Горе можно пережить в одиночестве, но радость - чтоб познать ее в полной мере - нужно разделить с другим человеком.

Заблудились в лесу Петька и Чапаев. Долго бродили, искали дорогу. Первым не выдержал Петька - упал на землю умирать. Вдруг слышит чавканье, ...

Facebook открыл код платформы Detectron для распознавания объектов на фотографиях
Tue, 23 Jan 2018 10:12:25 +0600

Линус Торвальдс жестко раскритиковал связанные с микрокодом патчи Intel
Mon, 22 Jan 2018 19:47:37 +0600

Red Hat отменил обновление микрокода с устранением уязвимости Spectre
Sat, 20 Jan 2018 10:44:48 +0600

Проект OpenSSL переносит обсуждение разработки из списка рассылки на GitHub
Sat, 20 Jan 2018 10:15:02 +0600

В Firefox 58 появится новый двухуровневый компилятор
Thu, 18 Jan 2018 12:19:16 +0600

Google переводит рабочие станции инженеров с Goobuntu (Ubuntu) на gLinux (Debian)
Thu, 18 Jan 2018 10:05:24 +0600

В systemd 237 запланирована поддержка VPN WireGuard
Thu, 18 Jan 2018 04:31:11 +0600

Verizon стал платиновым участником Linux Foundation и присоединился к разработке ONAP
Wed, 17 Jan 2018 11:43:17 +0600

Mozilla обратилась в суд для защиты сетевого нейтралитета
Wed, 17 Jan 2018 10:26:01 +0600

Новые Web API в Firefox будут доступны только для HTTPS
Tue, 16 Jan 2018 10:50:31 +0600

Обновление микрокода Intel приводит к перезагрузкам систем с CPU Broadwell и Haswell
Mon, 15 Jan 2018 07:17:58 +0600

В Firefox тестируют механизм ускорения навигации по вкладкам
Sun, 14 Jan 2018 22:21:23 +0600

В Firefox 59 будет прекращена поддержка GTK+ 2
Sat, 13 Jan 2018 23:51:01 +0600

Компания Apple присоединилась к альянсу, развивающему свободный видеокодек
Thu, 11 Jan 2018 11:56:35 +0600

Ошибка в обновлении ядра в Ubuntu 16.04 приводит к сбою загрузки системы
Wed, 10 Jan 2018 23:08:11 +0600

Новости OPENNET
Новости

Разработчики из Google Project Zero опубликовали детали двух уязвимостей, которые получили кодовые имена Meltdown и Spectre. Процессоры Intel и ARM64 подвержены обеим проблемам, AMD затрагивает только вторая уязвимость. Производители процессоров были уведомлены о проблемах 1 июня 2017 года. Для демонстрации атак подготовлены работающие прототипы эксплоитов, в том числе реализация на JavaScript, работающая в браузере.

Уязвимость Meltdown (CVE-2017-5754) позволяет приложению прочитать содержимое любой области памяти компьютера, включая память ядра и других пользователей. Проблема также позволяет получить доступ к чужой памяти в системах паравиртуализации (режим полной виртуализации (HVM) проблеме не подвержен) и контейнерной изоляции (в том числе Docker, LXC, OpenVZ), например, пользователь одной виртуальной машины может получить содержимое памяти хост-системы и других виртуальных машин. Уязвимости подвержены процессоры Intel (фактически все процессоры, выпускаемые с 1995 года, за исключением Intel Itanium и Intel Atom, выпущенных до 2013 года) и ARM64 (Cortex-A15/A57/A72/A75). Подготовленный прототип эксплоита позволяет читать память ядра со скоростью 2000 байт в секунду на процессоре Intel Xeon архитектуры Haswell.

Уязвимость Spectre (CVE-2017-5753, CVE-2017-5715) создаёт брешь в механизме изоляции памяти приложений и позволяет атакующему обманным способом получить данные чужого приложения (только приложения, но не памяти ядра). Этой атаке подвержены процессоры Intel, AMD (продемонстрирован эксплоит, работающий при включенном eBPF в ядре Linux) и ARM64 (Cortex-R7/R8, Cortex-A8/A9/A15/A17/A57/A72/A73/A75). По сравнению с Meltdown уязвимость существенно труднее в эксплуатации, но её и значительно труднее исправить. Прототип эксплоита Spectre уже можно найти в открытом доступе.

Упомянутые атаки манипулируют тремя разными уязвимостями (обход проверки границ, сбой проверки прав доступа при обработке исключений и оседание данных в кэше после отмены операции), каждая из которых требует отдельного исправления, но все вызваны недоработками в реализации механизма спекулятивного выполнения инструкций. С целью повышения производительности при наличии свободных ресурсов современные процессоры активно применяют упреждающее выполнение инструкций на основе предварительных оценок, ещё до того как инструкции будут затребованы. Если предположение оказалось верным, выполнение продолжается, а если нет, результаты заранее выполненных инструкций отменяются, состояние откатывается назад, процессор возвращается в точку разветвления и переходит к выполнению корректной цепочки.

