ZombieLoad: Neue Sicherheitslücken in Intel-Prozessoren

  • Allgemein

  • mad.de
  • 1846 Aufrufe 3 Antworten

Diese Seite verwendet Cookies. Durch die Nutzung unserer Seite erklären Sie sich damit einverstanden, dass wir Cookies setzen. Weitere Informationen

  • ZombieLoad: Neue Sicherheitslücken in Intel-Prozessoren

    Bei vielen bisherigen Core-i- und Xeon-Prozessoren kann Malware Daten laufender Prozesse belauschen, wenn sie auf demselben Kern läuft.

    Nach Spectre und Meltdown kommt der neue Seitenkanalangriff ZombieLoad, der die Abschottung der Speicherbereiche gleichzeitig laufender Prozesse überwindet. ZombieLoad-Malware kann Daten anderer Prozesse auslesen, selbst wenn diese in einer anderen virtuellen Maschinen laufen. Vorbedingung ist allerdings, dass sowohl Malware als auch Angriffsziel auf demselben Prozessorkern laufen.

    Microcode-Updates von Intel
    Während die jüngsten Intel-Prozessoren vor ZombieLoad bereits geschützt sind, verteilt Intel für ältere Core-i- und Xeon-Typen wieder neue Microcode-Updates. Auch Betriebssysteme und Hypervisoren brauchen Patches.

    Intel nennt den ZombieLoad-Angriffe "Microarchitectural Data Sampling" (MDS): Ein Angreifer kann nicht genau steuern, welche Daten er belauschen möchte. Um sensible Daten zu erhaschen, muss der Angriff lange laufen und so viele Daten fremder Prozesse sammeln wie möglich. Oder der Angreifer muss zusätzliche Tricks anwenden, um den Opferprozess im richtigen Moment laufen zu lassen.

    Vor allem bei aktivem Hyper-Threading (HT) klappt ZombieLoad laut seinen Entdeckern dann aber eindrucksvoll: In einem kurzen Video demonstriert die Firma Cyberus Technology einen Exploit, der unter dem besonders sicher konfigurierten Linux Tails den Tor-Browser belauscht, der in einer qemu-Maschine läuft.

    Cyberus Technology demonstriert einen ZombieLoad-Exploit (Quelle: Cyberus Technology)
    Zu dem Team, das ZombieLoad gefunden hat, gehören einige der Spectre-Entdecker von der TU Graz (M. Schwarz/D. Gruss/M. Lipp), von Cyberus Technology (T. Prescher/J. Stecklina) sowie von der KU Leuven (Jo van Bulck) und vom Worcester Polytechnic Institute (D. Moghimi).

    Intel hatte das Problem und drei weitere MDS-Lücken aber nach eigenen Angaben schon bei internen Untersuchungen entdeckt und meldet ZombieLoad nun wie andere Sicherheitslücken auch am ersten Dienstag eines Monats – dem Microsoft-Patchday.

    Betroffene Prozessoren
    Die ZombieLoad-Attacke (CVE-2018-12130) trifft fast alle Core-i- und Xeon-Prozessoren seit etwa 2011 außer den jüngsten Versionen: Core i-8000U (Whiskey Lake-U) für Notebooks, Core i-9000 (Coffee Lake Refresh) ab Stepping 13 (R0) für Desktop-PCs und Xeon-SP der zweiten Generation (Cascade Lake). Die Unterscheidung ist aber schwierig, denn den Core i9-9900K gibt es beispielsweise im älteren Stepping 12 (Intel64 Family 6 Model 158 Stepping 12) und auch im jüngeren Stepping 13 (Intel64 Family 6 Model 158 Stepping 13). Das lässt sich mit Software wie CPU-Z unterscheiden. Intel richtet eine Webseite ein, die betroffene Prozessoren genauer beschreibt.

    Seitenkanal-Angriff
    ZombieLoad nutzt ähnlich wie Spectre einen Seitenkanal in der Mikroarchitektur von Intel-Prozessoren, um vermeintlich geschützte Daten zu lesen. Dabei geht es um Daten, die ein laufender Prozess im Zuge einer spekulativen Ausführung lädt, aber letztlich verwirft, weil ein Fehler ausgelöst wird, etwa eine sogenannte Exception.

    Bevor die spekulativ geladenen Daten aber tatsächlich wieder verschwunden sind, sind sie über Seitenkanäle lesbar, auch von einem anderen Prozess, der auf demselben CPU-Kern läuft. Besonders gut klappt das mit Hyper-Threading, weil sich dann Opfer- und Agrressorprozess mehr Ressourcen teilen – insbesondere die sogenannten "Fill Buffers" im Cache-System.

