E’ stata scoperta una nuova vulnerabilità nei microprocessori impiegati comunemente nei personal computer.
Le CPU interessate sono quelle prodotte da Intel dal 2011 in poi, e non interessano i prodotti ARM ed AMD. Intel in un comunicato ufficiale ha dichiarato che il problema – definito Microarchitectural Data Sampling – è stato già risolto nelle CPU di ottava e nona generazione.
Come per i precedenti Spectre e Meltdown, anche questa vulnerabilità sfrutta una debolezza della esecuzione speculativa, una caratteristica finalizzata al miglioramento delle prestazioni di calcolo. In pratica, con questa funzione attiva la CPU esegue in anticipo alcune operazioni per guadagnare tempo, parcheggiando i dati in una memoria tampone. La vulnerabilità consente a del codice malevolo di accedere illegittimamente a questa memoria tampone, e quindi di poter leggere dati altrimenti riservati.
Sul sito dei ricercatori che l’hanno scoperta, zombieloadattack.com, un video mostra come un programma esterno sia in grado di estrarre dal browser web in tempo reale i dati dei siti web visitati.
E’ evidente che la stessa vulnerabilità può essere usata per accedere ad ogni tipo di dato, come password, documenti o chiavi crittografiche.
I principali produttori di software hanno già rilasciato delle patch per limitare i danni. E’ quindi importante procedere all’aggiornamento dei sistemi operativi nel più breve tempo possibile.
Come già per Spectre e Meltdown, le patch avranno un leggero impatto sulle prestazioni globali: secondo Intel circa il 3% per i computer domestici, qualcosa in più per i server.
E’ vero che le fosche previsioni della prima ora di Spectre e Meltdown non si sono concretizzate. In effetti, al di là del clamore suscitato, la presenza di questi errori progettuali non ha ad oggi prodotto grossi danni – non sono ancora stati scoperti seri attacchi che le utilizzino. Non è però una cosa da prendere sotto gamba: il rischio è significativo, ed aggiornare è d’obbligo.
Sarà l’ultima?
A me pare abbastanza probabile che l’area della esecuzione speculativa, la caratteristica delle CPU alla base di tutte le ultime vulnerabilità, possa riservarci ancora altre sorprese.
La grafica è di Michael Schartz/zombieloaattack.com
