Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Nuove varianti degli attacchi side-channel alle CPU

Meltdown  side-channel  Spectre   martedì, 22 maggio 2018

Lo scorso 21 maggio è stata rivelata pubblicamente l’esistenza di due nuove varianti degli attacchi di tipo side-channel noti come Meltdown e Spectre, che sfruttano falle nella tecnica di ottimizzazione delle prestazioni nota come “esecuzione speculativa” (speculative execution) nei processori di nuova generazione. Questi attacchi consentono di aggirare le misure di sicurezza implementate in hardware dalle CPU e di accedere ad aree di memoria protette, con conseguente potenziale divulgazione di informazioni sensibili.

Sono state identificate le seguenti due nuove vulnerabilità:

  • Variante 4 – Speculative Store Bypass (SSB) (CVE-2018-3639): se sfruttata con successo, questa vulnerabilità può consentire ad un attaccante locale di leggere vecchi valori di memoria nello stack della CPU o in altre locazioni di memoria, potendo accedere a dati confidenziali ed eseguire vecchi comandi in maniera speculativa, esponendo la cache del processore ad ulteriori attacchi side-channel.
  • Variante 3a – Rogue System Register Read (RSRE) (CVE-2018-3640): se sfruttata con successo, questa vulnerabilità può consentire ad un attaccante locale di leggere in maniera speculativa parametri di sistema mediante analisi side-chennel ed ottenere informazioni sensibili.

Entrambe queste falle sono considerate di media gravità. In ogni caso, si raccomanda agli utenti di installare eventuali aggiornamenti di sicurezza per i propri processori, sistemi operativi e applicativi non appena resi disponibili dai rispettivi produttori.

Per maggiori dettagli sulla problematica, sui processori e sistemi affetti e sugli aggiornamenti disponibili, si suggerisce di consultare le seguenti fonti esterne (in Inglese):

Notizie correlate

“Lazy FP state restore”: nuova vulnerabilità in processori Intel Core

18 giugno 2018

Intel ha rivelato la presenza di una nuova vulnerabilità di media gravità nei processori della famiglie Intel Core e Xeon che può essere sfruttata per ottenere informazioni potenzialmente sensibili. Leggi tutto

Aggiornamenti di sicurezza per prodotti Microsoft (giugno 2018)

13 giugno 2018

Nella giornata del 12 giugno 2018 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti, tra cui Windows, Internet Explorer e Edge.Leggi tutto

Microsoft rilascia nuovi aggiornamenti contro gli attacchi Spectre alle CPU Intel

27 aprile 2018

Microsoft ha rilasciato un aggiornamento per Windows 10 e Windows Server 2016 che abilita le mitigazioni software contro gli attacchi Spectre di tipo 2.Leggi tutto