Aggiornamenti recenti Luglio 4th, 2025 3:43 PM
Apr 04, 2018 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 1
Ci avevano detto che sarebbe stata una faccenda complicata, ma la vicenda legata alle vulnerabilità Spectre e Meltdown sta raggiungendo sviluppi degni di una sit-com anni ’80.
Vero è che le vulnerabilità individuate all’inizio dell’anno riguardano aspetti “profondi” del funzionamento delle moderne CPU, ma a guardare ciò che sta succedendo nel mondo dell’IT a seguito della pubblicazione delle vulnerabilità viene da chiedersi se tutti non potessero fare un respiro profondo prima di buttarsi in una corsa all’aggiornamento che ormai rasenta il comico.
Partiamo da Microsoft. L’azienda di Redmond ha pubblicato gli aggiornamenti per correggere Meltdown a tempo di record (anche se con qualche complicazione di troppo) portando tutti a pensare che la falla di sicurezza che affligge le sole CPU di Intel fosse tutto sommato la più facile da contrastare.
Tutto sbagliato. A distanza di poche settimane (la prima patch è stata rilasciata a gennaio) si scopre che gli aggiornamenti (sia quello di gennaio, sia quello di febbraio) tappavano un buco ma aprivano una nuova voragine (CVE-2018-1038) in Windows 7 e Windows Server 2008 R2, scardinando uno dei sistemi di sicurezza che dovrebbe “contenere” le informazioni sensibili nell’area protetta della CPU.
Ora viene fuori non solo che l’aggiornamento di marzo (KB4088878) non aveva risolto del tutto il problema, ma che anche il seguente (KB4100480, realizzato appositamente per correggere il precedente) ha lasciato dei “buchi” e, nel dettaglio, non potrebbe essere installato attraverso Windows Server Update Services.
Diciamo che la frase “Installando questo aggiornamento fornito da Microsoft sarà possibile proteggere il sistema” era un po’ ottimistica.
Microsoft ora ha annunciato un ulteriore patch (prevista a giorni) che dovrebbe mettere fine alla saga. E speriamo che la quarta volta sia quella buona…
Dalle parti di Intel, però, le cose non vanno molto meglio. Dopo le polemiche legate al presunto calo di prestazioni delle sue CPU e al litigio con Linus Torvalds sulla via da seguire per proteggere i processori dagli attacchi basati su Spectre, sembrava che le cose si avviassero a una soluzione, grazie anche all’aiuto di Microsoft nella distribuzione degli aggiornamenti del Microcode che consentirebbero di mitigare il rischio di attacchi basati su Spectre.
L’idea di base, insomma, era che Intel fosse in grado di rilasciare aggiornamenti del firmware che risolvessero il problema per i processori già in circolazione e lavorasse per eliminare il bug CVE-2017-5715 in quelli di prossima produzione.
L’ultimo documento-guida pubblicato da Intel, però, disattende le aspettative. Il produttore, infatti, avrebbe bloccato lo sviluppo degli aggiornamenti per alcune famiglie di CPU.
Le motivazioni? Alcuni dei processori in questione, a quanto si legge, hanno un Microcode con caratteristiche tali da impedire l’implementazione delle correzioni. Altri hanno un livello di supporto “limitato”, che rende problematico l’aggiornamento.
L’ultimo caso, infine, è quello che sfonda decisamente la barriera del ridicolo e lo citiamo letteralmente: “Sulla base di quanto riportato dagli utenti, molti di questi prodotti sono stati implementati come “sistemi chiusi” e di conseguenza ci si aspetta che siano difficilmente esposti ad attacchi basati su queste vulnerabilità”.
La giustificazione inserita nell’introduzione del documento-guida è di quelle che lasciano davvero perplessi.
Il ragionamento, qui, è il seguente: visto che Spectre v.2 può essere sfruttato solo nel caso in cui un computer è stato compromesso da un malware, se il computer in questione non rischia di essere infettato non serve realizzare una patch.
Andando a guardare l’elenco dei processori per cui è stato bloccato lo sviluppo degli aggiornamenti si nota infatti che molti di questi sono CPU dedicati al settore enterprise (a partire dagli Xeon, ma ci sono dentro anche molti Celeron un po’ datati) che molto probabilmente “girano” su sistemi che non sono esposti direttamente su Internet. Di qui a considerarli “sicuri”, però, ne passa parecchio.
Giu 25, 2025 0
Giu 11, 2025 0
Giu 03, 2025 0
Apr 16, 2025 0
Lug 04, 2025 0
Lug 03, 2025 0
Lug 02, 2025 0
Lug 01, 2025 0
Lug 03, 2025 0
Recentemente il team Satori Threat Intelligence di HUMAN ha...Giu 09, 2025 0
La cybersecurity sta acquisendo sempre più importanza tra...Mag 30, 2025 0
Nel 2024, le piccole e medie imprese, spesso considerate il...Mag 27, 2025 0
MATLAB ha smesso di funzionare per quasi una settimana e...Mag 27, 2025 0
Nel corso del “TRU Security Day 2025” di...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Lug 04, 2025 0
Il Sinaloa, un cartello messicano, è riuscito ad...Lug 03, 2025 0
Recentemente il team Satori Threat Intelligence di HUMAN ha...Lug 02, 2025 0
Secondo quanto riportato da un articolo di Bloomberg, un...Lug 01, 2025 0
In un documento congiunto rilasciato ieri, la CISA,...Giu 30, 2025 0
I ricercatori di Koi Security hanno individuato una...
One thought on “Microsoft e Intel ancora nei guai per Meltdown e Spectre”