У багатьох актуальних процесорах AMD та Intel виявлено нові вразливості, що впливають на безпеку систем. Помилки Inception і Downfall є похідними від помилок Meltdown і Spectre, через які здійнявся галас кілька років тому. Вони мають середній рівень небезпеки й можуть бути виправлені або оновлення мікрокоду на рівні ОС, або оновлення прошивки.
Intel Downfall
Помилка Downfall (CVE-2022-40982) властива процесорам Intel з 6-го по 11-е покоління, включаючи настільні чипи та серверні рішення Xeon. Фактично йдеться про процесори, що випускалися з 2015 року й досі зустрічаються в деяких нових системах. Більш сучасні версії процесорів 12-го і 13-го поколінь (Alder Lake і Raptor Lake) не схильні до цієї вразливості.
Помилка Downfall використовує вразливість в інструкції Gather, яка впливає на використання ЦП Intel для збору інформації з кількох місць у системної пам’яті. Помилка призводить до того, що процесор «ненавмисно розкриває внутрішні апаратні регістри програмного забезпечення», що «дозволяє ненадійному програмному забезпеченню отримувати доступ до даних, що зберігаються в інших програмах». В результаті Downfall може використовуватися для крадіжки ключів шифрування в інших користувачів на заданому сервері та інших видів даних.
Дослідник безпеки Google Даніель Могімі повідомив про помилку в Intel близько року тому. Він описує Downfall як «наступника» попередніх помилок спекулятивного виконання, таких як Meltdown та Fallout.
AMD Inception
Помилка Inception (CVE-2023-20569) є вразливістю побічного каналу, що походить від помилки Spectre. Насправді це комбінація атак, одна з яких змушує ЦП «думати», що він виконав невірний прогноз, а друга використовує тригер «фантомної спекуляції» для «маніпулювання майбутніми невірними прогнозами». Кінцевим результатом є вразливість, яка проявляє себе як «виток довільних даних» на певних процесорах Ryzen, Threadripper та EPYC.
COMSEC повідомляє, що помилка Inception зачіпає «всі процесори AMD Zen», але сама AMD заявляє, що виправлення необхідні тільки для процесорів, що використовують обчислювальні ядра на базі архітектури Zen 3 або Zen 4.
AMD та Intel вже випустили оновлення мікрокоду на рівні ОС для розв’язання обох проблем. Тепер відповідні оновлення повинні випустити виробники ПК, сервера або материнської плати. AMD і Intel також заявили, що їм невідомо про будь-які активні використання цих вразливостей.
Джерело: arstechnica