- PVSM.RU - https://www.pvsm.ru -
Исследователи Google опубликовали исследование «Reading privileged memory with a side-channel» [1], в котором они описывают найденную ими аппаратную уязвимость, которая затрагивает практически все современные и устаревшие процессоры вне зависимости от операционной системы. Строго говоря, уязвимостей целых две. Одной подвержены многие процессоры Intel (на них проводилось исследование). AMD с ARM также уязвимы, но атаку реализовать сложнее.
Атака позволяет получить доступ к защищенной памяти из кода, который не обладает соответствующими правами.
Пожалуй, самое вероятное и неприятное применение на данный момент — получение дампа системной памяти во время выполнения JavaScript.
Другой интересный вариант — эскалация прав чтения памяти из виртуальной машины. Как вам
Эксплуатация уязвимости не оставляет следов.
Это очень серьезно. Мир разделится на «до» и «после». Даже если у вас вообще нет компьютера, отдельные последствия косвенно могут догнать вас в офлайне.
Установить последние обновления системы и браузера. Если вы не уверены в том что дыра точно закрыта и ваша система совершенно точно в безопасности, лучше отключите JavaScript даже при посещении безопасных сайтов — они могут быть скомпроментированы. Некоторые эксперты считают, что программным образом полностью обезопаситься нельзя и единственный способ решить проблему — сменить процессор на вариант без асбеста заведомо безопасный.
Не все. Судя по тестам, патчи сильно повлияют на производительность существующих систем. Тесты показывают падение на 10-30% в некоторых задачах. Да-да, вы все правильно поняли, ваш мак может навсегда стать медленнее, а AWS заметно дороже [3].
Будьте здоровы!
Автор: Алексей
Источник [12]
Сайт-источник PVSM.RU: https://www.pvsm.ru
Путь до страницы источника: https://www.pvsm.ru/informatsionnaya-bezopasnost/271861
Ссылки в тексте:
[1] исследование «Reading privileged memory with a side-channel»: https://googleprojectzero.blogspot.ca/2018/01/reading-privileged-memory-with-side.html
[2] VPS: https://www.reg.ru/?rlink=reflink-717
[3] заметно дороже: https://www.forbes.com/sites/kenkam/2018/01/03/your-intel-cpu-is-about-to-be-hobbled-5-30/#7b122fd844f4
[4] Описание атаки Meltdown: https://meltdownattack.com/
[5] Описание атаки Spectre: https://spectreattack.com/spectre.pdf
[6] Комментарии ARM: https://developer.arm.com/support/security-update
[7] Комментарии AMD: http://www.amd.com/en/corporate/speculative-execution
[8] Комментарии Google: https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html
[9] Комментарии команды Chromium: https://sites.google.com/a/chromium.org/dev/Home/chromium-security/sscal
[10] Обновления Android: https://source.android.com/security/bulletin/2018-01-01
[11] Экстренный патч для Windows 10: https://support.microsoft.com/en-ca/help/4056892/windows-10-update-kb4056892
[12] Источник: https://habrahabr.ru/post/346026/?utm_source=habrahabr&utm_medium=rss&utm_campaign=346026
Нажмите здесь для печати.