Vtipná bezpečnosť, ochrana Windows 10 proti vážnemu útoku Meltdown sa dá jednoducho obísť

Značky: Windows 10bezpečnosťkauza Meltdown a Spectre

DSL.sk, 3.5.2018

Hoci spoločnosť Microsoft vydala bezpečnostnú aktualizáciu riešiacu vážnu zraniteľnosť a útok Meltdown účinný proti Intel CPU už so zverejnením informácií o zraniteľnosti na začiatku januára, táto sa dá v skutočnosti ľahko obísť a je tak absolútne neúčinná.

Zistil to bezpečnostný expert Alex Ionescu zo spoločnosti Crowdstrike, upozornil Bleeping Computer.

Zraniteľnosti a útoky Meltdown a Spectre sme detailne popisovali v deň ich zverejnenia na prelome 3. a 4. januára v tomto článku, o kauze informujeme v tejto sérii článkov.

Zraniteľnosti umožňujú škodlivému kódu získať dáta z pamäte jadra OS alebo iných procesov cez tzv. postranný kanál v podobe cache pamäte ovplyvnenej tzv. špekulatívnym vykonávaním inštrukcií slúžiacim na zrýchlenie CPU. Zraniteľnosti vznikli v snahe výrobcov zvýšiť výkon CPU špekulatívnym vykonávaním inštrukcií bez ohľadu na bezpečnosť, pričom špeciálne nepochopiteľná je zraniteľnosť Meltdown.

Meltdown je veľmi priamočiarym útokom, ktorý umožňuje neprivilegovanému kódu bežných softvérov alebo napríklad škodlivému kódu prečítať obsah pamäte vyžadujúcej vyššie oprávnenia a prístupnej iba jadru operačného systému. Útok je možný, keďže v Intel CPU je možné špekulatívne prečítať aj pamäť jadra vyžadujúcu vyššie oprávnenia.

Welp, it turns out the #Meltdown patches for Windows 10 had a fatal flaw: calling NtCallEnclave returned back to user space with the full kernel page table directory, completely undermining the mitigation. This is now patched on RS4 but not earlier builds -- no backport?? pic.twitter.com/VIit6hmYK0

— Alex Ionescu (@aionescu) May 2, 2018

Všetky tri hlavné operačné systémy pre počítače vyriešili problém tak, že z adresného priestoru procesu v užívateľskom móde odstránili mapovanie pamäte jadra. To tu bolo prítomné aby sa pri systémových volaniach nemuselo prepínať na inú tabuľku mapovania virtuálnej pamäte na fyzickú a neznižoval sa tak výkon. Po záplate sa pri systémových volaniach vždy musia tabuľky prepnúť, užívateľský kód ale nemá ani namapovanú pamäť jadra a nemôže sa k nej tak ani pokúsiť pristúpiť.

Problém ale je, že vo Windows 10 je oprava absolútne neúčinná. Po návrate po volaní funkcie NtCallEnclave zostáva aj v užívateľskom móde namapovaná aj pamäť jadra a útok sa tak dá zrealizovať rovnako ako keby žiadna oprava prítomná nebola.

Podľa Ionesca Microsoft problém opravil v pondelok vydanej novej verzii Windows 10 1803 ale zatiaľ nie v skorších verziách. Spoločnosť pre Bleeping Computer problém priznala a avizuje, že pracuje na aktualizácii aj pre skoršie verzie.




Najnovšie články:



Diskusia:

Jeeejda Od: Ja niesom z Lučenca | Pridané: 3.5.2018 9:59 Microsoft má osobitný department na produkty, ktoré by nahradili Windows (ziskovo) keby neexistoval. Odpovedať Známka: 7.8 Hodnotiť:

Alexx Od: huanggg | Pridané: 3.5.2018 10:25 Pocitam ze Alex na to dosiel tak analyzoval zmeny v novej verzii 10...ale sranda ze MS o tom ocividne vedel, ked v novej verzii je to fixnute a predsa nevydal zaroven aj opravy na starsie Odpovedať Známka: 6.9 Hodnotiť:

Re: Alexx Od: 4x3l_ | Pridané: 3.5.2018 14:51 Na tom nieje nič zvláštne, proste chcú aby ľudia aktualizovali na nové verzie WIN 10, a tak serú na tie staré. ;) Odpovedať Známka: 0.0 Hodnotiť:

Re: Alexx Od: ffdf | Pridané: 6.5.2018 14:20 ľudia nechcú nové veršn tak serú na tie nové Odpovedať Hodnotiť:

titulog Od: lapajhogo | Pridané: 3.5.2018 14:37 preco ms spravuje system,ktoremu nerozumie ,nie je zname 😁😁 Odpovedať Známka: 10.0 Hodnotiť:

tak vam treba Od: Amalia666 | Pridané: 4.5.2018 8:30 tak vam treba ked si kupujete Intel a ne AMD kere je 100 krat lepsie. Odpovedať Známka: 0.0 Hodnotiť:

Re: tak vam treba Od: ffdf | Pridané: 6.5.2018 14:22 zle nebolo :-) a ľudia už majú "nakúpené" Inteláče pred Ryzenmi Odpovedať Hodnotiť:

Pridať komentár