Alvarlegur öryggisgalli í örgjörvum - Meltdown/Spectre

Síðast uppfært 19.01.2018 kl 11:00.

í byrjun janúar 2018 birtust fréttir af alvarlegum öryggisgöllum í örgjörvum (CPU) sem hafa verið nýttir í s.k. Meltdown og Spectre árásir, lýst nánar m.a. af Google Project Zero. Gallarnir eru fólgnir í útfærslu á s.k. “speculative execution” tækni sem er notuð til að auka vinnsluhraða nútíma örgjörva. Intel örgjörvar eru veikir fyrir báðum árásunum (Sjá tilkynningu Intel) en AMD og ARM örgjörvar munu aðeins vera veikir fyrir Spectre. Sé þessi spillihugbúnaður vel útfærður er veruleg hætta á upplýsingaleka m.a. viðkvæmra upplýsinga s.s. lykilorða og dulkóðunarlykla. Mælt er með að rekstraraðilar geri sjálfstætt áhættumat, bæði á áhrifum öryggisgallans og uppfærslna, og framkvæmi nauðsynlegar prófanir sem tryggja að uppfærslur leiði ekki til óstöðugleika eða hægi á kerfum umfram það sem er ásættanlegt. Þó er mælt með uppfærslum ein fljótt og unnt er til að koma í veg fyrir hugsanlega misnotkun.

Uppfærslur eru þegar til fyrir ýmis kerfi sem minnka skaða ofangreindra galla. Mælt er með að notendur fylgist með nýjum öryggisuppfærslum mikilvægra kerfa sinna sem taka á göllunum og uppfæri sem fyrst. Hugbúnaðaruppfærslur eru sem stendur eina þekkta mótvægisaðgerðin gegn Meltdown og Spectre. Árásirnar keyra sem notendaforrit á tölvunni sem ráðist er á. t.d. með að blekkja notandann til að keyra spillikóða. Því er vert að benda á góðar venjur við umgengni tölvukerfa s.s. uppfæra varnir (m.a. vírusvarnir) og forðast að keyra óþekkt forrit. Einnig er mögulegt að útfæra spillikóðann á vefsíðu, t.d. sem JavaScript, þannig að heimsókn á spillt vefsvæði gæti valdið skaða. 
 

Öryggisgallar og virkar árásir

Öryggisgallarnir eru:
Gallarnir hafa þegar verið nýttir í árásir sem hefur verið ítarlega lýst. Báðar árásirnar eiga rætur að rekja til "speculative execution" tækninnar:
  • Meltdown nýtir CVE-2017-5754 og getur brotið grunnvarnir sem aðgreina notendahugbúnað og stýrikerfi. Árásin gerir notendaforriti kleift að nálgast upplýsingar í minni, jafnvel þær sem tilheyra öðrum forritum og stýrikerfinu sjálfu.
  • Spectre, sem nýtir CVE-2017-5753 og CVE-2017-5715, brýtur aðskilnað milli notendaforrita og getur þannig lekið upplýsingum milli þeirra.

Ekki eru staðfest tilfelli virkar misnotkunar á Meltdown eða Spectre veikleikunum enn sem komið er. Þó er líklegt að höfundar spillikóða reyni að nýta sér hann þar sem hann er að finna í nær öllum örgjörvum sem eru í notkun í dag. Nýting er þó tæknilega flókin og þarf að koma kóðanum inn á tölvukerfin sem ráðist er á. Athugið þó að vel er mögulegt að útfæra spillikóða í JavaScript og dreifing með spilltum vefsíðukóða því möguleg. Takist að koma spillióða inn á kerfi er mögulegt að ná í viðkvæmar upplýsingar s.s. lykilorð og dulkóðunarlykla. Dæmi um notkun eru m.a. aðgengileg á Github.

"Speculative execution" tæknin og möguleg áhrif árása

Nútíma Intel örgjörvar (CPU) flýta vinnslu sinni með að beita s.k. "speculative execution" tækni sem felst í að giska á nokkrar mögulegar aðgerðaslóðir og keyra samhliða. Undir venjulegum kringumstæðum eyðir örgjörvinn röngu slóðinni þegar hann kemst að hver er sú rétta. Verulegur vinnslutími getur sparast með að beita þessari aðferð. Árásirnar nýta sér að Intel örgjörvar aðgreina ekki að fullu minnissvæði stýrikerfisins (high-privilege memory) og notendaforrita (low-privilege memory). Hægt er að láta örgjörvann vinna of lengi á ágiskaðri slóð og þannig framkvæma óæskilegar aðgerðir sem sækja gögn í minni sem viðkomandi ferli hefur í raun ekki réttindi til að nálgast. Flækjustig árásarinnar er nokkuð hátt og ekki einfalt að sækja gögn með þessum hætti. Örgjörvinn fleygir eins og áður var sagt ágiskunum á rangar aðgerðaslóðir ásamt öllum gögnum, en geymir þó í flýtiminni sínu (cache). Árásaraðili getur fundið út hvort áhugaverð gögn séu í flýtiminninu með að senda ákveðna röð skipana á örgjörvann. Með ítrekuðum árásum af þessu tagi má raða saman bútum af upplýsingum af minnissvæðum sem viðkomandi forrit ætti ekki að hafa aðgang að og þannig mögulega leiða í ljós viðkvæmar upplýsingar s.s. lykilorð og dulkóðunarlykla.

