Foreshadow/L1TF: Intel-CPUs ermöglichten unberechtigtes Auslesen von Speicher

Die spekulative Ausführung von Code führt erneut zu einer Sicherheitslücke auf Intel-Prozessoren. Mit Foreshadow können Prozesse über den Level-1-Cache unberechtigt Speicher auslesen. Besonders kritisch ist das in virtualisierten Umgebungen.

Artikel veröffentlicht am , Hanno Böck
Foreshadow/L1TF: Intel-CPUs ermöglichten unberechtigtes Auslesen von Speicher
(Bild: Foreshadow-Team)

Die Welle an Sicherheitslücken in Prozessoren durch die spekulative Codeausführung scheint kein Ende zu nehmen. Unter dem Namen Foreshadow oder L1TF wurde eine Sicherheitslücke veröffentlicht, die in vielen Aspekten dem Meltdown-Bug ähnelt. Betroffen sind nur Intel-Prozessoren, die Auswirkungen treffen in erster Linie Anbieter, die Kunden auf virtuellen Systemen hosten.

Stellenmarkt
  1. Spezialist (m/w/d) für Informationssicherheit
    Versicherungskammer Bayern Versicherungsanstalt des öffentlichen Rechts, München Obergiesing-Fasangarten
  2. Softwareentwickler C++ (m/w/d)
    vitero GmbH, Stuttgart
Detailsuche

Die Ursache liegt in der Verwaltung sogenannter Pagetables. Alle modernen Computersysteme verwenden eine virtuelle Speicherverwaltung, das bedeutet, dass die von Programmen genutzten Speicheradressen nicht den realen Adressen im Arbeitsspeicher entsprechen. Im Pagetable werden diese Adresszuweisungen verwaltet.

Intel-CPUs interpretieren ungültige Daten bei spekulativer Codeausführung

Wenn ein virtueller Speicherbereich auf einen Swap-Speicher auf der Festplatte ausgelagert wird, ist ein Großteil der Informationen im Pagetable ungenutzt. Daher kann das Betriebssystem diese Bereiche selbst mit Informationen füllen, die CPU sollte diese ignorieren. Insbesondere die Speicheradresse ist in diesem Fall ungültig, und der Prozessor sollte darauf nicht zugreifen.

Das Problem: Intel beachtet dies offenbar nicht, wenn es um die sogenannte spekulative Codeausführung geht. Alle modernen CPUs führen Code parallel aus und starten Code bereits im Voraus, dessen Ergebnis dann im Zweifel verworfen wird. Diese spekulative Codeausführung ist auch die Grundlage der Angriffe Meltdown und Spectre sowie zahlreicher inzwischen bekannter Varianten davon.

Golem Akademie
  1. Jira für Anwender: virtueller Ein-Tages-Workshop
    4. Februar 2022, virtuell
  2. Cloud Computing mit Amazon Web Services (AWS): virtueller Drei-Tage-Workshop
    14.–16. Februar 2022, virtuell
Weitere IT-Trainings

Mittels der spekulativen Codeausführung kann man Speicheradressen in den Cache des Prozessors laden, auf die der jeweilige Prozess eigentlich keinen Zugriff haben sollte. Dann können mit denselben Tricks, die bei Meltdown und Spectre Anwendung fanden, diese Daten ausgelesen werden.

Dieser Angriff ermöglicht es Nutzerprozessen, potentiell unberechtigt Speicher auszulesen. Allerdings ist dieser Angriff nicht sehr gezielt, da ein Nutzer keinen direkten Einfluss auf den Inhalt des Pagetables hat. Gravierender ist das in virtualisierten Umgebungen. Ein Betriebssystem, das in einer virtuellen Maschine läuft, kann gezielt Pagetable-Einträge erstellen, um auf andere Speicherbereiche zuzugreifen. Damit kann man Speicher des Host-Systems und anderer Gastsysteme auslesen.

