Google e Microsoft rivelano un nuovo attacco Spectre

Ci risiamo: i ricercatori di sicurezza di Google e Microsoft hanno individuato 2 nuove varianti di Spectre che riguardano processori AMD, ARM, IBM e Intel (vi ricordate di Meltdown e Spectre, le vulnerabilità che hanno sconvolto la concezione della sicurezza dei processori di vendor del calibro di Intel e AMD: leggi qui e qui) . I primi rumor riguardo a questa nuova vulnerabilità sono trapelati online all'inizio del mese, pubblicati in un magazine tedesco, ma ora sono di dominio pubblico. Immediatamente i vendor principali di processori hanno pubblicato i propri "Security Advice!", contenenti spiegazioni su come funzionano i bug e consigli per la mitigazione, che elenchiamo sotto:

AMD -> clicca qui

ARM -> clicca qui

IBM -> clicca qui

Intel ->  clicca qui

Microsoft -> clicca qui

Ubuntu ->  clicca qui

Il Bug Spectre NG

Il bug, chiamato nelle scorse settimane Spectre NG, è collegato a Meltdown e Spectre, le due vulnerabilità critiche individuate lo scorso anno e rese pubbliche all'inizio del 2018. Questa falla lavora in maniera simile a Meltdown e Spectre e questo è il motivo per il quale le due nuove vulnerabilità sono state chiamate "Variante 3a" e "Variante 4". Ricapitolando le varianti sono:

V1 --> bounds check bypass (CVE-2017-5753) --> Spectre v1

V2 --> branch target injection (CVE-2017-5715) --> Spectre v2

V3 --> rogue data cache load (CVE-2017-5754) --> Meltdown

V3A --> rogue system register read (CVE-2018-3640)

V4 --> speculative store bypass (CVE-2018-3639)

Le nuove varianti

la variante 3A è una variante della vulnerabilità Meltdown, mentre la Variante 4 è un nuovo attacco "sul modello" di Spectre. Entrambi i bug si verificano per lo stesso motivo, l'esecuzione speculativa, una funzionalità presente in ogni moderna CPU che ha il compito di migliorare le performance calcolando le operazioni in anticipo e scartando successivamente i dati non necessari. Sono ritenute di media gravità. Tra i processori affetti troviamo quelli Intel e AMD x86, insieme alle CPU POWER 8, POWER 9, System z, ARM. Intel ha già pubblicato la lista delle CPU interessate. 

La differenza è che la Variante 4 riguarda una parte diversa del processo di esecuzione speculativa - i dati all'interno dello "store buffer"  nella cache della CPU. Nel dettaglio:

• Spectre variante 4 --> Speculative Store Bypass (SSB) se sfruttata con successo questa variante può consentire ad un attaccante locale di leggere i vecchi valori di memoria nello stack della CPU (ma anche in altre locazioni di memoria), accedendo perfino a dati confidenziali. Potrà quindi eseguire vecchi comandi in maniera speculativa, esponendo la cache della CPU ad ulteriori attacchi. Può essere sfruttata da remoto, tramite codice JavaScript nel browser.
• Spectre variante 3A --> Rogue System Register Read (RSRE) se sfruttata con successo questa vulnerabilità può consentire ad un attaccante locale di leggere in maniera speculativa parametri di sistema  ed ottenere informazioni sensibili. 

E' possibile vederne online il proof-of-concept, pubblicato da Jann Horn, il ricercatore di Google che ha individuato Meltdown e Spectre. 

Rilasciate patch aggiuntive

dalle parti di Intel assicurano che le patch originali per Meltdown e Spectre, diffuse dal Gennaio 2018, dovrebbero mitigare anche la variante 4. Tuttavia Intel ha annunciato nuove patch.

"Siamo pronti a diffondere un update del microcodice per la variante 4 in versione beta per i sistemi OEM e per i vendor dei software di sistema e prevediamo di poterlo rilasciare già nelle prossime settimane nella produzione BIOS e negli aggiornamenti software" afferma Leslie Culbertson di Intel.

"Questa mitigazione sarà disabilitata di default, fornendo al cliente la scelta se abilitarla o meno. In questa configurazione non abbiamo notato alcun impatto sulle performance. Se abilitata invece l'impatto sulle performance si aggira tra il 2 e l'8%" ha aggiunto. 

Anche Microsoft e Red Hat hanno annunciato nuove patch, mentre Cisco ha affermato che i propri dispositivi non sono affetti da questi bug.