• IT-Karriere:
  • Services:

Sicherheitslücken: Deaktivierte Patches für Spectre 3 und 4 werden ausgeliefert

Mehr Sicherheitslücken in CPUs von Intel und AMD: Neue Seitenkanalangriffe ermöglichen das Auslesen von Registern und Ergebnissen der Sprungvorhersage. AMD und Intel haben Patches entwickelt, halten diese aber offenbar nicht für dringend notwendig.

Artikel veröffentlicht am ,
Es gibt neue CPU-Sicherheitslücken.
Es gibt neue CPU-Sicherheitslücken. (Bild: Marc Sauter/Golem.de)

Sicherheitsforscher haben neue Varianten der CPU-Sicherheitslücke Spectre entdeckt. Die Probleme mit den Namen Spectre 3 und 4 haben allerdings ein geringeres Gefährdungspotenzial als die ersten beiden Varianten und Meltdown. Intel und AMD haben Patches entwickelt, diese werden jedoch standardmäßig deaktiviert ausgeliefert.

Stellenmarkt
  1. Energiedienst Holding AG, Rheinfelden
  2. DE-CIX Management GmbH, Frankfurt

Spectre in der Variante 3 (Rogue System Register Read) ermöglicht einem lokalen Angreifer, bestimmte Register der CPU über einen Seitenkanalangriff auszulesen. Die Sicherheitslücke hat die CVE 2018-3640, Intel stuft das Problem als "medium" ein. Die Schwachstelle wurde von Zdenek Sojka, Rudolf Marek und Alex Zuepke von der Sysgo AG gefunden und an Intel gemeldet.

Spectre 4 wurde von Google und Microsoft entdeckt

Die Sicherheitslücke mit der Bezeichnung Spectre 4 wurde von Googles Project Zero beschrieben und an die Chiphersteller und Microsoft gemeldet. Beteiligt war wie bei Meltdown und Spectre Jann Horn. Forscher von Microsoft hatten das Problem laut der Disclosure-Timeline ebenfalls gefunden und mit Partnern in der Industrie geteilt. Spectre in der Variante 4 wird als "Speculative Store Bypass" beschrieben und ist mit der CVE-Nummer 2018-3639 bezeichnet. Damit sei es in bestimmten Fällen möglich, die Inhalte eines Pointers auszulesen, auch wenn die Vorhersage durch den Prozessor noch nicht verifiziert wurde.

Hersteller wie Microsoft gehen davon aus, dass bestehende Mitigationen in Webbrowsern ausreichend vor der Ausnutzung der Probleme schützen. Anders als bei Meltdown und Spectre soll es auch nicht so einfach sein, vertrauliche Daten wie Passwörter auszulesen. AMD und Intel haben Patches entwickelt, diese müssen allerdings explizit aktiviert werden. Auf Grund des Performanceverlustes von 2 bis 8 Prozent stufen die Hersteller die Patches also offenbar als nicht dringend notwendig ein.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    31. Mai - 1. Juni 2021, online
  2. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Patches für den Linux-Kernel sind derzeit nicht geplant. Es wird auf möglicherweise in Zukunft erscheinende Microcode-Patches verwiesen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 5,99€
  2. 34,99€
  3. 8,49€

notnagel 23. Mai 2018

Die betreffende Lücke lässt sich über Webbrowsern nutzen und dementsprechend reicht es...

Anonymer Nutzer 22. Mai 2018

Funktionieren eigentlich die Microsoft Patches mit dem Intel Microcode wieder?


Folgen Sie uns
       


Der Konsolen-PC - Fazit

Seit es AMDs RDNA-2-Grafikkarten gibt, kann eine Next-Gen-Konsole leicht nachgebaut werden. Wir schauen, was es dazu braucht und ob der Konsolen-PC etwas taugt.

Der Konsolen-PC - Fazit Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /