Aggiornamenti anti-Spectre per tutti i browser

Gen 09, 2018 Marco Schiaffino News, Vulnerabilità 0

Gli sviluppatori corrono ai ripari introducendo aggiornamenti che mitigano il rischio. Safari, Edge e Firefox già pacthati. Per Chrome si aspetta…

Se la vulnerabilità Meltdown dei processori Intel (anche se con qualche problema) sembra essere stata risolta dagli aggiornamenti rilasciati dai maggiori produttori di sistemi operativi, per quanto riguarda Spectre le cose sembrano essere più complicate.

Come hanno spiegato i ricercatori che hanno studiato la tecnica di attacco, Spectre è più difficile da sfruttare, ma è potenzialmente più pericolosa. Soprattutto perché, a differenza di Meltdown, non richiede di avere già accesso al sistema ma può essere utilizzata in remoto, per esempio attraverso una pagina Web.

Spectre, in realtà, comprende due possibili varianti. La seconda (CVE-2017-5715) rappresenta un problema per i sistemi di virtualizzazione e i servizi cloud, ma in questo ambito c’è la ragionevole certezza che tutti i fornitori di servizi si stiano già dando da fare.

La prima (CVE-2017-5753), invece, è quella che potrebbe essere sfruttata attraverso un semplice JavaScript e colpisce direttamente il browser dell’utente. Non è un caso, quindi, che i primi a preoccuparsi di contrastare eventuali attacchi che sfruttano questa tecnica siano proprio gli sviluppatori di browser.

Il doppio volto di Spectre: una delle falle interessa i servizi di virtualizzazione, ma a preoccupare di più è quella che colpisce i browser.

Apple ha annunciato di aver introdotto misure “anti-Spectre” con gli ultimi aggiornamenti per iOS (11.2.2) e macOS (High Sierra 10.13.2). Anche Safari ha ricevuto un update alla versione 11.0.2 che contiene “strumenti di mitigazione” per gli attacchi basati su Spectre.

Lo stesso (anche qui si parla di “parziale mitigazione”) hanno fatto gli sviluppatori di Firefox, che è ora disponibile nella versione 57.0.4. Si tratta di una soluzione di breve periodo, che introduce alcune modifiche nel browser per rendere più difficile un eventuale attacco.

Modifiche pressochè identiche anche per Edge e Internet Explorer 11, che Microsoft ha messo in campo co il primo aggiornamento dell’anno per i sistemi Windows.

Per quanto riguarda Chrome, bisognerà aspettare il 23 gennaio quando Google pubblicherà la versione 64 del browser in cui la funzione SharedArrayBuffer sarà disabilitata come opzione predefinita (ma nel post che tratta la questione si parla di un primo intervento introdotto già lo scorso 5 gennaio).

Per il momento Google invita gli utenti ad attivare la funzione Strict site isolation digitando chrome://flags#enable-site-per-process nela barra degli indirizzi e abilitando la funzione relativa. In questo modo Chrome limiterà ogni processo a pagine di un solo sito, riducendo il rischio che informazioni sensibili siano “dirottate” da un JavaScript che sfrutta Spectre.

La funzione viene descritta come “sperimentale” ma, vista la situazione, vale la pena attivarla. Aspettiamoci qualche rallentamento. La funzione viene descritta come “sperimentale” ma, vista la situazione, vale la pena attivarla. Aspettiamoci qualche rallentamento.

Insomma, l’impressione è che si navighi ancora a vista e che una soluzione definitiva sia ancora piuttosto lontana. E se consideriamo che dalle parti di Google stanno lavorando sulla questione dallo scorso giugno, possiamo capire quanto tutto sia complicato.

Condividi l'articolo