Informationen zur Schwachstelle "speculative execution" bei ARM-basierten und Intel-CPUs

• Apple hat Sicherheitsupdates für macOS Sierra und El Capitan veröffentlicht, die zusätzlichen Schutz vor der Sicherheitslücke "Meltdown" bieten.

• Apple hat Sicherheitsupdates für iOS, macOS High Sierra sowie Safari für Sierra und El Capitan veröffentlicht, die zusätzlichen Schutz vor der Sicherheitslücke "Spectre" bieten.

• Die Apple Watch ist weder von "Meltdown" noch von "Spectre" betroffen.

Sicherheitsforscher haben kürzlich Sicherheitsprobleme entdeckt, die unter den Namen "Meltdown" und "Spectre" bekannt sind. Diese Probleme beziehen sich auf alle modernen Prozessoren und wirken sich auf fast alle Computer-Geräte und Betriebssysteme aus. Alle Mac-Systeme und iOS-Geräte sind betroffen, aber es gibt derzeit keine bekannten Sicherheitslücken, die sich auf die Kunden auswirken. Damit diese Probleme von Unbefugten ausgenutzt werden können, bedarf es meist einer böswilligen App, die auf Ihren Mac oder Ihr iOS-Gerät geladen wird. Deshalb empfehlen wir, nur Software von vertrauenswürdigen Quellen wie dem App Store zu laden.

Apple hat mit iOS 11.2, macOS 10.13.2 und tvOS 11.2 bereits Schutzmaßnahmen gegen "Meltdown" veröffentlicht. Sicherheitsupdates für macOS Sierra und OS X El Capitan umfassen ebenfalls Schutzmaßnahmen gegen "Meltdown". Apple hat mit iOS 11.2.2, dem Zusatzupdate für macOS High Sierra 10.13.2 sowie mit Safari 11.0.2 für macOS Sierra und OS X El Capitan Schutzmaßnahmen gegen "Spectre" veröffentlicht. Die Apple Watch ist weder von "Meltdown" noch von "Spectre" betroffen.

Wir arbeiten kontinuierlich an der Entwicklung und Prüfung weiterer Schutzmaßnahmen für diese Sicherheitsprobleme.

Hintergrund

Die Sicherheitsprobleme "Meltdown" und "Spectre" profitieren von einem modernen CPU-Leistungsmerkmal, das "speculative execution" (spekulative Ausführung) genannt wird. Das Verfahren "speculative execution" steigert die Geschwindigkeit, indem es mehrere Befehle gleichzeitig ausführt – ggf. in anderer Reihenfolge, als die Befehle in die CPU eingespeist wurden. Für eine Leistungssteigerung versucht die CPU, den wahrscheinlichsten Weg des Programmflusses zu finden. Dieser Ausführungsweg wird spekulativ verfolgt, auch wenn der Programmfluss noch nicht abgeschlossen ist. Wenn sich die Berechnungen auf Ausführungswegen als Fehlspekulation erweisen, werden die spekulativen Ergebnisse verworfen. Dieser Vorgang ist für Software nicht sichtbar.

Die Angriffsszenarien "Meltdown" und "Spectre" missbrauchen die "speculative execution", um Zugriff auf den privilegierten Arbeitsspeicher – auch den des Kernels – über einen weniger privilegierten Benutzerprozess wie eine böswillige App auf einem Gerät zu erlangen.

Meltdown

"Meltdown" bezeichnet ein Angriffsszenario, das als CVE-2017-5754 bzw. "rogue data cache load" bekannt ist. Mit der Meltdown-Technik kann ein Benutzerprozess den Kernelspeicher auslesen. Unsere Analysen zeigen, dass dieses Szenario die höchste Wahrscheinlichkeit für einen Angriff bietet. Apple hat mit iOS 11.2, macOS 10.13.2 und tvOS 11.2 sowie mit dem Sicherheitsupdate 2018-001 für macOS Sierra und dem Sicherheitsupdate 2018-001 für OS X El Capitan Schutzmaßnahmen gegen "Meltdown" veröffentlicht. Für watchOS war kein Sicherheitsupdate erforderlich.

Unser Test mit öffentlichen Benchmarks hat gezeigt, dass die Änderungen der Aktualisierungen von Dezember 2017 zu keiner messbaren Leistungsreduktion bei macOS und iOS führten (Messung durch GeekBench 4-Benchmark). Auch bei der Messung mit gebräuchlichen Browser-Benchmarks wie Speedometer, JetStream und ARES-6 konnten keine Leistungseinbußen festgestellt werden.

Spectre

"Spectre" bezeichnet mehrere unterschiedliche Angriffsszenarien, darunter derzeit CVE-2017-5753 bzw. "bounds check bypass," CVE-2017-5715 bzw. "branch target injection" und CVE-2018-3639 bzw. “speculative bounds bypass.” Diese Szenarien profitieren von der potenziellen Verzögerungszeit, die die CPU für die Prüfung der Gültigkeit eines Speicherzugriffs benötigt, um Positionen des Kernelspeichers für Benutzerprozesse bereitzustellen.

Analysen dieser Angriffsszenarien ergaben, dass sie sehr schwierig auszunutzen sind, selbst wenn eine betroffene App auf einem Mac oder iOS-Gerät ausgeführt wird. Sie können aber dennoch über JavaScript in einem Webbrowser Sicherheitslücken verursachen. Am 8. Januar veröffentlichte Apple Updates für Safari für macOS und iOS, um zusätzlichen Schutz vor diesen zeitbasierten Angriffsmethoden bereitzustellen. Der Test, der bei der Veröffentlichung von Schutzmaßnahmen für Safari durchgeführt wurde, zeigte, dass die Schutzmaßnahmen keine messbaren Auswirkungen auf die Speedometer- und ARES-6-Tests haben. Die Auswirkungen auf den JetStream-Benchmark liegen bei unter 2,5 %. Wir arbeiten kontinuierlich an der Entwicklung und Prüfung weiterer Schutzmaßnahmen gegen "Spectre" innerhalb des Betriebssystems. watchOS ist von "Spectre" nicht betroffen.