Tietoa ARM-pohjaisten prosessoreiden ja Intel-prosessoreiden ennakoivaan suoritukseen liittyvistä haavoittuvuuksista

• Apple on julkaissut Meltdownin vastaisia suojauspäivityksiä macOS Sierralle ja El Capitanille.

• Apple on julkaissut päivityksiä iOS:lle, macOS High Sierralle sekä Sierran ja El Capitanin Safarille Spectreltä suojaamiseksi.

• Meltdown ja Spectre eivät koske Apple Watchia.

Tietoturvatutkijat ovat hiljattain tunnistaneet kaksi tietoturvaongelmaa, jotka tunnetaan nimillä Meltdown ja Spectre. Nämä ongelmat koskevat kaikkia moderneja prosessoreita ja vaikuttavat lähes kaikkiin tietojenkäsittelylaitteisiin ja käyttöjärjestelmiin. Haavoittuvuudet ilmenevät kaikissa Mac-järjestelmissä ja iOS-laitteissa, mutta asiakkaisiin vaikuttaneita hyväksikäyttöjä ei tämän artikkelin kirjoitushetkellä ole tiedossa. Koska monien näiden ongelmien hyväksikäyttö edellyttää haittaohjelman lataamista Maciin tai iOS-laitteeseen, suosittelemme ohjelmistojen lataamista vain luotettavista lähteistä, kuten App Storesta.

Apple on jo julkaissut iOS 11.2:ta, macOS 10.13.2:ta ja tvOS 11.2:ta varten korjauspaketteja, joilla voidaan suojautua Meltdownia vastaan. macOS Sierran ja OS X El Capitanin suojauspäivitykset sisältävät myös Meltdownin vastaisia päivityksiä. Apple on julkaissut suojauspäivityksiä iOS 11.2.2:ssa, macOS High Sierra 10.13.2:n lisäpäivityksessä sekä macOS Sierran ja OS X El Capitanin Safari 11.0.2:ssa Spectreltä suojautumiseksi. Meltdown ja Spectre eivät koske Apple Watchia.

Jatkamme näihin ongelmiin liittyvien lisäkorjauspakettien kehittämistä ja testaamista.

Tausta

Meltdown- ja Spectre-ongelmissa hyödynnetään modernien prosessoreiden ennakoivaksi suoritukseksi kutsuttua suorituskykytoimintoa. Ennakoiva suoritus lisää nopeutta suorittamalla useita käskyjä samaan aikaan – mahdollisesti eri järjestyksessä kuin missä ne on siirretty prosessoriin. Suorituskyvyn parantamiseksi prosessori ennakoi, mitä haaran polkua todennäköisesti käytetään, ja jatkaa käskyn suorittamista kyseisellä polulla ennakoivasti, vaikka haaraa ei olisi vielä suoritettu loppuun. Jos ennakointi epäonnistuu, ennakoiva suoritus kumotaan niin, että sen ei pitäisi näkyä ohjelmistolle.

Meltdown- ja Spectre-hyväksikäyttötekniikat hyödyntävät ennakoivaa suoritusta päästäkseen käsiksi luottamukselliseen muistiin, myös ytimen muistiin, vähemmän luottamuksellisesta käyttäjäprosessista, kuten laitteessa käynnissä olevasta haittaohjelmasta.

Meltdown

Meltdown-hyväksikäyttötekniikka tunnetaan nimellä CVE-2017-5754 tai ”rogue data cache load”. Meltdown-tekniikan avulla käyttäjäprosessi pystyy lukemaan ytimen muistin. Analyysimme mukaan tämän haavoittuvuuden hyväksikäyttö on todennäköisintä. Apple on julkaissut Meltdownin vastaisia korjauspaketteja iOS 11.2:ta, macOS 10.13.2:ta ja tvOS 11.2:ta varten. Korjauspaketteja on julkaistu myös macOS Sierran suojauspäivityksessä 2018-001 ja OS X El Capitanin suojauspäivityksessä 2018-001. watchOS ei edellyttänyt korjauspakettia.

Julkisiin suorituskykytesteihin perustuvat testimme ovat osoittaneet, että joulukuun 2017 päivitysten muutokset eivät mitattavissa määrin ole heikentäneet macOS:n ja iOS:n suorituskykyä GeekBench 4 -suorituskykytestiin tai yleisiin verkkoselauksen suorituskykytesteihin, kuten Speedometeriin, JetStreamiin ja ARES-6:een, verrattuna.

Spectre

Spectre on nimi, joka kattaa useita hyväksikäyttötekniikoita, joita ovat muun muassa – tämän artikkelin kirjoitushetkellä – CVE-2017-5753 tai ”bounds check bypass”, CVE-2017-5715 tai ”branch target injection” sekä CVE-2018-3639 tai ”speculative bounds bypass”. Nämä tekniikat voivat antaa käyttäjäprosesseille mahdollisuuden lukea muistin sisältöä hyödyntämällä prosessorin muistinkäyttökutsun tarkistamisessa ilmenevää viivettä.

Näiden tekniikoiden analyyseissa kävi ilmi, että vaikka tekniikoiden hyväksikäyttö on erittäin vaikeaa, vaikka appi tai ohjelma olisi käynnissä paikallisesti Macissa tai iOS-laitteessa, hyväksikäyttö on kuitenkin mahdollista verkkoselaimessa käynnissä olevalla JavaScriptillä. Apple julkaisi 8. tammikuuta macOS:n ja iOS:n Safaria varten päivityksiä näiden ajoituspohjaisten tekniikoiden lieventämiseksi. Safarin korjauspakettien julkaisemisen aikaan suoritetut testit osoittivat, että korjauspaketeilla ei ollut mitattavissa olevaa vaikutusta Speedometer- ja ARES-6-testeihin, ja JetStream-suorituskykytestissä vaikutus oli alle 2,5 %. Jatkamme Spectre-tekniikkoihin liittyvien ongelmien korjaamiseen tarkoitettujen käyttöjärjestelmän korjauspakettien kehittämistä ja testaamista. Spectre ei koske watchOS:ää.