Исследователи из Технологического университета Граца заявили про выявление нового класса уязвимости, названого «Микроархитектурной выборкой данных» (Microarchitectural Data Sampling, MDS), которая базируется на технологии спекулятивного выполнения команд. В основе данного метода лежит возможность процессора предугадывать данные, необходимые операционной системе или приложению для оптимизации производительности.
Используя найденную уязвимость, хакеры могут получить доступ к конфиденциальным данным пользователя: паролям, адресам сайтов, токенам и другой информации. Атаки могут быть четырёх разных видов, получивших названия: ZombieLoad, Fallout, RIDL (Rogue In-Flight Data Load) и Store-to-Leak Forwarding.
Уязвимость ставит под угрозу не только стационарные компьютеры, но и облачные серверы и виртуальные машины. Доступ к компьютеру осуществляется не в режиме реального времени, поэтому на данный момент не известно, была ли использована брешь для похищения конфиденциальной информации.
Выявлено, что все процессоры Intel, выпущенные с 2011 года, подвержены данному классу уязвимости. Исключение составляют процессоры 8-го и 9-го поколения, а также серверные Xeon Scalable 2-го поколения, в которых данная уязвимость устранена на аппаратном уровне.
Разработчики Intel для устранения уязвимости выпустили обновление, которое очищает все данные из буфера при каждой перезагрузке. Данное обновление при этом использует ресурсы компьютера и снижает производительность. Однако эти потери крайне малы, и в Intel заявили, что для рядового пользователя снижение производительности пройдёт незаметно.
Кроме того, после изучения уязвимости было рекомендовано отключить фирменную технологию Hyper-Threading. Однако в таком случае произойдёт уже заметное снижение производительности ориентировочно на 40%. Apple, Microsoft, IBM Red Hat рекомендуют пользователям отключать Hyper-Threading. Google отключает её в Chrome OS 74. При этом сама Intel это делать не рекомендует. Apple, Microsoft и Google дополнительно выпустили обновления для собственных устройств, а Amazon обновил облачный сервис Web Services.
Источник: intel.com