8 نقاط الضعف الجديدة في فئة شبح الطائرا
(Specter-NG) الموجودة في معالجات إنتل
وبحسب ما ورد اكتشف فريق من الباحثين في مجال الأمن ما
مجموعه ثمانية ثغرات جديدة في فئة "إنتل " ( Spectre-class) في معالجات إنتل ، والتي تؤثر أيضًا على الأقل على عدد قليل من معالجات ARM وقد تؤثر على بنية المعالج AMD أيضًا. تم تسريب أول تفاصيل حول نقاط الضعف التي
أطلق عليها اسم سبكتر-نكست جينريشن أو سبكتر-إن جي إلى الصحفيين في مجلة هايس الألمانية ، التي تزعم أن إنتل صنفت أربعة من نقاط الضعف الجديدة على أنها "عالية المخاطر" وبقيت أربعة على أنها "متوسطة ".
ويقال إن عيوب وحدة المعالجة المركزية الجديدة تنشأ من نفس قضية التصميم التي تسببت في عيب Spectre الأصليلكن التقرير يدعي أن إحدى العيوب المكتشفة حديثًا تسمح للمهاجمين الذين لديهم إمكانية الوصول إلى جهاز ظاهري (VM) باستهداف النظام المضيف بسهولة ، مما يجعله أكثر تهديدًا من ثغرة Specter الأصلية.
"بدلا من ذلك ، يمكن أن يهاجم VMs لعملاء آخرين يعملون على نفس الخادم. كلمات المرور والمفاتيح السرية لنقل البيانات الآمنة هي أهداف مطلوبة للغاية على الأنظمة السحابية وتعرض للخطر الشديد من هذه الفجوة" ، كما يقرأ التقرير .
"ومع ذلك ، يمكن استغلال ثغرة Specter-NG سالفة الذكر بسهولة تامة للهجمات عبر حدود النظام ، مما يزيد من احتمال التهديد إلى مستوى جديد. يتأثر مقدمو الخدمات السحابية مثل Amazon أو Cloudflare ، وبطبيعة الحال ، عملائهم بشكل خاص."
إذا لم تكن على دراية ، فإن ثغرة Specter ، التي تم الإبلاغ عنها في وقت سابق من هذا العام ، تعتمد على هجوم قناة جانبية على محرك معالجة مضاربات للمعالجات ، مما يسمح لبرنامج خبيث بقراءة معلومات حساسة ، مثل كلمات المرور أو مفاتيح التشفير أو المعلومات الحساسة ، بما في ذلك من النواة.
على الرغم من أن الموقع الألماني لم يكشف عن اسم الباحثين الأمنيين (أو الفريق / الشركة) الذين أبلغوا عن هذه العيوب إلى شركة إنتل ، إلا أنه كشف عن اكتشاف أحد نقاط الضعف من قبل باحث أمني في مشروع غوغل زيرو.
زعم الموقع أيضًا أن الباحث في Google للأمان قد أبلغ عن وجود خلل في مصنعي الرقائق منذ 88 يومًا تقريبًا - مما يشير إلى أن الباحث قد يكشف عن تفاصيل خطأ واحد على الأقل يوم 7 مايو ، عندما يتم إغلاق نافذة الكشف لمدة 90 يومًا ، وهو اليوم قبل يوم الثلاثاء تصحيح ويندوز.
من المؤكد أن الكشف عن نقاط الضعف في شبكة سبيكتر NG بالنسبة للبائعين هو ممارسة جيدة ، لكن يبدو أن الباحثين الذين اكتشفوا السلسلة الجديدة من العيوب من فئة سبكتر ، يتجنبون ذكر أسمائهم في وقت مبكر - ربما لمنع الانتقادات الإعلامية المشابهة لتلك التي يواجهها مختبرات CTS بعد أن كشفت تفاصيل جزئية عن عيوب AMD مع موقع مخصص ورسومات جميلة ومقاطع فيديو.
وبحسب ما ورد اكتشف فريق من الباحثين في مجال الأمن ما
مجموعه ثمانية ثغرات جديدة في فئة "إنتل " ( Spectre-class) في معالجات إنتل ، والتي تؤثر أيضًا على الأقل على عدد قليل من معالجات ARM وقد تؤثر على بنية المعالج AMD أيضًا. تم تسريب أول تفاصيل حول نقاط الضعف التي
أطلق عليها اسم سبكتر-نكست جينريشن أو سبكتر-إن جي إلى الصحفيين في مجلة هايس الألمانية ، التي تزعم أن إنتل صنفت أربعة من نقاط الضعف الجديدة على أنها "عالية المخاطر" وبقيت أربعة على أنها "متوسطة ".
