Meerdere (kritische) kwetsbaarheden in moderne processoren

Fouten in moderne processoren lekken wachtwoorden en gevoelige data

Meltdown en Spectre maken gebruik van kritische kwetsbaarheden in moderne processoren. Door deze hardwarefouten kunnen programma’s gegevens stelen die op dat moment op de computer worden verwerkt. Standaard mogen programma’s geen gegevens lezen uit andere programma’s; een kwaadaardig programma kan gebruik maken van de Meltdown en Spectre exploits om gevoelige data te achterhalen die zijn opgeslagen in het geheugen van andere actieve programma’s. Dit kunnen uw wachtwoorden zijn die zijn opgeslagen in een wachtwoordbeheerder of browser, uw persoonlijke foto’s, e-mails, instant messages en zelfs bedrijfskritieke documenten.

Meltdown en Spectre werken op pc’s, mobiele apparaten en in de cloud. Afhankelijk van de infrastructuur van de cloudprovider is het mogelijk om gegevens van andere klanten te stelen.

Inleiding

Er zijn kritische kwetsbaarheden ontdekt in Intel, AMD en ARM processoren. De kwetsbaarheden kunnen ervoor zorgen dat een kwaadwillende het geheugen van de Kernel kan lezen. De kwetsbaarheden worden “Meltdown” en “Spectre” genoemd. De kwetsbaarheden bevinden zich op hardware niveau. Op dit moment (4 januari 2018) is updaten de enige manier om deze kwetsbaarheden te verhelpen. De updates zorgen echter wel voor een langzamere computer en zijn geen “echte” oplossingen voor het probleem.
De echte oplossing zal hardware matig zijn.

Gevolgen

De kwetsbaarheden zorgen ervoor dat een kwaadwillende het geheugen van de Kernel kan lezen. Hier wordt echter gevoelige data bewaard, zoals wachtwoorden en encryptiesleutels. De kwetsbaarheden kunnen mogelijk via javascript misbruikt  worden. Een kwaadwillende kan dus via een webpagina het geheugen van de Kernel lezen.

Proof of concept

Er zijn Proof-of-Concepts gemaakt, echter bevelen wij je aan om deze eerst (zelf) te controleren.
https://github.com/HarsaroopDhillon/SpectreExploit
https://pastebin.com/CF91uGTG
https://github.com/ionescu007/SpecuCheck

Oplossing

Er zijn op dit moment alleen softwarematige oplossingen. Deze worden via updates uitgebracht.
Het is dus aanbevolen om zo snel mogelijk alle systemen te updaten.

Hoe werkt het?

Het probleem zit in een techniek genaamd “Speculative execution” dat door (bijna) alle moderne processoren wordt gebruikt.
Dit is een optimalisatie techniek om te speculeren welke data later handig kan zijn (dit wordt middels berekeningen uitgevoerd).

Microsoft

Microsoft geeft aan dat het niet voldoende is om alleen de Windows January 2018 security updates te installeren:

“Customers who only install the Windows January 2018 security updates will not receive the benefit of all known protections against the vulnerabilities. In addition to installing the January security updates, a processor microcode, or firmware, update is required. This should be available through your device manufacturer.”

Apple

Apple heeft in macOS High Sierra 10.13.2 al de nodige wijzigingen aangebracht die ervoor zorgen dat je goed beschermd bent tegen Meltdown. Heb je macOS High Sierra 10.13.2 nog niet geïnstalleerd, dan wordt aangeraden om dat zo snel mogelijk te doen. Apple zou in macOS High Sierra 10.13.3, die momenteel in beta is, nog meer wijzigingen doorgevoerd hebben om je te beschermen tegen deze kwetsbaarheden. Deze update wordt binnenkort verwacht.

Meer informatie

Indien je geïnteresseerd bent in alle details adviseren wij om de blog van Google te lezen aangezien deze alles stap voor stap doorneemt.
(https://googleprojectzero.blogspot.nl/2018/01/reading-privileged-memory-with-side.html)

Referenties

https://spectreattack.com/
https://www.bleepingcomputer.com/news/security/google-almost-all-cpus-since-1995-vulnerable-to-meltdown-and-spectre-flaws/
https://www.security.nl/posting/544733/Meerdere+kwetsbaarheden+in+AMD-+en+Intel-processors+ontdekt
https://www.theregister.co.uk/2018/01/02/intel_cpu_design_flaw/
http://www.theregister.co.uk/2018/01/04/intel_amd_arm_cpu_vulnerability/
https://www.ncsc.nl/dienstverlening/response-op-dreigingen-en-incidenten/beveiligingsadviezen/NCSC-2018-0009+1.00+Kwetsbaarheden+in+processoren+ontdekt+Spectre.html