Om spekulative eksekveringssårbarheder i ARM-baserede og Intel CPU'er

• Apple har udgivet sikkerhedsopdateringer til macOS Sierra og El Capitan med delløsninger på Meltdown.

• Apple har udgivet opdateringer til iOS, macOS High Sierra og Safari til Sierra og El Capitan for at hjælpe med at forsvare mod Spectre.

• Apple Watch er ikke påvirket af hverken Meltdown eller Spectre.

Sikkerhedsforskere har for nyligt opdaget sikkerhedsproblemer kendt under to navne, Meltdown og Spectre. Disse problemer gælder for alle moderne processorer og påvirker næsten alle computerenheder og operativsystemer. Alle Mac-systemer og iOS-enheder er berørt, men der er i skrivende stund ingen kendte udnyttelser, der påvirker kunder. Eftersom udnyttelse af mange af disse problemer kræver download af en skadelig app til din Mac- eller iOS-enhed, anbefaler vi, at du kun downloader software fra sikre steder såsom App Store.

Apple har allerede udgivet delløsninger i iOS 11.2, macOS 10.13.2 og tvOS 11.2, der hjælper med at forsvare mod Meltdown. Sikkerhedsopdateringer til macOS Sierra og OS X El Capitan indeholder også delløsninger på Meltdown. Apple har udgivet delløsninger i iOS 11.2.2, den supplerende opdatering til macOS High Sierra 10.13.2 og Safari 11.0.2 til macOS Sierra og OS X El Capitan for at hjælpe med at forsvare mod Spectre. Apple Watch er ikke påvirket af hverken Meltdown eller Spectre.

Vi fortsætter med at udvikle og teste yderligere delløsninger på disse problemer.

Baggrund

Meltdown og Spectre udnytter en moderne CPU-ydeevnefunktion kaldet spekulativ eksekvering. Spekulativ eksekvering forbedrer hastigheden ved at arbejde på flere instrukser ad gangen – muligvis i en anden rækkefølge end de blev modtaget af CPU'en. For at forbedre ydeevnen forudsiger CPU'en, hvilken sti det er mest sandsynligt, der vil blive brugt, og fortsætter derefter spekulativt ud af den sti, før stien er fuldendt. Hvis forudsigelsen er forkert, rulles denne spekulative eksekvering tilbage på en måde, som er beregnet til at være usynlig for software.

Udnyttelsesteknikkerne Meltdown og Spectre misbruger spekulativ eksekvering til at tilgå privilegeret hukommelse – herunder kernens – via en mindre privilegeret brugerproces såsom en skadelig app, der kører på en enhed.

Meltdown

Meltdown er et navn givet til en udnyttelsesteknik kendt som CVE-2017-5754 eller "ondsindet indlæsning af datacache". Meltdown-teknikken kan give en bruger mulighed for at indlæse kernehukommelse. Vores analyse indikerer, at denne er i størst fare for at blive udnyttet. Apple har udgivet delløsninger på Meltdown i iOS 11.2, macOS 10.13.2 og tvOS 11.2 og desuden også i sikkerhedsopdatering 2018-001 til macOS Sierra og sikkerhedsopdatering 2018-001 til OS X El Capitan. watchOS krævede ingen delløsning.

Vores tests med offentlige benchmarks har vist, at ændringerne i opdateringerne i december 2017 ikke har resulteret i målbar reduktion af ydeevnen i macOS og iOS efter måling med GeekBench 4-benchmark eller almindelige benchmarks for internetbrowsing som Speedometer, JetStream og ARES-6.

Spectre

Spectre er et navn, der dækker over flere forskellige udnyttelsesteknikker, herunder – i skrivende stund – CVE-2017-5753 eller "bypass af kontrol af grænser" og CVE-2017-5715 eller "forudsigelse af stiens mål" og CVE-2018-3639 eller "hypotetisk bypass af grænser". Disse teknikker gør potentielt elementer i kernehukommelse tilgængelige for brugerprocesser ved at udnytte en forsinkelse af den tid, som det tager for CPU'en at tjekke gyldigheden af et hukommelsesadgangsopkald.

Analyse af disse teknikker afslørede, at selvom de er ekstremt svære at udnytte selv via en app, der kører lokalt på en Mac- eller iOS-enhed, så kan de udnyttes via JavaScript i en internetbrowser. Den 8. januar udgav Apple opdateringer til Safari til macOS og iOS som delløsning på disse timingbaserede teknikker. Test, der blev udført, da Safari-delløsningerne blev udgivet, indikerede, at Safari-delløsningerne ikke havde nogen målbar påvirkning ifølge tests med Speedometer og ARES-6 og en påvirkning på mindre end 2,5 % ifølge JetStream-benchmarken. Vi fortsætter med at udvikle og teste yderligere delløsninger i operativsystemet for Spectre-teknikker. watchOS er ikke påvirket af Spectre.