A Google biztonsági kutatói tiszta vizet öntöttek a pohárba, a helyzet sokkal rosszabb, mint ahogy eddig tudtuk.
Elsőként érdemes tisztázni, hogy sajnos több sebezhetőségre is fény derült, ezekről a következőket kell tudni:
- Első variáns: bounds check bypass (CVE-2017-5753)
- Második variáns: branch target injection (CVE-2017-5715)
- Harmadik variáns: rogue data cache load (CVE-2017-5754)
Az első kettőt a Spectre, a harmadikat pedig a Meltdown elnevezéssel illették. Ez utóbbi biztonsági rés az Intel processzoraiban található meg, és lehetővé teszi, hogy a hekkerek hozzáférjenek a memóriában tárolt adatokhoz, például jelszavakat lopjanak el. Erről tegnapelőtt részletesebben is beszámoltunk, a probléma a kernel memória felhasználói szinttel történő olvasásában manifesztálódik. A Spectre névre keresztelt második rés viszont az Intel, az AMD és az ARM integrált áramköreiben egyaránt megtalálható, ez szintén lehetőséget ad arra, hogy a támadók kritikus információkat nyerjenek ki.
Befutottak az első nyilatkozatok
Kezdjük az AMD-vel. A közlemény szerint az első sebezhetőségben (CVE-2017-5753) ők is érintettek, de az operációs rendszer naprakészen tartása – természetesen frissített szoftverekkel karöltve – orvosolja a problémát, a javítás pedig elhanyagolható mértékű lassulással jár. A második biztonsági rést még nem demonstrálták a vállalat termékeivel, és ez igen jó eséllyel így is marad. A harmadik variánssal szemben teljesen védettek az eltérő architektúra okán, legalábbis állításuk szerint.
Egészen más stratégiát választott az Intel. Brian Krzanich, a vállalat vezérigazgatója hangsúlyozta, hogy az eset minden laptopot, asztali számítógépet, okostelefont, tabletet és internetszervert érint, mindenre hatással van, de termékről termékre másképpen. A közlemény ezek után hosszan próbálja csillapítani a probléma súlyát, „szétteríteni” a kárt a konkurensek emlegetésével, egyszóval alaposan kimeríti a közhelyszótárt.
Végeredményben azt tudjuk mondani, hogy érdemes az automatikus frissítések bekapcsolásával megőrizni a számítógép naprakészségét, hiszen igen súlyos incidensről van szó. Más egyebet jelenleg nem lehet tenni.
