News Spectre V4 & (Meltdown) V3a: Details und Patches zu neuen CPU-Sicherheitslücken

[biente]

Bist du dir da sicher, wenn persönliche Dinge an die Öffentlichkeit kommen die es nicht sollten

 

[itm]

Unsere tägliche Sicherheitslücke gib uns heute...

 

[MK one]

@Kaleo Meow
auf die ein oder andere Weise wirst du auch betroffen werden , indirekt , ohne das du es merkst
nämlich dann wenn die Firmen anfangen ihre Hardware auszutauschen ... , die haben nämlich die unangenehme Eigenschaft das sie die Kosten auf den Kunden abwälzen ...
könnte auch sein das Intel dazu verdonnert wird kostenlos Hardware zu ersetzen , dann wirst du künftig halt 40 - 50 Euro mehr für die CPU zahlen müssen ( sofern der Konkurrenzkampf das zulässt ) oder mußt wie bisher meist auch , noch nen Board dazukaufen , damit Intel nochmals am Chipsatz verdient .

 

[Decorus]

Erlaubt Meltdown (und seine Freunde) eigtl. "nur" Ring 0 Zugriffe oder auch Ring -1 Hypervisor oder gar SMRAM Zugriffe?

 

[AleksZ86]

bisher konnte keiner diese Sicherheitslücken ausnutzen, oder?

 

[biente]

Das kann dir keiner sagen, aber:
Wird eine Lücke öffentlich wussten andere schon zuvor davon

 

[AnkH]

Und die ganze Geschichte betrifft mich als Privatanwender (Gamer), weil? Habe ich immer noch nicht begriffen, sorry. Klar, wenn die Fixes meinen Prozessor immer langsamer machen, nervt das irgendwann und die Salamitaktik von Intel ist vehement zu Kritisieren, aber wirklich sicherheitsrelevant ist das für mich als Privatanwender nicht, oder? Vermutlich werden durch die Microsoft-Anruf-Betrügereien und vergleichbare Übergriffe millionenfach grössere Schäden angerichtet (bei Privatanwender), und da hilft auch die beste Sicherheitsstruktur der HW nicht, wenn der DAU darauf reinfällt...

 

[iWaver]

Mein Haswell Mainboard hat bis heute kein Bios-Update bekommen, ich freu mich schon darauf, wenn die wirklich gefährlichen Lücken öffentlich werden.

 

[Wadenbeisser]

Und die Intel Aktie steigt und steigt: +10% Monat, +22% Halbjahr, +45% Jahr.

Scheinbar spekulieren die Anleger darauf, dass viele Kunden in Zukunft Ersatz kaufen und der Imageschaden im Vergleich nichts ausmacht.

Ich gehe eher davon aus das auf zusätzliche Verkäufe spekuliert wird um den Leistungsverlust in Server Umfeld durch die Patches auszugleichen. Gerade im Bereich der virtualisierten Server kann man nicht so ohne weiteres auf die Konkurrenz ausweichen.

 

[scryed]

@AnkH , kannst beruigt sein und konsequent ignorieren , bis jetzt hat dich noch kein Patch irgendwas an Performance in Sachen spiele gekostete , mal ausgenommen der minimale Einbruch bei ssd Geschwindigkeit was aber auch im Alltag du nicht merken wirst

Selbst der Einzel Rechner im Büro hat keine Probleme ......

Der einzige der Probleme hat ist der der Leute die er nicht kennt also fremde an seinen Rechner lässt oder via vm von extern zugreifen lässt ,

Komischerweise habe ich auch noch keinen der großen Server Anbieter Krawall machen gehört , sicher die werden Stress haben aber vermutlich haben die ihre Software bzw. VM Updates das es nicht mehr so einfach ist diesen auszunutzen

Es scheinen sich einfach viele kein Bild zu machen wie verdammt komplex so eine cpu ist aber scheinbar sind hier im Forum viele hochqualifizierte cpu Ingenieure unterwegs die täglich eine CPUs konzipieren , ich werd mal in den Raum wie viel Transistoren stecken in aktuellen Intel bzw. Amd CPUs und auf welcher Fläche ? Aber scheinbar Schrauben sich das viele hier im Keller zusammen

Man sollte sich lieber über Trojaner , vieren , Würmer , Fake Mails , und sonstiges Gedanken machen denn damit ist es wesentlich einfacher in den heim bzw einzel Rechner (auch arbeiterechner )einzubrechen

Und immer dieses scheinheilige getuhe als hätte amd die cpu alles neu erfunden , aktuell hat es Intel etwas mehr erwischt na und , wer kann mir versichern das in 5 Jahren nicht amd am Zug ist ........ keiner kann das

 

[Alefthau]

Hi,

Zumindest Variant 3a scheint bei AMD wieder nur eine theoretische Gefahr zu sein:

Based on the difficulty to exploit the vulnerability, AMD and our ecosystem partners currently recommend using the default setting that maintains support for memory disambiguation. .....................We have not identified any AMD x86 products susceptible to the Variant 3a vulnerability in our analysis to-date.

/edit

Ich vermute einfach mal wild, dass auch Variante 4 unter theoretisch, aber asig schwer auszunutzen, fällt.

Mir ist auch kein bekannter lauffähiger Exploit für AMD bekannt, aber lasse mich gerne eines besseren belehren!

Gruß

Alef

 

[FreddyMercury]

@scryed

Ich merke schon Unterschiede. Arbeite allerdings auch viel mit Netzwerk, I/O Geschichten und brauche auch ordentlich cpu Power und hohen Durchsatz. Bei mir sind gefühlte 15-20 Prozent langsamer als vor dem Patch. Teilweise lege ich die Schuld dafür auf Windows selber.

 

[BmwM3Michi]

Mein Haswell Mainboard hat bis heute kein Bios-Update bekommen, ich freu mich schon darauf, wenn die wirklich gefährlichen Lücken öffentlich werden.

aber wenn du Windows 10 hast bekommst du den Microcode per Windows update,
aber du musst es selbst runterladen und starten.
https://www.computerbase.de/2018-03/intel-microcode-updates-windows-10-coffee-kaby-lake/

 

[IBISXI]

Der Artikel ist auch nicht gerade neutral geschrieben.

Ich zitiere mal daraus:

Variante 3a betrifft ARM und Intel

Variante 3a als neue Version von „Meltdown“ (Variante 3) wurde unabhängig von Googles Project Zero und Microsoft Security Response Center entdeckt und jetzt von ARM im Detail öffentlich gemacht (Whitepaper als PDF). Betroffen sind ARM-Kerne der Typen Cortex-A15, -A57 und -A72, wobei ARM die Gefahr, dass Angreifer sich die Lücke zu nutzen machen, als so gering einstuft, dass Gegenmaßnahmen derzeit als nicht notwendig erachtet werden.

Aha... ARM und Intel? nicht umgekehrt?

Das könnte man auch anders zusammenfassen.

Intel CPU´s von neuer Meltdown Variante betroffen.

Hört sich natürlich nicht so schön an wie Variante 3a betrifft ARM und Intel.

 

[kisser]

Warum Meltdownartige Attacken auf AMD nicht funktionieren hab ich oben bereits geschrieben.

Was aber reichlicher Unsinn ist, den du da geschrieben hast.
Warum heißt Meltdown wohl nicht Spectre V3?
Ich geb dir mal einen Tipp: es hat mit speculative execution unmittelbar nichts zu tun. Sie ist hier nur Mittel zum Zweck des Ausnutzen einer anderen Lücke (ooo-execution).
Bei Spectre ist die speculative exection selbst die Ursache der Lücke.

Ergänzung (22. Mai 2018)

Wer Hardwareseitig zwischen User- und Kernelspace unterscheidet hat keine Meltdown Probleme.

Hör doch bitte auf solchen Mist zu schreiben.
Du scheinst ja nicht die geringste Ahnung von CPU-Architektur zu haben.

 

[Hill Ridge]

Aha... ARM und Intel? nicht umgekehrt?

Was passt daran denn nicht?
Vielleicht ist die Reihenfolge einfach nicht nach Fanboy, sondern nach Alphabet!

 

[kisser]

CPU Bugs hat es schon immer gegeben.

Wir reden hier nicht von Bugs, sondern von Hacks (=side-channel attacks, Angriffe auf die Mikroarchitektur).
Die CPUs tun nach außen hin genau das, was sie tun sollen.

 

[Hotstepper]

@ CB - Verbesserungsvorschlag zur neuen Forensoftware. Obwohl jemand auf der Ignore List ist (in diesem Fall Kisser) - schon lange - bekomme ich Meldungen dass er mich zitiert hat. Kann man das nicht auch rausnehmen?

 

[IBISXI]

Vielleicht ist die Reihenfolge einfach nicht nach Fanboy, sondern nach Alphabet!

ARM betrifft es nur theoretisch!
Wo steht Intel dann im Alphabet?

Wenn man den Artikel überfliegt, könnte man denken Intel hätte nur am Rande was mit der neuen Meltdown Variante zu tun.

 

[Hill Ridge]

ARM betrifft es nur theoretisch!

Bei Meltdown soll ARM nur theoretisch betroffen sein?

Wo steht Intel dann im Alphabet?

Naja, nach ARM.