[English]Sicherheitsforscher haben eine neue Schwachstelle in Intel-CPUs aufgedeckt. Die mit dem Namen Zombieload versehene Schwachstelle kann per spekulativem Seitenkanalangriff (wie Meltdown und Spectre) ausgenutzt werden und betrifft Intel Prozessoren ab 2011.
Anzeige
Die Liste der spekulativen Seitenkanalangriffe, wie sie mit Meltdown und Spectre seit Anfang 2018 bekannt sind, wird eigentlich monatlich länger. Ständig finden Sicherheitsforscher modifizierte Angriffsmethoden, um Schwachstellen auszunutzen und Informationen über die CPU abzugreifen.
Die Zombieload-Schwachstelle
Die von Sicherheitsforschern gefundene, neue Klasse von Schwachstellen betrifft nur Intel-Chips seit 2011. Werden diese Schwachstellen ausgenutzt, können Dritte sensible Informationen direkt über die Informationen aus dem Prozessor abgreifen.
(Quelle: Pexels Fancycrave CC0 License)
Die ausgenutzte Angriffsmethode erinnert an die Methoden Meltdown und Spectre, die eine Schwäche in der spekulativen Ausführung von Prozessoren ausnutzten, um auf Daten zuzugreifen. Die spekulativen Befehlsausführung ist ein wichtiger Teil der Funktionsweise moderner Prozessoren. Eine spekulative Ausführung ermöglicht Prozessoren, bis zu einem gewissen Grad vorherzusagen, was eine Anwendung oder ein Betriebssystem als nächstes und in naher Zukunft benötigen könnte. Dies wird zur Optimierung der Programmabläufe verwendet, und verwirft Anweisungen, wenn diese im Programmablauf nicht benötigt werden. Diese spekulative Befehlsausführung lässt sich allerdings auch missbrauchen, um über vorgeladene Befehle auf Informationen zuzugreifen, die Prozessen sonst nicht zugänglich sind.
Anzeige
Das ist ein Sicherheitsproblem, da unbefugt sensitive Informationen über die Schwachstellen der CPU abgezogen werden können. Zombieload ist nun eine neue Methode für solche Angriffe, die erneut von Sicherheitsforschern der TU Graz entdeckt wurde. Inzwischen gibt es die Seite zombieloadattack.com mit Informationen zu diesem Angriff.
Die Branche reagiert
Intel stuft die Schwachstelle als moderat ein, hat aber eine Sicherheitsinformation Microarchitectural Data Sampling Advisory (Intel-AS-00233) herausgegeben. Dort werden die Details zu den Schwachstellen CVE-2019-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 beschrieben. Die neu entdeckte Schwachstelle schüttelt die Branche aber ziemlich durch. Diese reagiert zum 14. Mai 2019 mit Sicherheitsupdates und Lösungen, um die Schwachstelle zu patchen.
- Amazon: Im Intel Quarterly Security Release (QSR) 2019.1 gibt Amazon an, für AWS bereits eine Sicherheitslösung entwickelt zu haben.
- Apple: Der Hersteller hat in macOS Mojave 10.14.5 Sicherheitsupdates um Schutz vor spekulativen Ausführungsschwachstellen in Intel CPUs veröffentlicht, wie er auf dieser Seite bekannt gibt.
- Google: Das Unternehmen hat die FAQ Product Status: Microarchitectural Data Sampling (MDS) veröffentlicht und erläutert darin, wie die eigene Infrastruktur geschützt wird.
- Microsoft hat die Nacht für alle unterstützten Betriebssysteme, von Windows 7 bis Windows 10, die Microarchitectural Data Sampling Schwachstellen CVE-2019-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 Sicherheitsupdates bereitgestellt (siehe Patchday: Updates für Windows 7/8.1/Server (14. Mai 2019) und Patchday Windows 10-Updates (14. Mai 2019)).
- Linux: Für dieses Betriebssystem stellen die einzelnen Distributionen wohl auch Sicherheitsupdates bereit. Cannonical hat für Ubuntu diesen Blog-Beitrag zum Thema veröffentlicht. Ein deutschsprachiger Beitrag zu Linux und der Schwachstelle findet sich bei Heise.
