CVE-2018-3639 Spectre Variante 4: Intel informiert über neu entdeckte Lücke

Wir alle erinnern uns sicher noch an Meltdown und Spectre, die Sicherheitslücke, die Prozessoren betraf und betrifft. Es ist in der letzten Zeit etwas ruhiger gewesen, nun aber melden sich Microsoft, Google und Intel noch einmal und geben Details über CVE-2018-3639 Spectre Variante 4 (Speculative Store Bypass (SSB)) bekannt, eine neu entdeckte Lücke, die CPUs von Intel, AMD und ARM betrifft.

Dieses Mal läuft alles aber etwas geordneter und nicht so chaotisch ab, man koordinierte das Ganze nun etwas besser, was sicherlich auch der Tatsache geschuldet ist, dass es keinen Leak im Vorfeld gab. Laut der Meldung gibt es derzeit keine Erkenntnisse darüber, dass die Lücke aktiv ausgenutzt wird.

Sollte es aber versucht werden, dann wäre ein wahrscheinlicher Angriffspunkt der Browser über ein JavaScript. Browser-Hersteller wurden bereits im Vorfeld informiert, sodass diese geeignete Maßnahmen einleiten konnten.

Laut Intel hat die neue Schwachstelle einen „moderaten“ Schweregrad, da viele der von ihr verwendeten Exploits bereits durch Abschwächungen behoben wurden, die von Softwareherstellern und OEMs im Januar für Meltdown und Spectre veröffentlicht wurden.

Wie die anderen Varianten nutzt auch Variante 4 die spekulative Ausführung, die bei den meisten modernen Prozessorarchitekturen üblich ist, um bestimmte Arten von Daten über einen Side Channel abzufangen. Bereits verfügbare Patches sichern aber auch gegen die neue CVE-2018-3639, wie es bei Intel heißt:

We’ve already delivered the microcode update for Variant 4 in beta form to OEM system manufacturers and system software vendors, and we expect it will be released into production BIOS and software updates over the coming weeks. This mitigation will be set to off-by-default, providing customers the choice of whether to enable it. We expect most industry software partners will likewise use the default-off option.

Interessanterweise soll offenbar der Kunde entscheiden, ob er sich für oder gegen den Schutz entscheidet. Laut Intel komme es bei Aktivierung des Schutzes unter Umständen zu einer Verlangsamung von 2 bis 8 Prozent bei bestimmten Aufgaben, bei ARM sind es circa 1 bis 2 Prozent. Wer sich etwas einlesen will: Von AMD gibt es ein Whitepaper.