פגיעויות במעבדי Intel, AMD ו-ARM מאפשרות גניבת מידע מהזיכרון
מאת: מערכת Telecom News, 4.1.18, 23:32

קיימות 3 פגיעויות שונות. 2 הראשונות מוכרות תחת השםSpectre  והשלישית מוכרת כ-Meltdown. איך הן פועלות וכיצד ארגונים ופרטיים יכולים להתמודד עמן? ניתן לבדוק אם מערכת ההפעלה פגיעה. עדכונים ותגובות אינטל בתחתית הכתבה.

דווח ע"י ה-CERT הישראלי, שלאחרונה פורסם, שמעבדים שונים של החברות  ,AMD ,Intel  ו-ARM חשופים למספר פגיעויות, ששימוש בהן ע"י תוקף עלול לאפשר גניבת מידע מזיכרון המחשב או הציוד המותקף, כולל במקרים מסוימים מליבת מערכת ההפעלה ה.Kernel-

בשל אופי הפגיעויות, עדכוני תוכנה עלולים לאפשר רק מענה חלקי, ומענה מלא יתאפשר רק עם עדכוני חומרה -.Firmware

בחלק מהפרסומים נטען, שעדכוני התוכנה מאיטים את פעילות המערכות, אך עדיין אין מידע מספיק כדי לוודא זאת. נכון להיום, לא מוכר שימוש בפועל בפגיעויות אלו למימוש תקיפות.

קיימות 3 פגיעויות שונות:
 Bounds check bypass (CVE-2017-5753)
Branch target injection (CVE-2017-5715)
Rogue data cache load (CVE-2017-5754)

2 הפגיעויות הראשונות מוכרות תחת השם.Spectre  פגיעויות אלו עלולות לאפשר לתוקף לקרוא מידע מזיכרון של תהליך אחר במחשב. הן קשות יותר לניצול אך גם לזיהוי של תקיפה ומניעה.

הפגיעות השלישית מוכרת כ.Meltdown- פגיעות זו עלולה לאפשר לתוקף לקרוא מידע מליבת מערכת ההפעלה ה-.Kernel

עד עתה ידוע, שרק מעבדי Intel חשופים לפגיעות זו. הפגיעויות ניתנות לניצול רק מקומית. כלומר, התוקף צריך להיות כבר ממוקם על יעד התקיפה באמצעות וקטור ראשוני אחר, כדי לממש את התקיפה.

במקרה של ,Spectre  התקיפה ניתנת למימוש גם באמצעות ,Javascript  שהתוקף יגרום בדרך כלשהי למשתמש להריץ, למשל, באמצעות .Watering Hole Attack

מקור הפגיעות בניצול של מנגנון בשם,Speculative Execution  שמאפשר למעבדים לנחש באופן סטטיסטי להיכן תמשיך התוכנית Program את פעילותה, לאחר בדיקת תנאי מסוים בקוד.Branch

מטרת המנגנון להאיץ את ביצוע הפקודות בתוכנית. במקרה, שהמעבד טועה בהערכתו, נדרש להחזיר את מצב המעבד לקדמותו.

הפגיעות מנצלת מצב זה לתקיפה מסוג,Side Channel Attack  שעלולה לגרום לזליגה של מידע מתוך זיכרון של תהליכים אחרים במחשב, ובמקרים מסוימים אף תהליכי מערכת הפעלה.

הפתרון לפגיעות יתבסס על שילובים שונים של תוכנה וחומרה - עדכוני,Firmware  בהתאם למעבד הספציפי ולמערכת ההפעלה הפועלת עליו. 

היצרנים השונים קיבלו מידע מראש על הפגיעויות. מאחר שהפרסום הוקדם באופן לא צפוי, ייתכן שחלק מהיצרנים טרם סיימו לבחון ולהפיץ את העדכונים הנ"ל.

העובדה שיש אותה תקלה (או אותם "חורי אבטחה" - "פגיעויות") בכל חברות הצ'יפים הגדולות בעולם, מעידה (אולי) שהחברות הללו, ככל הנראה, שכפלו את אותו מנגנון אחת מהשניה, ויתכן שהיה שלב מקדים של "ריגול תעשייתי" ביניהן, משולב או לא משולב עם Reverse Engineering.

דרכי התמודדות
בחלק מן המקרים נדרשות פעולות נוספות מעבר להתקנת העדכון.

למשתמשים פרטיים, מומלץ להפעיל את מנגנון העדכונים האוטומטי המובנה במערכות ההפעלה.

למשתמשים ארגוניים, מומלץ לבדוק מול אתר היצרן האם הוצא עדכון אבטחה, ולאחר מכן לבדוק אותו במערכותיהם טרם הפצה מלאה לארגון.