    Ein Aggressorprozess ohne privilegierte Zugriffsrechte kann via ZombieLoad auch an besonders geschützte Daten des Kernels gelangen, an Daten aus SGX-Enklaven sowie an Daten, die in einer anderen virtuellen Maschine (VM) laufen. Der Aggressorprozess kann per ZombieLoad aber Daten nur lesen – also nicht etwa überschreiben, also nicht verändern – und auch nicht bestimmen, welche RAM-Adressen er lesen möchte. Er muss folglich genau im richtigen Moment zuschlagen, wenn der Opferprozess gerade sensible Daten verarbeitet, oder sehr lange "mithören".
    Risiko "gering" bis "mittel"

    Die vier verschiedenen Einträge im Verzeichnis der Common Vulnerabilities and Exposures (CVEs) für ZombieLoad sind mit "gering" (3,8) bis "mittel" (6,5) eingestuft.

    Ein besonderes Risiko für ZombieLoad-Angriffe besteht bei Cloud-Servern, bei denen externe Kunden beliebige virtuelle Maschinen (VMs) mit Malware starten können. Sofern es für die Server keine Patches gibt, kann man als Schutzmaßnahme Hyper-Threading abschalten.

    Das Risiko von ZombieLoad-Angriffen auf typische Windows-PCs dürfte recht gering sein, unter anderem weil es dort oft leichter nutzbare Sicherheitslücken gibt.

    Intel stellt weitere Hinweise auf der "Security Center"-Webseite bereit (Intel-SA-00233) und auch die Entdecker haben eine Webseite zur ZombieLoad-Attacke eingerichtet. Cyberus Technology erklärt weitere Details von ZombieLoad im Blog.

    Update: Mehr MDS-Varianten
    [Update:] Die Experten der TU Graz haben noch Papers zu weiteren Sicherheitslücken veröffentlicht: Die Seite cpu.fail verweist außer auf ZombieLoad auch auf Store-to-Leak-Forwarding sowie die MDS-Attacken RIDL und Fallout. Die Sicherheitsforscher hatten im vergangenen November bemängelt, dass CPU-Hersteller nicht systematisch genug nach weiteren Schwachstellen ihrer Prozessoren suchen.

    2. Update: Yet Another Meltdown
    Die Firma Bitdefender hat zudem die Schwachstelle "Yet Another Meltdown" (YAM) gefunden. Sie soll vor allem für die Server von Cloud-Anbietern problematisch sein. YAM steckt laut Bitdefender in älteren Intel-Prozessoren der Generationen Ivy Bridge, Haswell, Skylake und Kaby Lake. Auch gegen YAM sollen Microcode-Updates sowie Patches für Hypervisors kommen.
    Sicherheitslücken durch Microarchitectural Data Sampling (MDS) in Intel-Prozessoren
    Microarchitectural Store Buffer Data Sampling (MSBDS) CVE-2018-12126
    Microarchitectural Fill Buffer Data Sampling (MFBDS), ZombieLoad CVE-2018-12130
    Microarchitectural Load Port Data Sampling (MLPDS) CVE-2018-12127
    Microarchitectural Data Sampling Uncacheable Memory (MDSUM) CVE-2019-11091

    Quelle: ZombieLoad: Neue Sicherheitslücken in Intel-Prozessoren | heise online

  • Meltdown 2.0? Wieder gravierende Sicherheitslücken bei Intel-CPUs entdeckt

    Meltdown 2.0? Wieder gravierende Sicherheitslücken bei Intel-CPUs entdeckt
    Forscher haben neue Sicherheitslücken in Prozessoren von Intel gefunden. Patches für zahlreiche Betriebssysteme stehen schon bereit.
    von Luca Perler 16.05.2019

    Vergangenes Jahr wurden mit «Meltdown» und «Spectre» zwei schwerwiegende Schwachstellen in Prozessoren von Intel entdeckt. Sicherheitsforscher der TU Graz und die Security-Firma Bitdefender haben nun auf weitere Sicherheitslücken aufmerksam gemacht. Gemäss Angaben von Intel handelt es sich bei den neuen Lücken um eine neue Untergruppe, der Hersteller bezeichnet diese als «Microarchitectural Data Sampling» (MDS).

    Bekannt sind insgesamt vier MDS-Angriffe. Als gefährlichste davon gilt jene mit dem Namen «Zombieload». Entdeckt wurde diese von Daniel Gruss, Moritz Lipp und Michael Schwarz der TU Graz. Die drei Informatiker waren letztes Jahr auch bereits an der Entdeckung von «Meltdown» und «Spectre» beteiligt. «Zombieload» macht sich laut Angaben der Forscher einen ähnlichen Ansatz wie «Meltdown» zunutze. Die Lücke soll es im Endeffekt schliesslich ermöglichen mitzulesen, wenn User aus einer virtuellen Maschine heraus Webseiten via Tor-Browser besuchen. Wie das funktioniert, zeigen die Forscher im folgenden Video:

    Die Forscher rechnen damit, dass mit der Lösung dieses Problems Leistungseinbussen von 50 Prozent einhergehen. Betroffen sind angeblich sämtliche Intel-Chips, die im Zeitraum von 2012 bis Anfang 2018 produziert wurden. Mehr Infos hierzu liefern Gruss, Lipp und Schwarz gemeinsam mit anderen Forschern in einem Bericht.

