La security enterprise rumena ha reso nota l’esistenza dell’ennesimo “super-bug” dei processori Intel, una falla potenzialmente sfruttabile per violare la segretezza dei dati gestiti dalla CPU. Necessarie nuove mitigazioni hardware.
A riconferma del fatto che le minacce di Meltdown, Spectre e degli altri super-bug delle CPU moderne non saranno mai davvero risolte fino in fondo, Bitdefender ha in queste ore pubblicato i dettagli di una nuova vulnerabilità in grado di compromettere la sicurezza dei potenti processori sviluppati da Intel.
Chiamata Yet Another Meltdown (YAM), la vulnerabilità scoperta dalla società rumena (CVE-2018-12130) attacca come al solito una funzionalità connessa all’esecuzione speculativa, tecnologia connaturata a tutte le CPU commercializzate negli ultimi decenni (da Intel o da chiunque altro) e indispensabile a raggiungere il livello di performance che gli utenti danno oramai per acquisito.
Sfruttando una tecnica di attacco side-channel nota come Microarchitectural Data Sampling (MDS), un malintenzionato potrebbe sfruttare YAM come testa di ponte per penetrare nelle zone in teoria più sicure della CPU, provocando il leak di informazioni sensibili e compromettendo ogni genere di infrastruttura di sicurezza.
L’attacco può essere utilizzato da un account utente standard per compromette la memoria gestita direttamente dal kernel del sistema operativo, e secondo Bitdefender presenta delle conseguenze particolarmente gravi sui servizi cloud e sugli host “multi-inquilino”: negli ambienti condivisi, YAM può essere utilizzata per leggere i dati sensibili appartenenti agli altri utenti presenti sull’host.
Bitdefender ha già condiviso da tempo il codice proof-of-concept di YAM con i partner interessati dal problema, codice la cui efficacia è stata verificata con successo su diverse microarchitetture di processori Intel (Ivy Bridge, Haswell, Skylake e Kaby Lake). Per risolvere almeno “in parte” il problema, la società invoca la distribuzione di patch al microcodice – istruzioni-macchina caricate all’avvio del PC per correggere aberrazioni e bug nella CPU – da parte delle aziende coinvolte.