בשל העובדה, שהעדכונים הנ"ל מתנגשים עם פעילותן של מספר מועט של תוכנות הגנה -,AV  מיקרוסופט אינה מאפשרת התקנה של העדכונים, אלא אם Registry Key מסוים עודכן ע"י התקנת גרסה עדכנית של .AV  התקנת העדכונים אם ה- AVאינו תומך בהם עלולה להביא לקפיאה של המחשב .BSOD מידע נוסף ניתן למצוא - כאן.

מומלץ לוודא, שגרסת ה AV-שבשימוש, תומכת בעדכונים הללו, טרם התקנתם. טבלה חלקית ניתן למצוא - כאן.

בשרתי ,Windows  הפעלת העדכונים אינה אוטומטית ועלולה לחייב שינוי הגדרות והתקנת ,Firmware שיסופק ע"י יצרן החומרה. פרטים - כאן.

למשתמשים בבסיס הנתונים MSSQL יש הנחיות פרטניות לביצוע העדכון - כאן.

משתמשי Windows יכולים לוודא, שהעדכונים הותקנו והם פעילים, באמצעות כלי תוכנה מבוסס,Powershell שפותח ע"י חברת מיקרוסופט. פרטים - כאן.

משתמשי דפדפן Chrome יכולים להקשות על ביצוע תקיפות מסוג  Spectreבאמצעות הפעלת תכונת הגנה בשםSite Isolation , שנוספה לתוכנה בגרסה 63. עם זאת, יש לציין, שמדובר בתכונה ניסיונית עדיין, שעלולה לגרום לתקלות שונות ולצריכת זיכרון מוגברת. פרטים נוספים - כאן, כאן וכאן.

עדכון 23:52: עידו נאור, חוקר בכיר במעבדת קספרסקי: "האבטחה במעבדי אינטל תפסה ביממה האחרונה כותרות ענק בכל רחבי העולם. ולא בכדי. כמעט כל מחשב נייח/נייד, טאבלט וסמארטפון חשופים למתקפה, ללא כל קשר לחברה שיצרה את המכשיר או מערכת ההפעלה, שהותקנה עליו. בעיה כזו מחייבת למעשה את ספקי מערכות ההפעלה להוציא טלאי (עדכון), שיפתור את הבעיה.
 
2 חולשות אבטחה קריטיות התגלו במעבדי אינטל והן מקנות לתוקף יכולת לקרוא מידע רגיש מתוך אזורי ליבה של הזיכרון. החולשה הראשונה Meltdown מסירה ביעילות את מחסומי ההגנה מאזורים המוגדרים כרגישים ובכך נותנת אפשרות לאפליקציות להריץ קוד אשר יגש לאזורים הללו ויקרא משם מידע רגיש. החולשה השניה Spectre, שגם נמצאה במעבדי AMD ו-ARM, מסוגלת לרמות אפליקציות לחשוף מידע מתוך הזיכרון שלהן.
 
אפליקציות המותקנות על המכשיר רצות בדרך כלל ב'מצב משתמש', רחוק מהמקומות הרגישים בזיכרון. במידה והאפליקציה מבקשת לגשת למקומות הללו ישנו 'מצב מוגן' אשר האפליקציה תיכנס אליו ובו מערכת ההפעלה 'תשגיח' על התנהלות האפליקציה ועל הפעולות אותן היא מבצעת במהלך הגישה לאזור הרגיש. במקרה של Meltdown, תוקף יכול לקבל גישה מלאה ל'מצב המוגן' ובכך לגשת למידע רגיש כגון סיסמאות, מיילים, תמונות ורכיבים נוספים.
 
מעצם העובדה, שמדובר בחולשות חומרה, הוצאת טלאי אבטחה אינה פעולה פשוטה. יצרני מערכות ההפעלה מוציאים עדכוני אבטחה ברגעים אלה ממש, דבר, שיחסום תוקפים מלנצל את החולשה. אינטל פרסמה תוכנה, שבאמצעותה ניתן לבדוק האם מערכת ההפעלה פגיעה. מומלץ להוריד את הקבצים המצורפים ולהפעיל את קובץ ה-exe עם השם GUI. המתינו לפתיחת החלון בו כתובה ההודעה.
 
חשוב להתקין את טלאי האבטחה בהקדם. יקח אמנם זמן מה עד שהאקרים ימצאו דרך לנצל את החולשה, אך חלון הזמן הזה עלול להיות קריטי".

עדכון 5.1.18, 13:55: אינטל הפיצה עדכוני תוכנה להגנת מערכות מפני פרצות אבטחה. בדיקות מעידות: העדכונים לא משפיעים על ביצועי המחשבים.
 