    Bei der zweiten Lücke, dem «Store-to-Leak Forwarding», wird laut den Forschern die optimierte Arbeitsweise von PC-Chips ausgenutzt und vorab geladene Daten ausgelesen. «Der Computer geht davon aus, dass ich Daten, die ich gerade in den Prozessor geschrieben habe, auch gleich wieder weiterverwenden möchte. Also behält er sie im Buffer, um schneller darauf zugreifen zu können», erklärt Gruss von der TU Graz. Diese Arbeitsweise könne ausgenutzt werden, um die Architektur des Computerprozessors auszuforschen und gezielt Angriffe auf Lücken im Betriebssystem zu starten. Auch diese Schwachstelle wird in einem Paper genauer beschrieben.

    Die Sicherheitslücke, auf welche die Experten von Bitdefender stiessen, soll besonders für Cloud-Provider problematisch sein. Sie wurde auf den Namen «Yet Another Meltdown» (YAM) getauft und steckt in älteren Intel-Prozessoren der Generationen Ivy Bridge, Haswell, Skylake und Kaby Lake.

    Patches sind bereits verfügbar

    Anders als im letzten Jahr wurde Intel über die neuen Lücken bereits vor deren Veröffentlichung informiert. So stellte der Hersteller auch bereits Mikrocode-Updates für andere Unternehmen bereit. In einer Liste zeigt Intel zudem, welche Prozessoren betroffen sind. Intel stuft die vier Schwachstellen als «gering» bis «mittel» ein. Unter Windows sei es etwa nur schwer möglich, diese auszunutzen. Anders sieht es jedoch bei Cloud-Servern aus, auf denen zahlreiche virtuelle Maschinen (VMs) laufen, in denen jeweils eine Malware gestartet werden kann.

    Zahlreiche Firmen entwickelten und veröffentlichten in der Folge Patches. Hersteller wie Microsoft und Apple sowie auch Anbieter von Linux-Distributionen haben bereits Gegenmassnahmen ergriffen. Das Update auf macOS 10.14.5 soll beispielsweise die Lücken schon beheben. Der Schutz wurde jedoch nicht vollständig aktiviert, da dadurch laut Apple Leistungseinbussen von bis zu 40 Prozent entstehen können. Gruss von der TU Graz empfiehlt jedoch allgemein: «Alle Computer-Nutzerinnen und -Nutzer sollten dringend alle neuen Updates einspielen, damit die Computersysteme wieder sicher
    sind.» Auch für Hypervisoren wie VMware sind bereits Patches verfügbar.


    Quelle: Meltdown 2.0? Wieder gravierende Sicherheitslücken bei Intel-CPUs entdeckt

  • Intel fixt teils kritische Lücken in UEFI-BIOS, ME und Linux-Grafiktreiber

    In den vergangenen Tagen beschäftigten Intel neben ZombieLoad noch weitere Lücken. Eine davon gilt als kritisch.

    Zeitgleich mit den Informationen zu den MDS-Angriffen/ZombieLoad am vergangenen Patch Tuesday hat Intel Security Advisories zu weiteren Sicherheitslücken veröffentlicht, deren Schweregrad teilweise als "High" bis "Critical" gilt.

    Bis auf eine Ausnahme – eine Lücke im i915-Treiber für Intels moderne Grafikprozessoren – handelt es sich durchweg um Firmware-Bugs. Sie stecken in der Firmware der Management Engine (ME) alias Converged Security and Management Engine (CSME) nebst Unterfunktionen, im UEFI-BIOS diverser Intel-Hardware und in der Firmware mehrerer Modelle des Intel NUC Kit.

    Im Falle einiger Lücken ist dazu keine vorherige Authentifizierung nötig. Das trifft auch auf die einzige kritische Lücke zu (CVE-2019-0153; siehe INTEL-SA-00213) die die ME betrifft und Angreifern "mit Netzwerkzugriff" unter bestimmten Voraussetzungen die Erweiterung ihrer Zugriffsrechte ermöglicht.

