Update: Intel, AMD und ARM kämpfen mit schwerwiegendem Fehler

Update vom 5.1.2017: Das Ausmass der Sicherheitslücke ist bedeutend grösser, als zunächst angenommen: Nicht nur die Prozessoren von Intel, sondern auch die von AMD und ARM sind davon betroffen. Somit sind wohl die Mehrheit aller Smartphones, PC-Geräte und smarten Geräte davon betroffen.

Googles IT-Sicherheitsabteilung Project Zero entdeckte die Schwachstelle bereits am 1. Juni 2017, wie sie in einem Blogeintrag schreibt. Daraufhin kontaktierte die Abteilung die drei Chip-Hersteller, um sie darauf hinzuweisen.

Google unterscheidet drei Varianten der aktuellen Sicherheitslücke, die ersten beiden nennt das Unternehmen Spectre, die dritte Meltdown.

• Spectre 1: Bounds Check Bypass (CVE-2017-5753): Durch die falsch spekulierte Ausführung von Instruktionen einer CPU innerhalb des gleichen Prozesses können eigentlich geschützte Daten ausgelesen werden, wie Golem zusammenfasst.

• Spectre 2: Branch Target Injection (CVE-2017-5715): Bei normalen Userrechten und voreingestellter Konfiguration können, wie Golem schreibt, Lesezugriffe auf den virtuellen Speicher eines modernen Linux-Kernels vorgenommen werden. Voraussetzung ist ein Intel-Haswell-Xeon-CPU oder ein AMD-Pro-CPU, dessen Standardeinstellungen geändert wurden.

• Meltdown: Rogue Data Cache Load (CVE-2017-5754). Dieser Fehler ermöglicht Prozessen mit herkömmlichen Nutzerrechten das Auslesen von Kernelspeicher unter bestimmten Bedingungen, wie Golem schreibt.

Apple veröffentlicht Sicherheitsupdate

Diese letzte Variante betrifft wohl nur Intel-Produkte. Wie Google schreibt, haben die Sicherheitsexperten versucht, den Meltdown-Fehler auf AMD- und ARM-Chips zu reproduzieren – allerdings ohne Erfolg.

Unterdessen hat sich auch Apple zum Chip-Problem geäussert. Auf der Support-Seite schreibt das Unternehmen, dass zwar alle Mac-Systeme und iOS-Geräte betroffen seien, aber dass die Schwachstelle aktuell noch nicht ausgenutzt werde. Die Apple Watch sei nicht betroffen.

Apple veröffentlichte nach eigenen Angaben bereits Updates für iOS 11.2, macOS 10.13.2 und tvOS 11.2. In den kommenden Tagen wolle Apple auch ein Update für Safari veröffentlichen. Amazon, Google und Microsoft haben ebenfalls bereits Sicherheitsupdates veröffentlicht.

Die Updates sollen die Leistung der Prozessoren nicht negativ beeinträchtigen, wie Intel wohl in Reaktion auf diverse Medienberichte mitteilt. Der Chip-Hersteller beruft sich dabei auf Aussagen von Amazon, Apple, Google und Microsoft.

Originalmeldung vom 4.01.2017: Ein schwerwiegender Designfehler macht derzeit Intel zu schaffen. Aufgrund des Fehlers könnten gewöhnliche Software-Programme auf Kernel-Memory-Bereiche zugreifen, die eigentlich geschützt sein sollten. So könnten diese Programme etwa Zugangsdaten oder den Cache-Speicher auslesen, wie es in einem Bericht von The Register heisst.

Betroffen seien sämtliche modernen Intel-Prozessoren, die im letzten Jahrzehnt produziert wurden. Intel bestätigte den Bericht unterdessen. Die Pressemitteilung kam jedoch bei The Register und auch beim Linux-Initiator Linus Torvalds nicht sonderlich gut an.

"Zugeben, dass sie Probleme haben"

Torvalds etwa schrieb in Reaktion darauf: "Jemand bei Intel sollte sich ihre CPUs mal wirklich lange ansehen und zugeben, dass sie Probleme haben, statt PR-Texte zu verfassen und zu behaupten, dass alles wie beabsichtigt funktioniere."

Microsoft und die Linux-Kernel-Entwickler arbeiten bereits an Patches, um die Lücke zu beheben. Gemäss Bericht müsse man jedoch damit rechnen, dass die Updates zu Leistungseinbussen von 5 bis 30 Prozent führen werden.

Um das Problem zu beheben, müsste der Kernel-Speicher komplett von den Benutzerprozessen abgekapselt werden. Dies wird als Kernel Page Table Isolation (KPTI) bezeichnet. Jedes Mal, wenn ein laufendes Programm etwa eine Datei kreieren oder verändern will, also eigentlich immer, wenn eine Datei etwas machen will, muss der Kernel übernehmen. Dies verursache die Verzögerung, schreibt The Register.