Spectre Variant 4 è ufficiale: patch da Intel e AMD
Resa pubblica una quarta variante della vulnerabilità Spectre: la patch c'è ma non è attiva di default
Intel e AMD hanno ufficializzato la scoperta di una nuova variante della vulnerabilità Spectre che colpisce alcuni loro processori. La nuova "falla" è stata battezzata Spectre Variant 4 ed è stata scoperta da Google Project Zero e dal Microsoft Security Response Center. Non è chiaro se sia tra le vulnerabilità citate dal magazine tedesco c't e segnalate anche dalla BSI tedesca.
Spectre Variant 4 si basa, come le altre versioni di Spectre, su uno sfruttamento improprio delle tecniche di speculative execution dei moderni processori. In questo caso le CPU vengono "ingannate" da una sequenza ad hoc di operazioni di caricamento e di lettura di dati dalla memoria di un computer-bersaglio. Dato il meccanismo di funzionamento, la vulnerabilità è tecnicamente definita di Speculative Store Bypass (SSB).
Spectre Variant 4, come le altre vulnerabilità del suo genere, rappresenta un fattore di rischio potenziale per gli ambienti cloud e per gli attacchi via web browser mediante runtime (essenzialmente JavaScript). Le patch già distribuite in precedenza per Spectre e Meltdown dovrebbero contribuire a bloccare anche la nuova variante.
Sono state comunque sviluppate patch specifiche per Spectre Variant 4, costituite dalla combinazione di un update del microcodice dei processori e di aggiornamenti software per i sistemi operativi principali. Intel però spiega che questa protezione aggiuntiva sarà disattivata per default perché introduce un degrado delle prestazioni stimato del 2-8%.
La scelta di non attivare questa patch specifica deriva dal fatto che Spectre Variant 4 viene considerata a basso rischio - Intel tra l'altro spiega che non sono stati rilevati exploit circolanti in rete - di fronte alla certezza di una flessione delle performance dei sistemi "corretti". I produttori di computer, chipset e schede madri preferiscono quindi lasciare agli utenti la scelta se sentirsi più sicuri o puntare alle massime prestazioni possibili.
Spectre Variant 4 si basa, come le altre versioni di Spectre, su uno sfruttamento improprio delle tecniche di speculative execution dei moderni processori. In questo caso le CPU vengono "ingannate" da una sequenza ad hoc di operazioni di caricamento e di lettura di dati dalla memoria di un computer-bersaglio. Dato il meccanismo di funzionamento, la vulnerabilità è tecnicamente definita di Speculative Store Bypass (SSB).
Spectre Variant 4, come le altre vulnerabilità del suo genere, rappresenta un fattore di rischio potenziale per gli ambienti cloud e per gli attacchi via web browser mediante runtime (essenzialmente JavaScript). Le patch già distribuite in precedenza per Spectre e Meltdown dovrebbero contribuire a bloccare anche la nuova variante.
Sono state comunque sviluppate patch specifiche per Spectre Variant 4, costituite dalla combinazione di un update del microcodice dei processori e di aggiornamenti software per i sistemi operativi principali. Intel però spiega che questa protezione aggiuntiva sarà disattivata per default perché introduce un degrado delle prestazioni stimato del 2-8%.
La scelta di non attivare questa patch specifica deriva dal fatto che Spectre Variant 4 viene considerata a basso rischio - Intel tra l'altro spiega che non sono stati rilevati exploit circolanti in rete - di fronte alla certezza di una flessione delle performance dei sistemi "corretti". I produttori di computer, chipset e schede madri preferiscono quindi lasciare agli utenti la scelta se sentirsi più sicuri o puntare alle massime prestazioni possibili.
Notizie correlate
Speciali Tutti gli speciali
Calendario Tutto
Mag 07
Huawei Italy Enterprise Roadshow 2024 - Roma
Mag 07
Italian Project Awards 2023 - Le premiazioni!
Mag 08
Road to NIS2 - Padova
Mag 09
IDC Future of Digital Infrastructure Forum 2024
Mag 09
Huawei Italy Enterprise Roadshow 2024 - Caserta
Mag 14
Huawei Italy Enterprise Roadshow 2024 - Aci Castello
Mag 16
Road to NIS2 - Roma
Mag 21
WithSecure - Gestione delle Vulnerabilità e Regolamentazione NIS2
Mag 23
AWS Summit 2024 - Milano
Magazine Tutti i numeri
G11 Media Networks
ImpresaCity e' un canale di BitCity, testata giornalistica registrata presso il tribunale di Como ,
n. 21/2007 del
11/10/2007- Iscrizione ROC n. 15698
G11 MEDIA S.R.L.
Sede Legale Via NUOVA VALASSINA, 4 22046 MERONE (CO) - P.IVA/C.F.03062910132
Registro imprese di Como n. 03062910132 - REA n. 293834 CAPITALE SOCIALE Euro 30.000 i.v.