אינטל פיתחה ומפיצה עדכונים לכל סוגי המערכות המבוססות על מעבדי אינטל, לרבות מחשבים אישיים ושרתים. עדכונים אלה מחסנים את המערכות מפני exploits (קטעי תוכנה המנצלים לרעה פרצות אבטחה) הקרויים "Spectre" ו-"Meltdownt Zero. אינטל ושותפותיה השיגו התקדמות משמעותית בהפצת העדכונים כטלאי תוכנה (patch) וכעדכוני קושחה.
 
עד כה שחררה אינטל עדכונים לרוב המעבדים שהשיקה ב-5 השנים האחרונות. עד סוף השבוע הבא צופה אינטל לשחרר עדכונים ליותר מ-90% מהמעבדים, שיצאו לשוק ב-5 השנים האחרונות. בנוסף, יצרני מערכות הפעלה, ספקי שירותי ענן ציבוריים, יצרני התקנים וגורמים אחרים הודיעו כי כבר עדכנו את מוצריהם ושירותיהם.
 
אינטל מדגישה, שהשפעת העדכונים הללו על ביצועים המערכות תלויה בעיקר בעומס העבודה ושמשתמשי מחשבים ממוצעים לא ירגישו את ההשפעה, שגם תפחת עם הזמן. בדיקות מקיפות נערכו כדי לאמוד את ההשפעה של העדכונים על ביצועי המערכת. אפל, אמזון, גוגל ומיקרוסופט הן בין החברות שדיווח, שלא היו עדות לכל השפעה על הביצועים.
 
אפל: "הבדיקות שלנו אל מול benchmarks ציבוריים הראו, שהשינויים מהעדכונים מדצמבר 2017 לא גרמו לשום צמצום הניתן למדידה בביצועים של מערכות ההפעלה macOS ו-iOS (בנצ'מרק GeekBench 4) וגם לא במדדים נפוצים אחרים כגון Speedometer, JetStream ו-ARES-6".​
מיקרוסופט: "רוב לקוחות Azure לא יהיו עדים להשפעה כלשהי על הביצועים כתוצאה מהעדכון. ביצענו אופטימיזציה של ה-CPU ושל אפיק הקלט/פלט של הדיסק ולא נצפתה השפעה על הביצועים אחרי העדכון".
אמזון: "לא הבחנו בהשפעה משמעותית על הביצועים ברוב המוחלט של עומסי העבודה ב-EC2".
גוגל: "ההשפעה על הביצועים הייתה זניחה ברוב עומסי העבודה לרבות בתשתית הענן של גוגל". 

אינטל תמשיך לפעול עם שותפותיה וגופים אחרים למתן מענה לנושא ומביעה את הערכתה לתמיכה ולסיוע שלהם במאמץ. אינטל ממליצה למשתמשי המחשבים בעולם להשתמש בפונקציות העדכון האוטומטיות של מערכות ההפעלה שלהם ותוכנות אחרות על המחשב, כדי  לוודא, שהמערכת שברשותם מעודכנת.
 
מידע נוסף בנושא - עמוד מיוחד אודות ממצאי האבטחה      
הסברים, מקורות מידע, שאלות ותשובות בנושא - בעמוד זה

עדכון 10.1.18, 16:00: בדיקות של אינטל: עדכוני האבטחה לא צפויים לפגוע משמעותית בביצועי המחשבים
 
אינטל פועלת עם גורמים נוספים בתעשייה על פיתוח והפצה של עדכוני תוכנה וקושחה, שיפחיתו את הסיכון העלול לנבוע מפרצות האבטחה "Spectre" ו-""Meltdown. עד כה לא ידוע לה, שפרצות האבטחה הללו נוצלו כדי להשיג מידע על משתמשים.
 
לאחר הספקת עדכונים, תוך שבוע, ליותר מ-90% מהמעבדים, שהושקו ב-5 השנים האחרונות, יסופקו יתרת העדכונים עד סוף ינואר. לאחר מכן יימשך שחרור עדכונים למוצרים אחרים.
 
המטרה היא לספק ללקוחות ההגנה טובה תוך צמצום השפעת העדכונים על הביצועים. על סמך מדידות הביצועים (בנצ'מרקינג) האחרונות נראה, שהשפעת העדכונים על הביצועים אצל משתמשי מחשב ממוצעים בבית ובמשרד לא תהיה משמעותית והם אינם אמורים לחוות האטה משמעותית במשימות שכיחות כגון קריאת דוא"ל, כתיבת מסמכים או צפייה בתמונות דיגיטליות.
 
