Spectre Next Generation: Intel soll von 8 weiteren Sicherheitslücken betroffen sein [Update: Stellungnahmen]

Update vom 04.05.18:

In einer Stellungnahme hat sich Intel zu den Vorwürfen seitens heise.de geäußert:

"Die Daten unserer Kunden zu schützen und die Sicherheit unserer Produkte sicherzustellen, ist für uns von entscheidender Bedeutung. Wir arbeiten routinemäßig mit unseren Kunden, Partnern, anderen Chipherstellern und Forschern zusammen, um jegliche Probleme, die erkannt werden, zu verstehen und zu lösen. Ein Teil dieses Prozesses beinhaltet, CVE-Nummern zu reservieren. Wir glauben stark an den Nutzen einer koordinierten Offenlegung und werden zusätzliche Details zu jeglichen potenziellen Problemen teilen, während wir die Schutzmaßnahmen finalisieren. Als beste Vorgehensweise empfehlen wir weiterhin allen Nutzern, ihre Systeme aktuell zu halten."

Grundsätzlich widerspricht Intel dem Bericht nicht, sodass sich Nutzer in den kommenden Wochen und Monaten auf weitere Neuigkeiten bezüglich potenziellen Sicherheitslücken in Prozessoren einstellen können. Heise.de liegt derweil auch eine Stellungnahme von AMD vor:

"Die Sicherheit und der Schutz von Nutzerdaten stellen AMDs höchste Priorität dar. Wir arbeiten eng mit dem gesamten Ökosystem zusammen, um potenzielle Sicherheitslücken zu evaluieren und Maßnahmen zu entwickeln, wenn solche entdeckt werden. Wir sind uns der aktuellen Medienberichte bezüglich [Spectre] bewusst. Wir sehen uns die Sache an und werden entsprechend Informationen teilen."

ARM habe noch keinen Kommentar abgeben wollen.

Originalartikel vom 03.05.18:

Im Januar wurden drei schwerwiegende Sicherheitslücken bekannt, die Googles Project-Zero-Team gefunden und Spectre 1, Spectre 2 sowie Meltdown getauft hat. Seitdem bemühen sich Chiphersteller wie AMD, ARM und Intel sowie Microsoft als Windows-Anbieter, und Linux-Entwickler die Lücken über Microcode- und Software-Updates zu schließen. Nach anfänglichen Startschwierigkeiten funktioniert das inzwischen recht gut. Heise.de möchte von diversen Quellen nun jedoch in Erfahrung gebracht haben, dass das Problem mit dem Schließen von Spectre 1, 2 und Meltdown bei Weitem noch nicht behoben sei.

Intel sollen intern bereits acht weitere Sicherheitslücken bekannt sein, die im Zusammenhang mit Spectre stünden. Eine davon soll erneut Googles Project-Zero-Team gefunden und Intel bereits Anfang Februar zugetragen haben - die üblicherweise gewährte 90-Tage-Frist, in der der Verantwortliche Zeit hat, die Sicherheitslücke zu schließen, soll am 07. Mai auslaufen. Heise.de geht nicht ins Detail, wie die neuen Angriffsstellen aussähen, warnt aber davor, dass zumindest eine davon schwerwiegende Folgen haben könnte. Sie vereinfache das Auslesen sensibler Daten innerhalb von Cloud-Systemen, indem eine virtuelle Maschine auf die Daten anderer VMs innerhalb desselben Systems zugreifen könne. Intel soll vier der acht Sicherheitslücken derweil mit einem hohen Risiko, die anderen mit einem mittleren eingestuft haben. Alle acht besäßen bereits CVE-Nummern (Common Vulnerability Enumerator). Bis zur offiziellen Offenlegung nennt sie heise.de Spectre Next Generation.

An einigen Fixes soll Intel selbst arbeiten, bei anderen kooperiere der Chiphersteller mit Partnern wie Microsoft. Aktuell seien zwei Patch-Wellen geplant, die erste davon noch im laufenden Mai, die andere erst im kommenden August. Die Kollegen spekulieren, dass die Probleme damit aber noch nicht ausgesessen sein könnten. Sie betiteln die aktuelle Sicherheitslage von CPUs als "Schweizer Käse".

Unklar sei noch, wie die Lage bei anderen Chipherstellern aussehe. Heise.de lägen Informationen vor, dass mindestens einzelne ARM-Prozessoren ebenfalls von den neu entdeckten Sicherheitslücken betroffen seien. Noch keine Details gebe es bei den CPUs aus dem Hause AMD. Im Falle von Spectre 1 und 2 sind Ryzen-, Bulldozer- und ältere Modelle ebenfalls betroffen, wenn auch in einem geringeren Ausmaß.

Artikel teilen

Spectre Next Generation: Intel soll von 8 weiteren Sicherheitslücken betroffen sein [Update: Stellungnahmen] Das Bekanntwerden der drei GPZ-Sicherheitslücken Spectre 1 und 2 sowie Meltdown soll nur die Spitze eines Eisberges gewesen sein. Acht weitere, in Zusammenhang mit Spectre stehende Sicherheitslücken sollen Intel bereits intern bekannt sein, wie heise.de aus eigenen Quellen in Erfahrung gebracht haben möchte. Die Kollegen nennen sie vorerst Spectre Next Generation.

Per E-Mail versenden

57