Während Intel die Probleme herunterspielt, werden mehr Details bekannt. Hinter dem Intel-Bug verbergen sich drei Schwachstellen, von denen zwei unter dem Codenamen Spectre und eine als Meltdown bezeichnet wird.
Intel hat “aufgrund ungenauer Medienberichte” Stellung zu der Meldung genommen, wonach in Intel-CPUs ein schwerwiegendes Sicherheitsproblem auftritt. Die Probleme räumt Intel zwar ein, schreibt aber, man glaube, dass “diese Exploits nicht das Potenzial haben, Daten zu beschädigen, zu verändern oder zu löschen.”
Jüngste Meldungen, nach denen diese Fehler nur Intel-Produkte betreffe, seien falsch. Tatsächlich betreffe das Problem “verschiedene Prozessoranbieter und Betriebssysteme” und Intel arbeite zur Lösung des Problems mit ARM, AMD und anderen OS-Herstellern zusammen. Ein AMD-Entwickler hatte zwar auf der Kernel-Mailingliste geäußert, dass das Problem AMD-CPUs nicht betreffe, bezog sich damit aber offenbar nur auf eines der drei Probleme.
Intel habe bereits begonnen, Firmware-Updates und Software auszurollen, um die Exploits zu entschärfen. Die von einigen Quellen genannten Auswirkungen auf die Performance seien abhängig von den Workloads, sollten für durchschnittliche Anwender “nicht signifikant” sein und im Laufe der Zeit verschwinden. Wer Detail zu den Hintergründen des Problems erwartet hatte, wurde allerdings enttäuscht. Intel hatte angeblich geplant, das Problem nächste Woche offenzulegen. Aufgrund der Medienberichte sieht sich Intel nun offenbar gezwungen, die Vorab-Stellungnahme zu geben, laut Linus Torvalds handelt es sich aber im wesentlichen im PR-Geschwafel.
Meltdown und Spectre
Dafür sind andere aktiv an die Öffentlichkeit gegangen, weshalb das Problemfeld mittlerweile klarer wird. Demnach gibt es wohl drei Lücken bei der spekulativen Ausführung von Instruktionen. Zwei recht ähnliche Probleme tragen den Codenamen Spectre, ein etwas anderes haben die Entdecker Meltdown getauft – auf den eigens eingerichteten Webseiten gibt es sogar Logos dafür. Die drei Lücken wurden von zwei respektive drei Teams unabhängig voneinander entdeckt wurden, wobei Googles Project Zero in beiden Fällen beteiligt war.
Zu den beiden auch Spectre getauften Lücken gehören ein Bounds Check Bypass (CVE-2017-5753, Spectre) und eine Branch Target Injection (CVE-2017-5715, Spectre). Sie erlauben es einem unprivilegierten Angreifer, die Grenzen eines Syscalls zu überschreiten, um über gezielte Chache-Side-Channel-Attacken privilegierten Speicher auszulesen. Das setzt aber voraus, dass im privilegierten Code eine genau definierte Sequenz an Instruktionen existiert und dass Speicherzugriffe über den Datencache des Mikroprozessors auch dann stattfinden, wenn eine spekulativ ausgeführte Instruktion am Ende nicht in den Speicher oder Register geschrieben wird. Die Lücke betrifft Prozessoren von Intel, ARM und AMD, wobei die Branch Target Injection laut AMD auf den hauseigenen Prozessoren fast unmöglich auszunutzen ist. Aufgrund der Komplexität der Probleme, werden die beiden Lücken das Security-Personal noch eine Weile beschäftigen.
Bleibt noch eine als Rogue Data Cache Load (CVE-2017-5754, Meltdown) bezeichnete dritte Lücke, die tatsächlich nur Intel-Prozessoren betreffen soll. Von denen aber alle Modelle zurückgehend bis ins Jahr 1995. Eine Ausnahme bilden wohl Intel Itanium und Intel Atom. Um diese Lücke ging es im Wesentlichen in der Meldung von gestern. Sie soll sich leichter ausnutzen lassen als die anderen beiden Lücken, ist aber auch einfacher zu beheben. Es gibt bereits Patches in Form der erwähnten Kernel Page Table Isolation (KPTI). Eine sehr detaillierte Schilderung des Problems liefert Anders Fogh in einem Blogpost.
Auswirkungen
Was bedeutet dies nun für die Linux-Distributionen? Ob es bislang außerhalb eines Kreises von Sicherheitsforschern Exploits dafür gibt, ist unbekannt. Schafft es jemand, entsprechenden Exploit-Code auf einen Rechner zu schleusen, ist der über herkömmliche Logs kaum auffindbar. Aus dem privilegierten Speicher ließen sich dann etwa Passwörter oder andere sensible Informationen auslesen.
Red Hat stuft die Priorität und das Gewicht der Lücken als hoch ein und bietet für Meltdown bereits Updates für verschiedene RHEL-Versionen an. Die Meltdown-Fixes für die Kernel von Ubuntu und Debian sind offenbar noch in Arbeit. Sie lassen sich vermutlich in den nächsten Tagen über Updates installieren. Glaubt man den Sicherheitsforschern, dürfte das Beheben der Spectre-Lücken noch etwas länger dauern.
Update [5.1.]: Kleinere Korrekturen.