Sjá nánar m.a. umfjöllun ArsTechnica, greiningu Intel og kynningu Ýmis Vigfússonar á efninu.

Kerfi sem eru veik fyrir

Fyrst og fremst búnaður með Intel örgjörvum þó AMD og ARM kerfi séu að hluta veik fyrir.

Athugið að listinn er ekki tæmandi. Sem fyrr eru notendur hvattir til að leita upplýsinga um sín kerfi og hugsanlega veikleika.

Windows
  • Öll kerfi sem keyra á Intel, AMD og ARM örgjörvum.
 
Red Hat
  • Red Hat Enterprise Linux 5
  • Red Hat Enterprise Linux 6
  • Red Hat Enterprise Linux 7
  • Red Hat Atomic Host
  • Red Hat Enterprise MRG 2
  • Red Hat OpenShift Online v2
  • Red Hat OpenShift Online v3
  • Red Hat Virtualization (RHEV-H/RHV-H)
  • Red Hat OpenStack (OSP) 6
  • Red Hat OpenStack (OSP) 7
  • Red Hat OpenStack (OSP) 8
  • Red Hat OpenStack (OSP) 9
  • Red Hat OpenStack (OSP) 10
  • Red Hat OpenStack (OSP) 11
  • Red Hat OpenStack (OSP) 12
 
Google
  • Android á ARM
  • Google Chrome
  • Google Chrome OS fyrir útgáfu 63
  • Google Cloud Platform

Apple

Uppfærslur og aðrar mótvægisaðgerðir

Athugið að listinn er ekki tæmandi. Mikilvægt er að fylgjast með nýjum öryggisuppfærslum sem gefnar eru út og setja upp eins fljótt og mögulegt er á mikilvægum kerfum. Sjá m.a. lista um veikleikatilkynningar og uppfærslur. Sjá einnig greiningu Intel á mótvægisaðgerðum.

Meltdown gallinn er lagfærður með stýrikerfisuppfærslu sem felst m.a. í að auka einangrun milli minnissvæða kjarna og notendaferla. Komið hefur fram að öryggisuppfærslurnar geti haft talsverð áhrif á afköst kerfa, sérstaklega eldri örgjörva sem styðja ekki PCID sem er útfært í öllum Intel örgjörvum frá 4. kynslóð Haswell. Spectre lagfæring krefst uppfærslu á örkóða (microcode) og endurþýðingar hugbúnaðar. Það felur í sér hættu á auknum niðritíma vegna flókins uppfærsluferlis örkóða. Mælt er með því að uppfæra aðeins örkóða með uppfærslum frá BIOS framleiðendum eða í gegnum stýrikerfisuppfærslu.

Sem stendur er ekki vitað til virkrar misnotkunar á veikleikunum í neinum neðangreindra kerfa.

Microsoft
Öryggisuppfærsla frá 3. januar 2018 
Sjá einnig leiðbeiningar um Windows Server og nánar upplýsingar Microsoft um uppfærslur.
Athugið að sem stendur getur verið að Windows hafni uppfærslum ef vírusvörn er ekki samhæfð.
 
Apple

Aðrar útgáfur veikar fyrir.

 
Linux kjarnar

Linux kjarnar með KPTI:

  • Útgáfa 4.14.11
  • Útgáfa 4.15-rc6
  • LTS 4.9.75 og 4.4.110 (backports)

Aðrar útgáfur veikar fyrir.

 

Red Hat
Notendur eru hvattir til að uppfæra sín kerfi strax og uppfærðar útgáfur koma. Sjá heimasíðu CentOS varðandi CentOS kerfi.
 
SUSE Linux
 
Debian 
Sjá uppfærslustöðu (575457535715)
 
Ubuntu
 
Google Android
Uppfærslur frá desember 2017 takmarka verulega möguleika á nýtingu veikleikanna. Sjá einnig tilkynningu Google varðandi Android á ARM búnaði.
 
Google Chrome
Núverandi útgáfur af Chrome (stable) innihalda s.k. "Site Isolation" aðgerð sem getur minnkað áhrif veikleikanna með að einangra minni vefsíðna. Væntanleg uppfærsla á Chrome 64 þann 23. janúar mun takmarka áhrif veikleikanna enn frekar. Hægt er að virkja aðgerðina undir chrome://flags/#enable-site-per-process á Chrome 64. Aðgerðin mun einnig vera virkjanleg á Crome fyrir Android en getur haft áhrif á upplifun notandans og virkni síðna. Apple mun gefa út uppfærslu á Chrome fyrir iOS þar sem það nýtir Apple WKWebView.
 
Google Chrome OS
Útgáfur eldri en 63 (útgefið desember 2017) verða ekki uppfærðar. Intel Chrome OS-búnaður með kjarna 3.18 og 4.4 er uppfært með Kernel Page Table Isolation (KPTI) í Chrome OS 63 og nýrra. Einhverjir eldri kjarnar verða uppfærðir með KPTI í framtíðinni.
 
Google (annað)
Aðrar vörur Google geta verið veikar fyrir öðrum eða báðum veikleikunum. Sjá nánar um Chrome V8Google Cloud Platform og G Suite.
 
Mozilla
 
Intel
Örkóða uppfærsla er komin fyrir Intel vegna Spectre.
 
ARM
 
VMWare
 
XEN
Sjá greinargerð XEN um Mletdown og Spectre. 
 
Amazon AWS 
 

Heimildir: