На заметку Найдена самая серьёзная уязвимость за всю историю мира :)

[virt]

Что случилось?

Исследователи Google опубликовали

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

, в котором они описывают найденную ими аппаратную уязвимость, которая затрагивает практически все современные и устаревшие процессоры вне зависимости от операционной системы. Строго говоря, уязвимостей целых две. Одной подвержены многие процессоры Intel (на них проводилось исследование). AMD с ARM также уязвимы, но атаку реализовать сложнее.

Атака позволяет получить доступ к защищенной памяти из кода, который не обладает соответствующими правами.

Пожалуй, самое вероятное и неприятное применение на данный момент — получение дампа системной памяти во время выполнения JavaScript.

Другой интересный вариант — эскалация прав чтения памяти из виртуальной машины. Как вам VPS, который ворует данные из других машин хостера?

Эксплуатация уязвимости не оставляет следов.

Насколько это серьезно?

Это очень серьезно. Мир разделится на «до» и «после» и даже у вас вообще нет компьютера, отдельные последствия косвенно могут догнать вас в офлайне.

Как защититься?

Установить последние обновления системы и браузера. Если вы не уверены в том что дыра точно закрыта и ваша система совершенно точно в безопасности, лучше отключите JavaScript даже при посещении безопасных сайтов — они могут быть скомпроментированы. Некоторые эксперты считают, что программным образом полностью обезопаситься нельзя и единственный способ решить проблему — сменить процессор на вариант без асбеста заведомо безопасный.

Прекрасные новости, это всё?

Не все. Судя по тестам, патчи сильно повлияют на производительность существующих систем. Тесты показывают падение на 10-30% в некоторых задачах. Да-да, вы все правильно поняли, ваш мак может навсегда стать медленнее, а AWS

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

.

Дополнительные данные

• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки
• Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Будьте здоровы!

 

[sasha1998]

Одной подвержены многие процессоры Intel

 

[virt]

@sasha1998, практически все подвержены атаки.

Вот пример, тырим пароль при помощи сплоита:

 

[virt]

Теперь же эксперты проекта Google Project Zero провели демонстрацию атак, для которой были подготовлены работающие прототипы эксплойтов, среди которых была реализация на JavaScript, работающая в браузере.

Уязвимость Meltdown, получившая идентификатор

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

, может позволить приложению прочитать содержимое любой области памяти компьютера, включая память ядра и других пользователей. Spectre, проходящая под идентификаторами

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

и

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

, может поспособствовать получению данных чужого приложения (только приложения, но не памяти ядра).

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

, что прототип эксплойта Spectre можно найти в открытом доступе.

В ядре Linux проблему Meltdown решили с выпуском набора патчей

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

, а вот общее противодействие уязвимости Spectre пока не выработано. Патчинг Windows и macOS обещают произвести в ближайшее время, а мобильная платформа

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

получила исправления с последним обновлением.

Так как атаки могут быть совершены непосредственно в браузере с помощью JavaScript, разработчики Google Chrome работают над исправлением ситуации. По словам специалистов, в релизе Chrome, который состоится 23 января, проблема будет решена. В свою очередь

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

в Firеfox 57

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

временные исправление, призванные затруднить проведение атаки.

 

[sasha1998]

@sasha1998, практически все подвержены атаки.

И старые i5 2550k ? Смущает слово практически т.е какие то не подвержены?

 

[virt]

И старые i5 2550k ? Смущает слово практически т.е какие то не подвержены?

Проверь сам:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

 

[virt]

Что это за уязвимость?

Исследователи

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

официальный документ о двух главных ошибках, которым подвержены почти все современные процессоры. Это проблема не с самими физическими деталями, а с их архитектурой. В современных процессорах в некоторых местах — например, ядре — информация содержится в незашифрованном виде. Впрочем, она защищена от стороннего вмешательства и от наблюдения со стороны других процессов и приложений.

Исследователи определили два типа техник — Meltdown («Крах») и Spectre («Призрак») — с помощью которых можно обходить эту защиту и узнавать почти все данные, которые обрабатывает компьютер: пароли, зашифрованную информацию и так далее.

Meltdown нарушает барьер между приложениями и внутренней памятью операционной системы и позволяет получить данные, которые хранятся в памяти ОС.

Spectre же позволяет одному приложению получить информацию другого. Как отмечает TechCrunch, Spectre намного сложнее в исполнении, но в то же время эту уязвимость сложнее искоренить.

