Over 'speculative execution'-kwetsbaarheden in ARM- en Intel-CPU's

Updates:

  • Apple heeft beveiligingsupdates gepubliceerd voor macOS Sierra en El Capitan met maatregelen ter bescherming tegen Meltdown.
  • Apple heeft updates voor iOS, macOS High Sierra en Safari op Sierra en El Capitan gepubliceerd om systemen te helpen verdedigen tegen Spectre.
  • Apple Watch is niet vatbaar voor Meltdown of Spectre.

Beveiligingsonderzoekers hebben onlangs beveiligingsproblemen aangetroffen die nu worden aangeduid met de namen Meltdown en Spectre. Deze problemen doen zich voor bij alle moderne processors; vrijwel alle apparaten, computers en besturingssystemen zijn er vatbaar voor. Alle Mac-systemen en iOS-apparaten zijn kwetsbaar, maar er zijn tot dusver nog geen exploits bekend die gevolgen hebben voor klanten. Veel van dit soort kwetsbaarheden kunnen alleen worden geëxploiteerd als er een kwaadaardige app op de Mac of het iOS-apparaat wordt geladen. We raden u dan ook aan om alleen software te downloaden van vertrouwde bronnen, zoals de App Store. 

Apple heeft in iOS 11.2, macOS 10.13.2 en tvOS 11.2 al een aantal maatregelen getroffen ter bescherming tegen Meltdown. Beveiligingsupdates voor macOS Sierra en OS X El Capitan bevatten ook maatregelen ter bescherming tegen Meltdown. Ter verdediging tegen Spectre heeft Apple maatregelen gepubliceerd in iOS 11.2.2, de aanvullende update voor macOS High Sierra 10.13.2 en Safari 11.0.2 voor macOS Sierra en OS X El Capitan. Apple Watch is niet vatbaar voor Meltdown of Spectre.

Het ontwikkelen en testen van beschermende maatregelen gaat intussen door, en we verwerken deze in de komende updates van iOS, macOS en tvOS.

Achtergrond

Meltdown en Spectre maken gebruik van een functie die de prestaties van moderne CPU's verbetert, de zogenaamde 'speculative execution'. Door speculative execution wordt snelheidswinst geboekt doordat meerdere instructies tegelijk worden verwerkt, en mogelijk niet in de volgorde waarin ze aan de CPU worden aangeboden. Om de prestaties te verhogen, voorspelt de CPU welk pad van een vertakking het meest waarschijnlijk is, en gaat verder met de uitvoering langs dat pad, nog voordat de vertakking is voltooid. Als de voorspelling onjuist blijkt, wordt deze speculative execution teruggedraaid, waarbij deze onzichtbaar zou moeten zijn voor software.

Bij Meltdown- en Spectre-exploits wordt misbruik gemaakt van speculative execution om toegang te krijgen tot geheugen dat alleen met hogere rechten toegankelijk is (het kernelgeheugen) vanuit een gebruikersproces met lagere rechten, zoals een kwaadaardige app die op het apparaat wordt uitgevoerd.

Meltdown

Meltdown is de benaming voor een exploitatietechniek die ook bekend staat als CVE-2017-5754 of 'rogue data cache load'. Door gebruik te maken van de Meltdown-techniek kan een gebruikersproces het kernelgeheugen uitlezen. Volgens onze analyses zijn de exploitatiemogelijkheden van Meltdown het grootst. Apple heeft maatregelen tegen Meltdown toegevoegd aan iOS 11.2, macOS 10.13.2, tvOS 11.2, Beveiligingsupdate 2018-001 voor macOS Sierra en Beveiligingsupdate 2018-001 voor OS X El Capitan. Voor watchOS waren geen maatregelen vereist.

Onze tests met behulp van publieke benchmarks laten zien dat de wijzigingen in de updates van december 2017 geen meetbare prestatievermindering van macOS en iOS tot gevolg hebben gehad. Dit is gemeten met de GeekBench 4-benchmark en gangbare surfbenchmarks zoals Speedometer, JetStream en ARES-6.

Spectre

Spectre is de benaming voor twee verschillende exploitatietechnieken die ook bekend staan als CVE-2017-5753 of 'bounds check bypass' en CVE-2017-5715 of 'branch target injection'. Met deze technieken kunnen items in het kernelgeheugen toegankelijk worden gemaakt voor gebruikersprocessen door gebruik te maken van een vertraging die kan optreden terwijl de CPU de geldigheid van een verzoek om toegang tot het geheugen controleert.

Bij analyse van deze technieken is gebleken dat deze weliswaar bijzonder moeilijk te gebruiken zijn, zelfs voor apps die lokaal op een Mac of iOS-apparaat worden uitgevoerd, maar dat ze mogelijk wel kunnen worden gebruikt in JavaScript dat in een browser wordt uitgevoerd. Op 8 januari heeft Apple updates voor Safari op macOS en iOS gepubliceerd, die bescherming bieden tegen deze exploitatietechnieken. De tests die we tot dusver hebben uitgevoerd, geven aan dat de beschermende maatregelen voor Safari geen meetbare invloed hebben op de uitkomsten van de Speedometer- en ARES-6-tests, en een prestatievermindering van minder dan 2,5% tot gevolg zullen hebben bij gebruik van de JetStream-benchmark. Het ontwikkelen en testen van beschermende maatregelen in het besturingssysteem tegen de Spectre-technieken gaat intussen door, en we verwerken deze in de komende updates van iOS, macOS en tvOS. watchOS is niet vatbaar voor Spectre.

 

Informatie over producten die niet door Apple zijn gemaakt of externe websites die niet door Apple worden beheerd of getest, wordt verstrekt zonder aanbeveling of goedkeuring. Apple aanvaardt geen aansprakelijkheid wat betreft de keuze, de prestaties of het gebruik van websites of producten van derden. Apple doet geen enkele toezegging met betrekking tot de juistheid of de betrouwbaarheid van websites van derden. Aan het gebruik van internet zijn risico’s verbonden. Neem contact op met de leverancier voor meer informatie. Andere bedrijfs- en productnamen zijn mogelijk handelsmerken van de respectievelijke eigenaars.

Publicatiedatum:Tue Jan 30 19:45:25 GMT 2018