В процессорах Intel обнаружена новая опасная уязвимость (2 фото)

Исследователи из Технологического университета Граца заявили про выявление нового класса уязвимости, названого «Микроархитектурной выборкой данных» (Microarchitectural Data Sampling, MDS), которая базируется на технологии спекулятивного выполнения команд. В основе данного метода лежит возможность процессора предугадывать данные, необходимые операционной системе или приложению для оптимизации производительности.

Используя найденную уязвимость, хакеры могут получить доступ к конфиденциальным данным пользователя: паролям, адресам сайтов, токенам и другой информации. Атаки могут быть четырёх разных видов, получивших названия: ZombieLoad, Fallout, RIDL (Rogue In-Flight Data Load) и Store-to-Leak Forwarding.

Уязвимость ставит под угрозу не только стационарные компьютеры, но и облачные серверы и виртуальные машины. Доступ к компьютеру осуществляется не в режиме реального времени, поэтому на данный момент не известно, была ли использована брешь для похищения конфиденциальной информации.


Выявлено, что все процессоры Intel, выпущенные с 2011 года, подвержены данному классу уязвимости. Исключение составляют процессоры 8-го и 9-го поколения, а также серверные Xeon Scalable 2-го поколения, в которых данная уязвимость устранена на аппаратном уровне.

Разработчики Intel для устранения уязвимости выпустили обновление, которое очищает все данные из буфера при каждой перезагрузке. Данное обновление при этом использует ресурсы компьютера и снижает производительность. Однако эти потери крайне малы, и в Intel заявили, что для рядового пользователя снижение производительности пройдёт незаметно.

Кроме того, после изучения уязвимости было рекомендовано отключить фирменную технологию Hyper-Threading. Однако в таком случае произойдёт уже заметное снижение производительности ориентировочно на 40%. Apple, Microsoft, IBM Red Hat рекомендуют пользователям отключать Hyper-Threading. Google отключает её в Chrome OS 74. При этом сама Intel это делать не рекомендует. Apple, Microsoft и Google дополнительно выпустили обновления для собственных устройств, а Amazon обновил облачный сервис Web Services.

Источник: intel.com