    Weitere Lücke könnten unter anderem ausgenutzt werden, um Informationen zu stehlen oder Denial-of-Service-Zustände herbeizuführen.
    CVE-2019-0153 wohl aus der Ferne ausnutzbar

    In einem Sicherheitshinweis zu INTEL-SA-00213 schließt das BSI Remote-Angriffe via CVE-2019-0153 und Co. aus

    Intels Angaben zu CVE-2019-0153 gemäß dem Common Vulnerability Scoring System (CVSS-v3-Vector-String) beinhalten hingegen den Angriffsvektor "Network" (N).Laut Spezifikationsdokument zum CVSS v3.0 bedeutet dies, dass die Lücke eben doch aus dem Internet angreifbar ist. Allerdings wäre ein solcher Angriff laut CVSS-v3-Vector-String eher aufwändig durchzuführen (Attack Complexity "High").

    Details zu sämtlichen Sicherheitslücken, betroffenen Produkten und verfügbaren Firmware- und Treiber-Updates sind den Advisories zu entnehmen.

    INTEL-SA-00251: Intel NUC Advisory (CVE-2019-11094)
    INTEL-SA-00249: Intel i915 Graphics for Linux Advisory (CVE-2019-11085)
    INTEL-SA-00223: 2019.1 QSR UEFI Advisory (CVE-2019-0119, CVE-2019-0120, CVE-2019-0126)
    INTEL-SA-00213: Intel® CSME, Intel® SPS, Intel® TXE, Intel® DAL, and Intel® AMT 2019.1 QSR Advisory (CVE-2019-0089, CVE-2019-0090, CVE-2019-0086, CVE-2019-0091, CVE-2019-0092, CVE-2019-0093, CVE-2019-0094, CVE-2019-0096, CVE-2019-0097, CVE-2019-0098, CVE-2019-0099, CVE-2019-0153, CVE-2019-0170).


    Quelle: Intel fixt teils kritische Lücken in UEFI-BIOS, ME und Linux-Grafiktreiber | heise online

  • ZombieLoad 16.05.2019, 16:41 Uhr
    Intel warnt vor neuen Sicherheitslücken in Prozessoren
    Erneut wurden gefährliche Schwachstellen in Intel-Prozessoren entdeckt. Mit ZombieLoad haben Angreifer die Möglichkeit, fremde Daten auszuspionieren.

    Die Spectre- und Meltdown-Lücken haben die Welt im vergangenen Jahr erschüttert. Der kontinuierliche Leistungsdruck hatte dazu geführt, dass Hersteller wie Intel elementare Sicherheitsmassnahmen vernachlässigt haben. Dadurch konnten und können Angreifer Daten aus sensiblen Speicherbereichen fremder Computer auslesen. Die in der Vergangenheit bereitgestellten Patches gegen Spectre und Meltdown haben jedoch teilweise zu deutlichen Leistungseinbussen geführt, da dabei unter anderem die Cache-Optimierungen wieder deaktiviert werden mussten.

    Datensicherheit in Gefahr

    Noch immer ist der durch die Lücken entstandene Schaden nicht behoben, nun gesellt sich ZombieLoad zu Spectre und Meltdown. Hinter dem Begriff verstecken sich neue Sicherheitslücken in Intel-Prozessoren, die dazuführen können, dass ein Angreifer mit einer Malware die Daten anderer Prozesse auf dem Rechner ausspionieren kann. Nach Angaben von Intel sind aktuelle Prozessoren des Herstellers immerhin nicht von der neuen Lücke betroffen. Anders sieht es bei älteren Core-i- und Xeon-Prozessoren aus. CPUs von AMD sind laut Hersteller ebenfalls nicht durch ZombieLoad gefährdet.

    Nach Angaben des Security-Anbieters Cyberus Technology, der zusammen mit Mitarbeitern der TU Graz, der Katholischen Universität Leuven und dem Worcester Polytechnic Institute die neuen Lücken entdeckte, ist es mit ZombieLoad zum Beispiel möglich, eine Tor-Installation zu belauschen.

    Intel betont jedoch, dass die insgesamt vier gefundenen Schwachstellen, die zusammen als ZombieLoad bezeichnet werden, nur als „gering“ bis „mittel“ eingestuft wurden. Das liege unter anderem daran, dass sie etwa unter Windows nur schwer auszunutzen seien, da sich die Datensammlung nicht direkt steuern lässt. Anders sieht es bei Cloud-Servern aus, auf denen zahlreiche virtuelle Maschinen (VMs) laufen, in denen jeweils eine Malware gestartet werden kann.

    Hersteller wie Apple und auch Anbieter von Linux-Distributionen haben bereits rangiert und stellen erste Patches für ihre Systeme bereit beziehungsweise arbeiten derzeit mit Hochdruck an ihnen. Das Update auf Mac OS 10.14.5 soll beispielsweise die Lücken schon beheben. Der Schutz wurde jedoch nicht vollständig aktiviert, da dadurch laut Apple Leistungseinbussen von bis zu 40 Prozent entstehen können.

    Autor(in)
    Andreas Fischer


    Quelle: Intel warnt vor neuen Sicherheitslücken in Prozessoren - onlinepc.ch