Кто подвержен уязвимости?

Почти все современные устройства. Ошибки, к примеру, были найдены в процессорах Intel, произведенных в 2011 году. TechCrucnh предполагает, что уязвимости могут быть подвержены все процессоры компании, созданные с 1995 года. Так как Meltdown и Spectre действуют на архитектурном уровне, не имеет значения, на какой ОС работает устройство — Windows, MacOS или Android — все платформы уязвимы.

Следовательно, под угрозой могут оказаться огромное количество устройств. Уязвимость нашли не только в процессорах Intel — также проблема есть и у чипов от AMD и ARM. Представители последней

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

наличие уязвимости в процессорах из серии Cortex-A (в нее входят чипы смартфонов Apple), но добавили, что ошибки не были обнаружены в чипах серии Cortex-M, которые используются в IoT-устройствах.

Как компании будут решать эту проблему?

TechCrunch обращает внимание, что многие устройства «уязвимы» к этим техникам, но это не означает, что они полностью не защищены от атак. Пока что настоящие атаки с помощью Meltdown и Spectre не были зафиксированы. Intel, AMD и ARM знают об этой проблеме уже несколько месяцев и за это время могли предпринять определенные меры.

Meltdown можно исправить, усовершенствовав защиту ядра процессора. Но как сообщалось ранее, такое решение может снизить скорость его работы — на 5-30%. Что касается Spectre, то из-за сложностей в исправлении ошибки компаниям понадобится время, чтобы прийти к каким-либо решениям. Скорее всего, производители ПО будут выпускать обновления, чтобы защитить пользователей от наиболее вероятных атак, связанных со Spectrum.

Некоторые компании уже выпустили обновления, направленные на исправление уязвимости Meltdown. Microsoft выпустила экстренное обновление Windows 10, несколько патчей выпустили разработчики Linux. СМИ сообщали, что Apple частично исправила проблему с обновлением MacOS 10.13.2.

От уязвимости могут пострадать и провайдеры облачных услуг. Microsoft Azure и Amazon AWS уже также начали проводить обновления.

Неужели о проблеме никто не знал раньше?

Знали. Как оказалось, команда Google Project Zero

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

о проблеме производителям еще в прошлом 2017 году. Компании начали проводить обновления своих систем, но рассказывать о проблеме публично никто не стал. По предварительным данным, большой анонс должен был пройти 9 января, но СМИ узнали о проблеме раньше, что и послужило причиной большого скандала: акции компании Intel обвалились на несколько пунктов, все мировые СМИ написали об одной из самых массовых проблем в истории производства чипов.

Что мне делать?

Как обычно, производители советуют устанавливать все последние обновления для своих операционных систем — это позволит закрыть брешь в безопасности компьютера. Все это может занять некоторое время, но другого выхода сейчас нет. Также TechCrunch пишет, что решить проблему полностью скорее всего не удастся, так как она весьма серьезная. Скептики уже отметили, что одним из лучших вариантов станет замена гаджета, но спешить его покупать пока не стоит.

Ранее

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

о крупной уязвимости в протоколе шифрования беспроводных сетей WPA2.

 

[virt]

Недавно кстати была ещё одна уязвимость в процессоре:

Вы должны зарегистрироваться, чтобы увидеть внешние ссылки

Уязвимость на уровне процессора, но закрыть ее на уровне процессора нельзя. Поэтому производители начали костылять на уровне ОС пытаясь хоть как-то успокоить население нашей планеты.

Ну, что сказать: «отличные новости» и «хороший новогодний подарок» всем пользователям компьютеров.

Двадцать лет Карл, двадцать лет была уязвимость. И не в софте, а в железе !

Интересно сколько раз ее уже успели поиспользовать умные ребята из АНБ и прочих организаций «защищающих наш сладкий сон».

 

[Paranoik]

Скачал интеловскую приблуду чтоб узнать подверженность. Приблуда выдала сообщение:

Я так понимаю что сама эта приблуда не смогла выполнить эту уязвимость? Драйвера у меня все стоят, следовательно она просто не шмогла. Можно ли считать что точно такую-же ошибку получит вредоносный код?

 

[virt]

Можно ли считать что точно такую-же ошибку получит вредоносный код?

Думаю-да. :)

Вообще мне кажется, что все эти уязвимости специально встраивает производитель и дальше будет только хуже. :(