder, som holdet bag kalder for 'Meltdown' og 'Spectre'.

Ifølge Googles sikkerhedsblog berører sårbarhederne mange CPU'er, inklusive dem fra Intel, ARM og AMD, samt enheder og styresystemer på enhederne.

Storbritanniens nationale center for cybersikkerhed skriver i en meddelelse, at der på nuværende tidspunkt ikke er tegn på ondsindet udnyttelse af sårbarhederne.

Universitetet i Graz i Østrig, som indgår i holdet bag afsløringen, har flere oplysninger på et website til formålet, Spectreattack.com.

Ifølge universitet udnytter Meltdown og Spectre kritiske sårbarheder i processorer. Disse hardwarefejl gør det muligt for programmer at stjæle data, som behandles på computeren. Malware kan benytte de to sårbarheder til at læse data i hukommelse, der håndteres af andre programmer. Disse data kan indeholde adgangskoder, samt alle andre typer af fortrolig information og kommunikation.

Googles sikkerhedshold Project Zero har offentliggjort en teknisk analyse af de to sårbarheder.

Meltdown

Sårbarheden med navnet Meltdown nedbryder den mest fundamentale isolering mellem brugerens programmer og styresystemet, skriver universitet i Graz. Sårbarheden tillader et program at tilgå den hukommelse, som ejes af styresystemet og andre programmer, inklusive kodeord og andre fortrolige oplysninger.

Det er stort set alle Intel-chips fabrikeret siden 1995, som er udsat for sårbarheden. Gruppen bag forskningen har indtil videre bekræftet tilstedeværelsen på Intel-processorer. Universitet oplyser også, at der er fejlrettelser til Meltdown-sårbarheden til Linux, Windows og OS X.

Meltdown-sårbarheden er nærmere beskrevet i denne artikel af forskerholdet.

Spectre

Den anden sårbarhed, med navnet Spectre, nedbryder isolationen mellem forskellige programmer. Det gør det muligt for en angriber at snyde fejlfri programmer til at lække hemmeligheder. Spectre er sværere at udnytte end Meltdown, men tillige også sværere at imødegå. Det er dog muligt at forebygge specifikke kendte sårbarheder, som bygger på Spectre, med softwareopdateringer.

Spectre er nærmere beskrevet i denne artikel af forskerholdet.

Intel: Sårbarheder kan ikke korrumpere, ændre eller slette data

Intel har i en meddelelse på sit website svaret på forskerholdets underretninger:

»Intel og andre teknologifirmaer er blevet gjort bekendt med den nye sikkerhedsforskning, der beskriver software-analysemetoder som, når de benyttes med ondsindede hensigter, giver mulighed for på forkert måde at indsamle følsomme data fra computerenheder, der ellers fungerer, som de skal. Intel mener, at disse sårbarheder ikke er i stand til at korrumpere, ændre eller slette data« skriver firmaet.

Firmaet mener ikke at der er tale om en fejl, som kun findes i Intel-produkter:

»Baseret på analysen indtil videre, er mange slags computer-enheder - med mange forskellige leverandørers processorer og styresystemer - følsomme overfor disse angreb.«

Intel har ifølge meddelelsen startet på at tilvejebringe software og firmware, som kan imødegå truslerne.

»I modsætning til visse rapporter er indflydelsen på ydelse afhængig af arbejdsbyrden, og for den almindelige bruger skulle den ikke være væsentlig og vil blive udbedret over tid,« skriver firmaet videre.

Intel skriver tillige, at firmaet og andre leverandører havde planlagt at offentliggøre problematikken i næste uge, hvor flere software- og firmware-opdateringer vil være tilgængelige, men at Intel har valgt at komme med sin meddelelse i dag på grund af »unøjagtige rapporteringer i medierne.«

AMD: Risiko tæt på nul

I en meddelelse til flere amerikanske medier skriver chip-firmaet AMD, at selskabets CPU'er er minimalt berørt af sårbarhederne.

»Truslen og modsvaret til de tre varianter (af sårbarheden, red.) er forskellig i forhold til processor-firmaer, og AMD er ikke påvirkelige af alle tre varianter. På grund af forskelle i AMD's arkitektur mener vi, at der er en risiko tæt på nul for AMD-processorer på nuværende tidspunkt.«

Meddelesen blev givet før de fulde detaljer om sårbarhederne var offentliggjort.

Microsoft: Windows-opdateringer er udsendt

I en email til det amerikanske medie CNBC meddeler Microsoft, at firmaet har udsendt opdateringer til Windows, som skal beskytte kunderne mod sårbarhederne.

»Vi har kendskab til dette problem, som berører hele industrien, og har arbejdet tæt sammen med chip-producenterne for at udvikle og teste imødegåelser for at beskytte vores kunder. Vi er i gang med processen, der går ud på at udrulle disse imødegående foranstaltninger til sky-tjenester og har også udsendt sikkerhedsopdateringer for at beskytte Windows-kunder mod sårbarheder, som berører de understøttede chips fra Intel, ARM og AMD.«

Læk banede vej for tidlig offentliggørelse

Ifølge et indlæg på Googles sikkerhedsblog var offentliggørelsen af sårbarhederne programsat til d. 9. januar, en dato som var aftalt imellem de involverede parter. På grund af læk og spekulation i medier og i sikkerhedsmiljøet, valgte Google og at gå ud med opdagelsen sent onsdag aften dansk tid.

Sårbarheden blev ifølge indlægget fundet før årsskiftet. Jann Horn, som er sikkerhedsforsker fra Googles Project Zero, fandt at det var muligt at udnytte den såkaldte 'spekulative udførelse', som er en teknik de fleste moderne CPU'er benytter til at optimere ydelsen.

Sårbarheden kan udnyttes til at læse systeminformation, som burde være utilgængelig. En angriber kunne læse følsomme oplysninger fra hukommelsen, så som kodeord, krypteringsnøgler eller følsomme oplysninger i kørende programmer.

Test viste også, at et angreb fra en virtuel maskine var i stand til at tilgå værtsmaskinens fysiske hukommelse, og på denne vis opnå læseadgang til en anden virtuel maskine på samme værtssystem.