Oficialiai paskelbta apie „Spectre Next Generation“ pažeidžiamumus

Prieš kelias savaites rašėme, kad atrasti nauji „Spectre“ pažeidžiamumai, kuriuos tyrėjai pavadino „Spectre Next Generation“. Anksčiau buvo žinoma, kad šių saugumo spragų yra paveikti „Intel“ ir ARM procesoriai, dabar tampa aišku, kad su šia problema susiduria ir AMD procesoriai.

Tyrėjai iš „Microsoft“ bei iš „Project Zero“ atrado aštuonis naujus saugumo pažeidžiamumus, keturi iš jų yra labai didelės rizikos. Aiškėja, kad pasitelkus „JavaScript“ kodą galima pasiekti kompiuteryje esančią informaciją per šoninį kanalą. Šis kodas gali būti gautas netgi per naršyklę. Didžiausi naršyklių kūrėjai jau ėmėsi veiksmų, kad tokios atakos būtų kuo sunkiau įgyvendinamos. Jei turite naujausią naršyklės versiją grėsmė mažėja.

„Intel“ jau dabar turi mikrokodo atnaujinimą, kuris susidoroja su saugumo spragomis, bet yra problema. Pradėjus naudoti pataisymą sparta krenta 2-8 %. Dėl šio spartos sumažėjimo, saugumo atnaujinimas BIOS yra išjungiamas pagal nutylėjimą, norintys jį gali įsijungti ir prarasti spartos, bet būti apsaugoti. AMD irgi ruošia mikrokodo ir kitus atnaujinimus, kol kas apie spartos praradimus nepranešama. Tiesa, saugumo atnaujinimas BIOS‘e irgi bus išjungtas pagal nutylėjimą. ARM pranešė, kad yra paveikti „Cortex“ A57, A72, A73 ir A75 procesorių branduoliai. Saugumo atnaujinimas irgi ruošiamas, jis spartą sumažins 1-2 %.

Dabar žinoma apie keturis saugumo pažeidžiamumo variantus, kada šios saugumo spragos turės pataisymus, kurie nemažina spartos sunku pasakyti.

• Variant 1: Bounds Check Bypass – CVE-2017-5753 (Spectre 1)
• Variant 2: Branch Target Injection – CVE-2017-5715 (Spectre 2)
• Variant 3: Rogue Data Cache Load – CVE-2017-5754 (Meltdown)
• Variant 3a: Rogue System Register Read – CVE-2018-3640
• Variant 4: Speculative Store Bypass – CVE-2018-3639 (Spectre 4)

Daugiau informacijos apie pažeidžiamumus iš „Microsoft“, ARM, AMD  ir „Intel“