Суть уязвимостей в том, что при определённых обстоятельствах отмотанное назад упреждающее выполнение не всегда протекает бесследно и не все изменения откатываются, например, могут оставаться в кэше процессора. Для проведения атаки Meltdown осуществляется обращение к произвольным областям памяти ядра. Данные области запрашиваются в результате упреждающей операции, но далее процессор определяет, что приложение не имеет прав на доступ к этой памяти, операция откатывается назад и генерируется исключение, но так как фактически обращение к памяти состоялось, данные оседают в кэше процессора и затем могут быть определены через проведение атаки по сторонним каналам (определение содержимого кэша через анализ задержки при обращении к изначально известным непрокэшированным данным).

Пользователям рекомендуется установить обновление ядра сразу после его публикации для дистрибутивов. Исправление проблемы Meltdown для ядра Linux выпущено в виде набора патчей KPTI, при использовании которых наблюдается проседание производительности приложений, активно обращающихся к системным вызовам (например, http-серверы и СУБД могут потерять 5-20% производительности). Исправление уязвимости Spectre в общем виде пока не выработано, частично предложено обновление микрокода и усиление безопасности отдельных приложений.

Обновление для блокирования Meltdown уже выпущено для RHEL, CentOS и Fedora. Проследить за появлением обновлений в других дистрибутивах можно на следующих страницах: Debian, Ubuntu, SUSE (частично исправлена), openSUSE, FreeBSD, OpenBSD, NetBSD. Исправления для Windows и macOS ожидаются в ближайшее время. Для платформы Android исправления были доставлены в последнем обновлении. Проблема также устранена в Chrome OS 63.0.3239.116.

Применение патча обязательно так как

пользователи ежедневно запускают чужой код на своих компьютерах, посещая веб сайты с JavaScript (>99%) и одним из инструментов совершения атаки может стать web-браузер. Разработчики Google Chrome работают над интеграцией защиты от совершения атаки через JavaScript прямо в браузер. Исправление будет доступно в релизе Chrome, назначенном на 23 января. Компания Mozilla внесла в Firеfox 57 временные исправления, затрудняющие атаку, ограничив точность работы таймера (performance.now) до 20µs и отключив SharedArrayBuffer.

Интересен комментарий Торвальдса: текущие патчи безусловно включили KPTI для всех процессоров и архитектур Intel, что может означать, что у компании нет кристаллов, в которых эта ошибка исправлена, а это может значить, что Cannon Lake/Ice Lake выйдут с этой же проблемой.

Дополнение 1: Компанией Google для ядра Linux предложен вариант патчей c реализацией метода "retpoline" для блокирования атаки Spectre. Накладные расходы от данных патчей не превышают 1.5%. Для применения данного метода требуется сборка специально модифицированным компилятором. Поддержка retpoline уже предложена для GCC и Clang.

Дополнение 2: Демонстрация использования атаки Meltdown для кражи пароля (автор ролика Michael Schwarz, один из исследователей, выявивших проблему):

Дополнение 3: Опубликован прототип эксплоита для атаки Meltdown.

Дополнение 4: Intel выпустит процессоры с исправлением ошибки уже в этом году. Не уточняется, исправят ли они все ошибки, или только Meltdown. До конца следующей недели Intel также намерен выпустить обновление микрокода для 90% моделей CPU, выпущенных последние 5 лет.

Дополнение 5: Уязвимости затрагивают IBM System Z, POWER8 (Big Endian, Little Endian) и POWER9 (Little Endian). Процессоры RISC-V проблемам не подвержены.

Дополнение 6: Компания Google опубликовала информацию с результатами внедрения техник KPTI и retpoline для блокирования уязвимостей Meltdown и Spectre на своих Linux-серверах, в том числе обслуживающих поиск, Gmail, YouTube и Google Cloud Platform. Влияние на производительность обоих патчей при реальной нагрузке оценивается как незначительное, несмотря упоминаемые некоторыми исследователями довольно внушительные проседания в синтетических тестах.

56.4115 69.0702 0.5084 8.81

НОВОСТИ: Релиз Firefox 58 Tue, 23 Jan 2018 18:01:13 +0600

Состоялся релиз web-браузера Firefox 58, а также мобильной версии Firefox 58 для платформы Android. В ближайшие часы ожидается обновление ветки с длительным сроком поддержки 52.6.0. В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 59, релиз которой намечен на 13 марта.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome