Over 'speculative execution'-kwetsbaarheden in ARM- en Intel-CPU's

• Apple heeft beveiligingsupdates gepubliceerd voor macOS Sierra en El Capitan met maatregelen ter bescherming tegen Meltdown.

• Apple heeft updates voor iOS, macOS High Sierra en Safari op Sierra en El Capitan gepubliceerd om systemen te helpen verdedigen tegen Spectre.

• Apple Watch is niet vatbaar voor Meltdown of Spectre.

Beveiligingsonderzoekers hebben onlangs beveiligingsproblemen aangetroffen die nu worden aangeduid met de namen Meltdown en Spectre. Deze problemen doen zich voor bij alle moderne processors; vrijwel alle apparaten, computers en besturingssystemen zijn er vatbaar voor. Alle Mac-systemen en iOS-apparaten zijn kwetsbaar, maar er zijn tot dusver nog geen exploits bekend die gevolgen hebben voor klanten. Veel van dit soort kwetsbaarheden kunnen alleen worden geëxploiteerd als er een kwaadaardige app op de Mac of het iOS-apparaat wordt geladen. We raden u dan ook aan om alleen software te downloaden van vertrouwde bronnen, zoals de App Store.

Apple heeft in iOS 11.2, macOS 10.13.2 en tvOS 11.2 al een aantal maatregelen getroffen ter bescherming tegen Meltdown. Beveiligingsupdates voor macOS Sierra en OS X El Capitan bevatten ook maatregelen ter bescherming tegen Meltdown. Ter verdediging tegen Spectre heeft Apple maatregelen gepubliceerd in iOS 11.2.2, de aanvullende update voor macOS High Sierra 10.13.2 en Safari 11.0.2 voor macOS Sierra en OS X El Capitan. Apple Watch is niet vatbaar voor Meltdown of Spectre.

We blijven werken aan het ontwikkelen en testen van verdere maatregelen ter bescherming tegen deze problemen.

Achtergrond

Meltdown en Spectre maken gebruik van een functie die de prestaties van moderne CPU's verbetert, de zogenaamde 'speculative execution'. Door speculative execution wordt snelheidswinst geboekt doordat meerdere instructies tegelijk worden verwerkt, en mogelijk niet in de volgorde waarin ze aan de CPU worden aangeboden. Om de prestaties te verhogen, voorspelt de CPU welk pad van een vertakking het meest waarschijnlijk is, en gaat verder met de uitvoering langs dat pad, nog voordat de vertakking is voltooid. Als de voorspelling onjuist blijkt, wordt deze speculative execution teruggedraaid, waarbij deze onzichtbaar zou moeten zijn voor software.

Bij Meltdown- en Spectre-exploits wordt misbruik gemaakt van speculative execution om toegang te krijgen tot geheugen dat alleen met hogere rechten toegankelijk is (het kernelgeheugen) vanuit een gebruikersproces met lagere rechten, zoals een kwaadaardige app die op het apparaat wordt uitgevoerd.

Meltdown

Meltdown is de benaming voor een exploitatietechniek die ook bekend staat als CVE-2017-5754 of 'rogue data cache load'. Door gebruik te maken van de Meltdown-techniek kan een gebruikersproces het kernelgeheugen uitlezen. Volgens onze analyses zijn de exploitatiemogelijkheden van Meltdown het grootst. Apple heeft maatregelen tegen Meltdown toegevoegd aan iOS 11.2, macOS 10.13.2, tvOS 11.2, Beveiligingsupdate 2018-001 voor macOS Sierra en Beveiligingsupdate 2018-001 voor OS X El Capitan. Voor watchOS waren geen maatregelen vereist.

Onze tests met behulp van publieke benchmarks laten zien dat de wijzigingen in de updates van december 2017 geen meetbare prestatievermindering van macOS en iOS tot gevolg hebben gehad. Dit is gemeten met de GeekBench 4-benchmark en gangbare surfbenchmarks zoals Speedometer, JetStream en ARES-6.

Spectre

Spectre is een verzamelnaam voor verschillende exploitatietechnieken, waaronder, op het moment van deze publicatie, CVE-2017-5753 ofwel "bounds check bypass" en CVE-2017-5715 ofwel "branch target injection" en CVE-2018-3639 ofwel "speculative bounds bypass". Met deze technieken kunnen items in het kernelgeheugen toegankelijk worden gemaakt voor gebruikersprocessen door gebruik te maken van een vertraging die kan optreden terwijl de CPU de geldigheid van een verzoek om toegang tot het geheugen controleert.

Bij analyse van deze technieken is gebleken dat deze weliswaar bijzonder moeilijk te gebruiken zijn, zelfs voor apps die lokaal op een Mac of iOS-apparaat worden uitgevoerd, maar dat ze mogelijk wel kunnen worden gebruikt in JavaScript dat in een browser wordt uitgevoerd. Op 8 januari heeft Apple updates voor Safari op macOS en iOS gepubliceerd, die bescherming bieden tegen dergelijke op timing gebaseerde technieken.Tests die zijn uitgevoerd toen de beschermingsmaatregelen voor Safari werden gepubliceerd, gaven aan dat de beschermingsmaatregelen geen meetbare invloed hadden op de Speedometer- en ARES-6-tests en een invloed van minder dan 2,5% op de JetStream-benchmark. We blijven werken aan het ontwikkelen en testen van verdere beschermingsmaatregelen tegen de Spectre-technieken binnen het besturingssysteem. watchOS is niet vatbaar voor Spectre.