Ebenfalls betroffen ist Intels Sicherheitstechnik SGX. Diese stellt theoretisch eine Art sichere Enklave dar, in der nur signierter Code laufen soll. Auch die kryptographischen Schlüssel von SGX können ausgelesen werden. Die praktische Relevanz dürfte hier allerdings gering sein, da nur wenige Anwendungen SGX nutzen.

Die neue CPU-Lücke wurde unabhängig voneinander von zwei Teams gefunden. Interessant dabei: Eines der Teams, Forscher der KU Leuven, entdeckten Foreshadow offenbar bereits Anfang Januar, bevor Meltdown und Spectre bekannt waren. Auf der zur Zeit stattfindenden Usenix-Konferenz werden die Details präsentiert.

Updates stehen bereit, verhindern aber nicht alle Angriffe

Das unberechtigte Auslesen von Speicher durch Nutzerprozesse lässt sich durch relativ simple Änderungen am Betriebssystem verhindern, Nutzer sollten nur baldmöglichst entsprechende Updates installieren. Diese Gegenmaßnahmen haben kaum Einfluss auf die Performance.

Beim Ausbruch aus virtualisierten Systemen ist die Situation etwas komplexer. Auch hier wurden Gegenmaßnahmen implementiert, die können jedoch in einigen Fällen durchaus signifikante Auswirkungen auf die Performance haben.

Ein Szenario, das eher schwer auszunutzen ist, betrifft die sogenannte Hyperthreading-Technik von Intel, bei der sich mehrere CPUs einen Cache teilen. Um dieses Szenario sicher zu verhindern, müsste man Hyperthreading komplett abschalten - das dürfte jedoch angesichts der Performanceeinbußen kaum jemand machen. Ähnlich wie bei einigen Spectre-Varianten wird man wohl auch hier vorerst damit leben müssen, dass es keinen perfekten Fix gibt.

Updates von Microsoft und verschiedenen Linux-Distributionen stehen bereit (Ubuntu, Red Hat, Suse). Der offizielle Linux-Kernel wird den Fix mit der Version 4.18.1 erhalten. Von Intel selbst gibt es Microcode-Updates, die betreffen aber nur SGX, was für die meisten Nutzer irrelevant ist.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Framework Laptop im Hardware-Test
Schrauber aller Länder, vereinigt euch!

Der modulare Framework Laptop ist ein wahrgewordener Basteltraum. Und unsere Begeisterung für das, was damit alles möglich ist, lässt sich nur schwer bändigen.
Ein Test von Oliver Nickel und Sebastian Grüner

Framework Laptop im Hardware-Test: Schrauber aller Länder, vereinigt euch!
Artikel
  1. FTTH: Liberty Network startet noch mal in Deutschland
    FTTH
    Liberty Network startet noch mal in Deutschland

    Das erste FTTH-Projekt ist gescheitert. Jetzt wandert Liberty von Brandenburg nach Bayern an den Starnberger See.

  2. 5.000 Dollar Belohnung: Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen
    5.000 Dollar Belohnung
    Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen

    Tesla-Chef Elon Musk bot einem US-Teenager jüngst angeblich 5.000 US-Dollar, damit der seinen auf Twitter betriebenen Flight-Tracker einstellt.

  3. Let's Encrypt: Was Admins heute tun müssen
    Let's Encrypt
    Was Admins heute tun müssen

    Heute um 17 Uhr werden bei Let's Encrypt Zertifikate zurückgezogen. Wir beschreiben, wie Admins prüfen können, ob sie betroffen sind.
    Eine Anleitung von Hanno Böck

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3080 12GB 1.499€ • iPhone 13 Pro 512GB 1.349€ • DXRacer Gaming-Stuhl 159€ • LG OLED 55 Zoll 1.149€ • PS5 Digital mit o2-Vertrag bestellbar • Prime-Filme für je 0,99€ leihen • One Plus Nord 2 335€ • Intel i7 3,6Ghz 399€ • Alternate: u.a. Sennheiser Gaming-Headset 169,90€ [Werbung]
    •  /