Sem alarde, a Microsoft liberou no mês passado, 6 de julho, uma atualização/patch para corrigir uma vulnerabilidade em todos os processadores que a Intel lançou a partir de 2012. A revelação da existência da SWAPGS (registrada como CVE-2019-1125) foi feita por pesquisadores da Bitdefender durante a conferência de segurança cibernética Black Hat.
Segundo a empresa, a vulnerabilidade relatada em particular à Intel há um ano, estava em todos os processadores da Intel pelo menos desde sua linha Ivy Bridge e possivelmente até antes dela. Hackers podem abrir um canal lateral que vaza chaves de criptografia, senhas e conversas privadas, entre outros dados sensíveis, através da execução especulativa (técnica de otimização do processamento de informações pela CPU).
O ataque é semelhante ao das falhas Spectre e Meltdown, relatadas em 2018. Pesquisadores da Bitdefender descobriram que uma instrução de chips conhecida como SWAPGS tornou possível abrir o canal lateral (mesmo em sistemas que receberam atualizações para corrigir as falhas anteriormente detectadas), para acessar as informações na memória do kernel do sistema operacional.
Ele faz isso explorando a execução especulativa, que pode deixar rastros no cache e é isso que os invasores visam para obter acesso aos sistemas e dados internos. A vulnerabilidade afeta todos os processadores Intel que suportam SWAPGS e outra instrução chamada WSGRBASE. Segundo a Bitdefender, ela não afeta chips que rodam Linux, Unix, FreeBSD ou macOS.
Um ano de vulnerabilidades
Em 2018, a comunidade de segurança na web relatou uma nova classe de vulnerabilidades de segurança cibernética, todas agindo no processo de execução especulativa. As citadas Meltdown e Spectre foram descobertas por pesquisadores do Projeto Zero do Google e da Universidade de Tecnologia de Graz. Desde então, surgiram outras, como Foreshadow (relatada pela Intel como L1TF ), ZombieLoad e Microarquitetural Data Sampling (MDS).
Tem cido um ano difícil para a Intel, e pior para quem tem Notebook com processador deles, já que tem que esperar a boa vontade do fabricante para atualizar.
Essa informação é incorreta, o Kernel do Linux recebeu patches para corrigir a falha.
A falha também não é pior que o Spectre e Meltdown, na verdade é mais difícil de ser explorada. O TecMundo não é um site de confiança, existem fontes melhores.
Olá @anon48453804 poderia fazer uma checagem em seu sistema para ver como estão os CVES no seu processador, aqui rodei e deu muito VULNERABLE com o kernel 5.2.8-arch1-1.
Vá para a etapa de verificar correções no Linux, a parte referente somente ao arch está tudo correto, gostaria que fizesse o teste pois talvez o microcode da CPU no meu arch não esteja atualizado, no Fedora aparentemente está tudo ok, fiquei encucado pois a nova versão do Hardinfo que tem a aba security mostrou daí resolvi verificar.
Agradeço desde já a atenção.
Não tem nada a ver com o S.O (Windows e Linux) o processador é quem contém as vulnerabilidades, vai precisar atualizar a Bios, efetuar as atualizações do Windows Update, no Linux também vai precisar manter o kernel e os programas atualizados.
Pois é, eu fiz a verificação com o script spectre-meltdown-checker e obtive os resultados acima, o microcode aparece como a última versão, porém o script não o detecta, já no fedora o mesmo teste mostra todos CVES ok, mostrando somente as vulnerabilidades do SMT que não estão desabilitadas pois isso faz o desempenho cair pela metade já que vai desabilitar o Hiper Threading fazendo o processador funcionar somente com 2 núcleos sem as threads, mas se eu passar nosmt no grub o sistema fica 100% sem vulnerabilidades “em teoria”.
Pode ser alguma incompatibilidade do script, o Arch Linux normalmente não faz modificações nos pacotes, mas outras distribuições costumam fazer, então se o script foi feito para uma distribuição específica pode não funcionar corretamente no Arch Linux.
Ainda vou tentar descobrir o que ocorre no arch (São 7 CVES em vermelho como mostrado no primeiro screenshot como VULNERABLE), no debian buster rodando em uma vm os resultados são os mesmos do fedora, estariam compilando o kernel do arch sem os devidos patches de segurança? Creio que não seria o mais correto pois com os patches o desempenho é praticamente o mesmo, fiz alguns benchmarks com o hardinfo, e a única diferença gritante que ocorre é desabilitando o SMT pois o desempenho cai pela metade, tanto de memória quanto em multi-threading devido a falta das threads no processador…
Na vdd não, vc pode formatar e instalar o Windows do site da Microsoft. Com isso, retira qualquer “bloqueio” em relação a fabricante e vc pode instalar qualquer update.
Isso aí é conversa das fabricantes. Antes não conseguia instalar o último driver da Intel, tinha q usar o de 2017. Formatei, exclui a partição da fabricante, e estou usando o mais recente de agosto de 2019, com todas as correções.