ويقال إن عيوب وحدة المعالجة المركزية الجديدة تنشأ من نفس قضية التصميم التي تسببت في عيب Spectre الأصليلكن التقرير يدعي أن إحدى العيوب المكتشفة حديثًا تسمح للمهاجمين الذين لديهم إمكانية الوصول إلى جهاز ظاهري (VM) باستهداف النظام المضيف بسهولة ، مما يجعله أكثر تهديدًا من ثغرة Specter الأصلية.
"بدلا من ذلك ، يمكن أن يهاجم VMs لعملاء آخرين يعملون على نفس الخادم. كلمات المرور والمفاتيح السرية لنقل البيانات الآمنة هي أهداف مطلوبة للغاية على الأنظمة السحابية وتعرض للخطر الشديد من هذه الفجوة" ، كما يقرأ التقرير .
"ومع ذلك ، يمكن استغلال ثغرة Specter-NG سالفة الذكر بسهولة تامة للهجمات عبر حدود النظام ، مما يزيد من احتمال التهديد إلى مستوى جديد. يتأثر مقدمو الخدمات السحابية مثل Amazon أو Cloudflare ، وبطبيعة الحال ، عملائهم بشكل خاص."إذا لم تكن على دراية ، فإن ثغرة Specter ، التي تم الإبلاغ عنها في وقت سابق من هذا العام ، تعتمد على هجوم قناة جانبية على محرك معالجة مضاربات للمعالجات ، مما يسمح لبرنامج خبيث بقراءة معلومات حساسة ، مثل كلمات المرور أو مفاتيح التشفير أو المعلومات الحساسة ، بما في ذلك من النواة.
على الرغم من أن الموقع الألماني لم يكشف عن اسم الباحثين الأمنيين (أو الفريق / الشركة) الذين أبلغوا عن هذه العيوب إلى شركة إنتل ، إلا أنه كشف عن اكتشاف أحد نقاط الضعف من قبل باحث أمني في مشروع غوغل زيرو.
زعم الموقع أيضًا أن الباحث في Google للأمان قد أبلغ عن وجود خلل في مصنعي الرقائق منذ 88 يومًا تقريبًا - مما يشير إلى أن الباحث قد يكشف عن تفاصيل خطأ واحد على الأقل يوم 7 مايو ، عندما يتم إغلاق نافذة الكشف لمدة 90 يومًا ، وهو اليوم قبل يوم الثلاثاء تصحيح ويندوز.
من المؤكد أن الكشف عن نقاط الضعف في شبكة سبيكتر NG بالنسبة للبائعين هو ممارسة جيدة ، لكن يبدو أن الباحثين الذين اكتشفوا السلسلة الجديدة من العيوب من فئة سبكتر ، يتجنبون ذكر أسمائهم في وقت مبكر - ربما لمنع الانتقادات الإعلامية المشابهة لتلك التي يواجهها مختبرات CTS بعد أن كشفت تفاصيل جزئية عن عيوب AMD مع موقع مخصص ورسومات جميلة ومقاطع فيديو.
استجابة إنتل لعيوب Spectre-NG
لا يهم. عندما سئل إنتل عن النتائج الجديدة ، فإن الشركة العملاقة لصناعة الرقاقات تقدم البيان التالي ، والذي لا يؤكد ولا ينفي وجود نقاط ضعف NG Spectrum:
"تعد حماية بيانات عملائنا وضمان أمن منتجاتنا من الأولويات الهامة بالنسبة لنا. فنحن نعمل بشكل متكرر بشكل وثيق مع العملاء والشركاء وصانعي الشرائح والباحثين الآخرين لفهم وتخفيف أي مشكلات تم تحديدها ، وينطوي جزء من هذه العملية على حجز كتل من أرقام CVE ".
"إننا نؤمن بشدة بقيمة الكشف المنسق ، وسنشارك تفاصيل إضافية حول أي مشكلات محتملة بينما نضع اللمسات النهائية على عمليات التخفيف. ونعمل كأفضل الممارسات على تشجيع الجميع على الحفاظ على تحديث أنظمتهم".