על סמך הבדיקות' שנערכו ב-SYSmark 2014 SE, מדד מוביל לביצועי מחשוב, SYSmark) הוא שם כולל למבדקי ביצועים השוואתיים. תוצאות הבדיקות האינדיבידואליות עשויות לנוע בין 2% ל-14%), פלטפורמות Core מהדור השמיני עם אחסון SSD יחוו ההשפעה של עד 6% על הביצועים.
 
בסופו של דבר, ההשפעה הכוללת תהיה תלויה בעומס העבודה, תצורת הפלטפורמה וטכניקות הטיפול הספציפיות שנבחרו. בחלק מהמקרים יש כמה אפשרויות לתיקון המצב, כל אחת בעלת השפעות אחרות על הביצועים ופרטי הטמעה שונים. פרטים נוספים על אפשרויות אלו מופיעים ב-White Paper ובפוסט של גוגל על פתרון האבטחה שלה "Retpoline".

עדכון 17.1.18: אינטל הודיעה, שטלאי התוכנה, שהיא שיחררה לטיפול בפרצות האבטחה הנ"ל עלולים להביא לכך, שמחשבים במרכזי נתונים עם שבבים חדשים שלה יעברו אתחול מחדש בתדירות גבוהה מהרגיל.

עדכון 18.1.18: אורקל פרסמה עדכון אבטחה רבעוני. חלק מהעדכונים, שפרסמה החברה, הם מענה לפגיעויות המעבדים Meltdown Spectre  . הורדת העדכונים ומידע נוסף כאן. תשומת לב: יש ליישם את עדכוני החומרה לפגיעות Spectre (CVE-2017-5715) רק עבור שרתי x86 של אורקל המריצים מערכת הפעלה או תוכנת וירטואליזציה, שאינה של אורקל. למערכות הפעלה או וירטואליזציה מתוצרת אורקל, העדכון לחומרה כלול בעדכון הכללי.

עדכון 19.1.18: נאווין שנוי Navin Shenoy, סגן נשיא ומנהל כללי של קבוצת הדאטה-סנטר באינטל סיפק אמש עדכון נוסף אודות התקדמות אינטל בהתמודדות עם חולשות החומרה Spectre ו-Meltdown:
 
"עד כה שחררנו עדכוני קושחה לכ-90% מהמעבדים, שסיפקה אינטל ב-5 השנים האחרונות. למרות שעדכוני הקושחה מפחיתים את החשיפה לבעיות אבטחה, הלקוחות מדווחים על reboots תכופים יותר במערכות, שבהן הותקנו עדכונים אלה. כחלק מבדיקת העניין גילינו התנהגות דומה המתרחשת במוצרים אחרים בתצורות מסוימות, לרבות בפלטפורמות המבוססות על Ivy Bridge, Sandy Bridge, Skylake ו-Kaby Lake. שחזרנו את הבעיות הללו אצלנו וכעת אנו מתקדמים לקראת איתור שורש הבעיה. במקביל נספק בשבוע הבא מיקרו-קוד בטא ליצרנים לצורך אימות (ולידציה).

עד היום בדקנו פלטפורמות שרתים המריצות מערכות two-socket Intel Xeon Scalable (שם קוד Skylake), שהיא המיקרו-ארכיטקטורה החדשה ביותר שלנו. כצפוי, תוצאות הבדיקות עד היום מראות, שההשפעה על הביצועים תלויה בעומסי עבודה וקונפיגורציה. ככלל, עומסי עבודה הכרוכים במספר רב של שינויים בהרשאות משתמש/קרנל, וכאלה הנמצאים זמן רב יותר במצב privileged מועדים להשפעה שלילית גדולה יותר".

עדכון 23.1.18: אינטל יצאה במסרים די מבלבלים לגבי תיקון הבעיה. יהיה צורך בעדכונים חדשים בגלל ה-reboots. החברה ממליצה שלא להתקין את העדכונים שפרסמה ומסרה, שבקרוב הבעיה תיפתר.

עדכון 26.1.18: אינטל הודיעה, שתייצר ותשווק עוד ב-2018 מעבדים ובהם תיקון לפרצות האבטחהMerltdown  ו-Spectre ברמת החומרה.

עדכון 13.2.18: IBM פרסמה עדכון אבטחה לפגיעויות המעבדים Spectre ו-Meltdown עבור מעבדי POWER מתוצרתה. העדכונים הם למעבדי POWER7, POWER7+, POWER8 ו-POWER9. החברה לא תוציא עדכונים למעבדים ישנים יותר מסדרה זו (ibm).

עדכון 19.2.18: חברת Intel חשופה ל-32 תביעות הקשורות לפגיעויות המעבדים Meltdown ו-Spectre. רוב התביעות הן תביעות ייצוגיות מטעם לקוחות, שנפגעו מאחת או יותר מפגיעויות המעבדים ((intel.