Erhöhung von Berechtigungen/Offenlegung von Daten

Quelle: HP, HP Product Security Response Team (PSRT)

Gemeldet von: Google Project Zero

Mithilfe moderner Prozessoren und Speculative execution (spekulative Ausführung) wurde ein branchenweites Sicherheitsrisiko entdeckt, das als Methode der Seitenkanalanalyse bekannt ist. Speculative execution ist eine wichtige Optimierungstechnik der CPU-Leistung. Die Prämisse der Speculative execution ist, dass der Prozessor Anweisungen vorwegnimmt, noch bevor bestimmt wurde, ob diese Anweisungen benötigt werden.

Die Forscher haben den Sicherheitsrisiken die Spitznamen „Spectre“ und „Meltdown“ gegeben. Exploits, die diese Technik verwenden, können auf privilegierten Speicher zugreifen, unter anderem auf den Kernel und verschlüsselte und geheime Daten. Im Ergebnis kann es potenziell zum Verlust von sensiblen Daten kommen.

CVE-2017-5715, CVE-2017-5753, CVE-2017-5754, PSR-2017-0185

Lesen Sie im Microsoft Security Advisory ADV180002: Leitfaden zur Milderung bei der Ausführung spekulativer Seiten-Kanal-Sicherheitsrisiken weitere Informationen.

Im Abschnitt LÖSUNG finden Sie die betroffenen Produkte.

Um eine PGP-signierte Version dieses Sicherheitsbulletins zu erhalten, wenden Sie sich an: hp-security-alert@hp.com.

CVSS-3.0-Basismetriken

Google Project Zero und andere Forscher haben die drei ursprünglichen Schwachstellen erkannt. Es gibt drei Varianten des Sicherheitsrisikos, das die Forscher in zwei Code-Namen unterteilt haben, wie in der folgenden Tabelle dargestellt. Zur Information wurden weitere Seitenkanal-Sicherheitsrisiken hinzugefügt, die entweder in diesem Bulletin oder in einem gesonderten Bulletin behandelt werden.

Hinweis:

• Varianten 1 und 2 erfordern möglicherweise zusätzliche Anwendungssoftware- und/oder Treiber-Updates.
• Variante 3 erfordert möglicherweise Drittanbieter-Treiber-Updates.

HP hat gemeinsam mit Intel, AMD und Microsoft an einem Patch für diese Sicherheitsrisiken gearbeitet. Prüfen Sie dieses Sicherheitsbulletin auf Aktualisierungen.

Im Januar 2018 stellte Intel eine Anleitung zum Stopp der Bereitstellung des CPU Microcode-Updates bereit. Zwischenzeitlich hat Intel neue CPU Microcode-Updates bereitgestellt und Intel empfiehlt, dass diese neuen Aktualisierungen bereitgestellt werden (siehe SoftPaqs in der Tabelle unten).

Am 21. Mai 2018 wurden zwei weitere, ähnliche Analysemethoden wie die ursprünglichen Spectre- und Meltdown-Sicherheitsrisiken gemeldet. Diese wurden Variante 3a und Variante 4 genannt. HP hat ein neues Sicherheitsbulletin mit SoftPaq-Abschwächungen veröffentlicht, HPSBHF03584 – Ableitung mit der Methode der Seitenkanalanalyse.

Am 13. November 2018 haben Forscher weitere sieben Varianten von Spectre/Meltdown entdeckt, die auch durch die ursprüngliche Spectre/Meltdown-Abschwächungen abgedeckt sind, die im Abschnitt „Auflösung“ aufgeführt sind.

Am 4. Dezember 2018 berichteten Nachrichtenagenturen über ein weiteres Forschungspapier der Northeastern University und IBM, das die einfachere Angriffsmethode der Spectre Variante 1, „SplitSpectre“, beschreibt. Dieses Sicherheitsrisiko wird auch durch die ursprüngliche Spectre/Meltdown Abschwächungen abgedeckt, die im Abschnitt „Lösungen“ aufgeführt sind.

Sicherheit steht bei HP an erster Stelle – es ist ein Top-Thema bei unseren Kunden und bildet die Grundlage für das Vertrauen in unsere Produkte. Wir konzentrieren uns auf das Bewältigen von Sicherheitsproblemen sowie das Bereitstellen von erforderlichen Updates, um unsere Kunden zu schützen.

Die Abschwächung erfordert sowohl ein Prozessor Microcode-Update als auch eine Aktualisierung des Betriebssystems. Möglicherweise ist auch ein Hypervisor-Update erforderlich.

Hinweis:

Die veröffentlichte BIOS-Version, die in der Liste der betroffenen Plattformen aufgeführt ist, ist die BIOS-Mindestversion, die das Prozessor Microcode-Update für dieses Sicherheitsrisiko aktualisiert. Auch höhere Versionen des BIOS enthalten das Update für dieses Sicherheitsrisiko.

• Intel:
  • https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088 (in englischer Sprache)
  • https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html (in englischer Sprache)
  • https://newsroom.intel.com/news/security-issue-update-progress-continues-firmware-updates/ (in englischer Sprache)
• AMD:
  • http://www.amd.com/en/corporate/speculative-execution (in englischer Sprache)
  • https://www.amd.com/en/corporate/security-updates (in englischer Sprache)
• Microsoft: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002 (in englischer Sprache)
• Google: https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html (in englischer Sprache)
• Nvidia:
  • https://www.nvidia.com/en-us/product-security/ (in englischer Sprache)
  • http://nvidia.custhelp.com/app/answers/detail/a_id/4611 (in englischer Sprache)
• Ratgeber HP Sure Click: Ratgeber HP Sure Click – HP Sure Click funktioniert nicht, nachdem bestimmte Sicherheits-Patches von Microsoft angewendet wurden
• HP Sicherheitsbulletin: HPSBHF03584 – Ableitung mit der Methode der Seitenkanalanalyse

Ausstehend: SoftPaq wird erstellt.

Wird überprüft: SoftPaq wird auf Machbarkeit und Verfügbarkeit untersucht.

Nicht verfügbar: SoftPaq ist aufgrund technischer bzw. logistischer Einschränkungen nicht verfügbar.