في هذه الأثناء ، عندما سأل هايز حول أرقام نقاط الضعف والتعرض الشائعة (CVE) المخصصة لنقاط الضعف في شبح NG الجديد ، رفض الصحفي مشاركة أي تفاصيل وعلق:
"CVEs هي أرقام عارية حاليًا بدون قيمة مضافة. ومن ناحية أخرى ، قد يعني نشرها خطرًا إضافيًا لمصادرنا التي أردنا تجنبها. لهذا السبب قررنا عدم الموافقة عليها في الوقت الحالي. سنقدم الدورة التدريبية ، بالتاكيد."
لا يهم. عندما سئل إنتل عن النتائج الجديدة ، فإن الشركة العملاقة لصناعة الرقاقات تقدم البيان التالي ، والذي لا يؤكد ولا ينفي وجود نقاط ضعف NG Spectrum:
"تعد حماية بيانات عملائنا وضمان أمن منتجاتنا من الأولويات الهامة بالنسبة لنا. فنحن نعمل بشكل متكرر بشكل وثيق مع العملاء والشركاء وصانعي الشرائح والباحثين الآخرين لفهم وتخفيف أي مشكلات تم تحديدها ، وينطوي جزء من هذه العملية على حجز كتل من أرقام CVE ".
"إننا نؤمن بشدة بقيمة الكشف المنسق ، وسنشارك تفاصيل إضافية حول أي مشكلات محتملة بينما نضع اللمسات النهائية على عمليات التخفيف. ونعمل كأفضل الممارسات على تشجيع الجميع على الحفاظ على تحديث أنظمتهم".
في هذه الأثناء ، عندما سأل هايز حول أرقام نقاط الضعف والتعرض الشائعة (CVE) المخصصة لنقاط الضعف في شبح NG الجديد ، رفض الصحفي مشاركة أي تفاصيل وعلق:
"CVEs هي أرقام عارية حاليًا بدون قيمة مضافة. ومن ناحية أخرى ، قد يعني نشرها خطرًا إضافيًا لمصادرنا التي أردنا تجنبها. لهذا السبب قررنا عدم الموافقة عليها في الوقت الحالي. سنقدم الدورة التدريبية ، بالتاكيد."
تستعد لالبوص الأمنية الجديدة
ويقال إن ثغرات شبح NG تؤثر على معالجات إنتل ، وهناك أيضا مؤشرات على أن بعض معالجات ARM معرضة للمشاكل ، ولكن التأثير على معالجات AMD لم يتم تأكيده بعد.
ووفقًا للموقع الألماني ، فقد اعترفت شركة إنتل بالفعل بأوجه الضعف الجديدة في شركة Specter NG وتعتزم إطلاق بقع أمان في الأشخاص الذين يتحولون - أحدهما في مايو والثاني من المقرر حاليًا في أغسطس.
وتخطط Microsoft أيضًا لحل المشكلات عن طريق إصدار تصحيح أمان مع تحديثات Windows في الأشهر القادمة.
ومع ذلك ، من غير المعروف حاليًا ما إذا كان تطبيق التصحيحات الجديدة سيؤثر مرة أخرى على أداء الأجهزة الضعيفة ، تمامًا مثلما حدث مع ثغرات اختراق نظامي Specter and Meltdown في وقت سابق من هذا العام.
ويقال إن ثغرات شبح NG تؤثر على معالجات إنتل ، وهناك أيضا مؤشرات على أن بعض معالجات ARM معرضة للمشاكل ، ولكن التأثير على معالجات AMD لم يتم تأكيده بعد.
ووفقًا للموقع الألماني ، فقد اعترفت شركة إنتل بالفعل بأوجه الضعف الجديدة في شركة Specter NG وتعتزم إطلاق بقع أمان في الأشخاص الذين يتحولون - أحدهما في مايو والثاني من المقرر حاليًا في أغسطس.
وتخطط Microsoft أيضًا لحل المشكلات عن طريق إصدار تصحيح أمان مع تحديثات Windows في الأشهر القادمة.
ومع ذلك ، من غير المعروف حاليًا ما إذا كان تطبيق التصحيحات الجديدة سيؤثر مرة أخرى على أداء الأجهزة الضعيفة ، تمامًا مثلما حدث مع ثغرات اختراق نظامي Specter and Meltdown في وقت سابق من هذا العام.
Commentaires
Enregistrer un commentaire