Google rende nota vulnerabilità su CPU Intel / AMD / ARM
Google rende noto che il loro team Google Project Zero ha scoperto una falla nei chip Intel/AMD/ARM che porterebbe alla lettura di memoria non autorizzata (speculative execution). Questa falla sta facendo tremare l’intero mondo dell’informatica, considerando le implicazioni che potrebbe avere.
Il Google Project Zero team ha ad esempio dimostrato come in un ambiente virtuale, un’applicazione che gira su una VM è riuscita a leggere la memoria di altre VM presenti nell stesso host.
Quindi, un’applicazione ben strutturata potrebbe leggere informazioni non autorizzate nel sistema, quali password, chiavi di crittografia e informazioni sensibili aperte in altre applicazioni (ed in altre VM).
Maggiori dettagli sui bug dei processori possiamo trovarli sul blog del Google Project Zero team.
Esistono 3 tipologie di bug, descritte nelle seguenti CVE (Common Vulnerability and Exposure):
- Variant 1: bounds check bypass (CVE-2017-5753)
- Variant 2: branch target injection (CVE-2017-5715)
- Variant 3: rogue data cache load (CVE-2017-5754)
A tali bug è stato dato il nome di Spectre (Variante 1 e 2) e Meltdown (variante 3) e la descrizione dettagliata si può trovare sul sito SpectreAttack.com
Il problema riguarda quasi il 100% delle CPU attualmente in circolazione e il bug esiste dai tempi del processore Intel Pentium.
Per questo motivo si sta freneticamente lavorando per creare fix a tali bug; ma sembra che il fix porterebbe (almeno da parte di Intel) ad un rallentamento della velocità del processore, con conseguente decadimento delle performaces generali del sistema.
- Microsoft: l’azienda di Redmond ha già rilasciato la patch per Windows 10 (KB4056892) e per gli altri sistemi verrà rilasciata con la Patch Tuesday;
- Apple: Apple ha già pubblicato un update per il macOS 10.13.2 e 10.13.3;
- Linux: Anche Linus Torwalds sta rilasciando i correttivi necessari (x86 PTI – Page Table Isolation);
- Amazon: Amazon ha affermato che tutte le istanze EC2 sono quasi tutte protette ed a breve tutto il patching sarà completato.
Michael Larabel (Phoronix) ha testato le prestazioni di un sistema Linux dopo l’introduzione delle patch alla sicurezza di PTI x86 che sono finite nel kernel di Linux 4.15 pochi giorni fa.
La maggior parte dei rallentamenti attribuiti all’isolamento della tabella di pagine si riduce a un I/O più lento ma non universalmente; purtroppo, mettendo il sistema sotto stress, sembra che il decadimento di performances possa arrivare al 30% (parlando di I/O).