Artikel zur Zombieload-Schwachstelle gibt es zudem bei Techchrunch (Englisch). Dort ist ein Video eingebunden, welches zeigt, wie einfach das Abfischen eines Passworts mit der betreffenden Angriffsmethode ist. Einen deutschsprachigen Beitrag zum Thema mit vielen ergänzenden Informationen gibt es bei Heise und bei Golem. Danke an die Leser für die Hinweise auf das Thema – kam nicht dazu, das früher aufzubereiten.
Ähnliche Artikel:
Windows 10 (V1903): Update KB4497936 für Insider Preview (19H1)
Patchday: Updates für Windows 7/8.1/Server (14. Mai 2019)
Patchday Windows 10-Updates (14. Mai 2019)
Infos zu Meltdown und Spectre: Was man wissen sollte – Teil 1
Infos zu Meltdown und Spectre: Was man wissen sollte – Teil 2
Neue Intel Spectre CPU-Lücke: Angriffe mit BranchScope
Neue Spectre-NG-Sicherheitslücken in Intel CPUs
Chrome 67 mit Site Isolation als Spectre-Schutz
Details zu CPU-Sicherheitslücken Spectre V1.1 und V1.2
HP: Infos zu Derivative Side-Channel-Angriffen (Spectre V4)
ETH Lausanne und IBM decken SmoTherSpectre-Hardware-Schwachstelle auf
Google und Microsoft enthüllen Spectre V4 CPU-Schwachstelle
Windows 10: Retpoline-Spectre 2-Schutz manuell aktivieren
Windows 10 19H1: Spectre V2-Schutz per Retpoline
Spectre-Lücken erlaubt Malware zu verstecken
Neue SplitSpectre-Methode, Windows Retpoline Spectre-Schutz
Microsoft aktualisiert Meltdown/Spectre-Schutzseite
Intel Microcode Boot Loader: Spectre-Schutz auf USB
Foreshadow (L1TF), neue (Spectre-ähnliche) CPU-Schwachstellen
NetSpectre: Zugriff auf den Arbeitsspeicher per Netzwerk
Sieben neue Spectre-Lücken in CPUs
Bald Angriffe über Meltdown und Spectre zu erwarten?
NAS: QNAP und Synology von Meltdown/Spectre betroffen
Meltdown/Spectre: Google patcht Cloud ohne Leistungsverlust
Red Hat wird Spectre-Patches rückgängig machen
Intel Fixes gegen Meltdown und Spectre wegen Bugs gestoppt
Meltdown/Spectre: Warnung vor erstem Schadcode
Meltdown/Spectre: Leistungseinbußen durch Patches – Teil 1
Meltdown/Spectre: Leistungseinbußen durch Patches – Teil 2
Test: Ist mein Browser durch Spectre angreifbar?
Bringen Meltdown/Spectre die Tech-Industrie ans wanken?
Kleiner Überblick über Meltdown und Spectre (für Normalos)
Meltdown/Spectre: Cloud-Anbieter suchen Intel-Alternativen
Vorsicht vor Spectre/Meltdown-Test InSpectre
Meltdown-/Spectre: Testtool-Übersicht
Google: Spectre-Schwachstelle nicht wirksam zu stopfen
Anzeige
Ich hoffe, dass es solche Lücken nicht bei AMD gibt, die mit Ryzen auch SMT eingeführt haben. Auch als AMD Fan kann ich mich nicht über das Pech bei Intel freuen, da bei AMD sicher auch nicht alles gut ist. Wenn deren Bedeutung zunimmt, wird man auch deren Sachen stärker unter die Lupe nehmen und etwas finden.
HEISE schreibt dazu heute: "AMD betont, dass die eigenen Prozessoren nicht von MDS betroffen sind". mal sehen, ob es auch langfristig bei dieser darstellung bleibt (bei spectre musste amd ja, wenn ich mich richtig erinnere, hinterher zurueckrudern).
Wie hier schon in einem anderen Beitrag erwähnt ist es mit einem gewissen Aufwand verbunden, die Schwachstellen auszunutzen. Otto Privatuser dürfte das Thema daher kaum tangieren.
Ergänzend zu deinem Otto von Linuxnews.de, Zitat:
"Die neu entdeckten Angriffsvektoren sollten Heimanwendern keine schlaflosen Nächte bereiten. Die Angriffsziele dieser neuen Verwundbarkeiten liegen, wie schon Meltdown und Spectre, eher bei Servern, der Cloud und bei virtuellen Maschinen. Eine Maßnahme gegen solche Angriffe kann das Abschalten von Hyperthreading sein. Google hat dies für Chrome OS bereits vollzogen. Apple legt es einen Kunden nahe."
Nur nicht narrisch machen lassen ;-)
Bei Otto Privatuser reicht ja immer noch ein Link, den er auch bedenkenlos anklickt und die Dinge nehmen dann ihren Lauf …
Scheint ein grundsätzliches Konstruktionsproblem der Chips zu sein.
Hier ist wohl eine völlig neue Chip-Entwicklung notwendig. Bis zur Produktionsreife kann das u. U. Jahre dauern.
Muss nicht. ZombieLoad soll bei bestimmten ganz neuen Intel-CPUs schon nicht mehr funktionieren, und bei vielen anderen sollen Microcode-Updates reichen.
wird langsam zeit, dass intel seinen werbe- aehm webauftritt anpasst.
hier steht bis heute noch nichts von sicherheitsrisiko oder gar abschaltempfehlung:
https://www.intel.de/content/www/de/de/architecture-and-technology/hyper-threading/hyper-threading-technology.html
hier werden meltdown und spectre zwar im kleingedruckten erwaehnt, aber nur um mitzuteilen, dass die praesentierten benchmark-ergebnisse die effekte der mitigationen noch nicht abbilden:
https://www.intel.de/content/www/de/de/products/processors/core.html
Dann wäre da noch der schimmelnde UEFI/ME-Unterbau, also reichlich Arbeit für Intel, den alten „Big Block" x86 auf eine solide Basis zu bringen.
Auf Hardwareluxx ist ein PDF von Intel verlinkt, in welchem sämtliche betroffene CPUs gelistet sind. Meine CPU wird kein Microcode-Update mehr erhalten. Da kann ich nur hoffen, dass Windows 7 dahingehend noch patchbar ist und Microsoft es auch tun wird. HyperThreading abzuschalten kann ich mir nicht leisten, da der Rechner jetzt schon alle 4+4 Kerne gut nutzt.
https://www.hardwareluxx.de/index.php/news/hardware/prozessoren/49552-zombieload-neue-side-channel-attacke-betrifft-alle-intel-cpus-mit-hyper-threading.html
achjee, wie oft denn noch, für normale Rechner ist das Zeugs doch (und war) vollkommen irrelevant. Die Hürden durch den dann notwendigen Aufwand sind viel zu hoch, das machte man, wenn, höchstens bei Ind.-Anlagen der Interessenhöhe 'stuxnet' (= iran. Atomanlagen). Hast/bist du sowas? Nein?
…
Die Wahrscheinlichkeit, dass dir ein Hippopotamus in zB. Pforzheim ins Fahrrad schengelt, ist höher.
:P
Schon das Video auf der Seite zeigt allerdings, dass die Lücke nicht ganz so schwer auszunutzen ist, wie Sie es hier implizieren wollen!
Weiter möchte ich zu Ihrem unverschämten Kommentar nicht Stellung nehmen, denn am besten ignoriert man Leute wie Sie komplett.
fuer die mutigen / auf eigenes risiko
hyper-threading auf chrome os 74 wieder aktivieren:
https://www.chromium.org/chromium-os/mds-on-chromeos
Es gibt jetzt hierzu nun auch BIOS-Updates von HP. Dieses auch für ältere PCs von HP.
Über den HP Support Assistant kam heute eine Info rein, dass für mein HP 8300 Fertigung 2012, gekauft Anfang Jan 2013 ein neues BIOS Update da ist.
Auf dieser Seite kann man finden, wer was bekommt:
https://support.hp.com/us-en/document/c06330149
Bei meinem HP Compaq Elite 8300 CMT PC steht SP95971 und noch mit "Pending" versehen. Das Update ist nun heute über den HP Support Assistant im Angebot mit genau diesem SP95971.
Wie immer dauert es noch eine Weile, bis HP dann alle Seiten aktualisiert hat. Bei der Suppport Seite im Internet ist das neue SP auch noch nicht zu finden.
Ergänzung – über den HP Softpaq Download Manager wird das neue BIOS auch bereits angeboten. Ich habe das gerade bei mir überprüft.