Aggiornamenti recenti Dicembre 1st, 2023 2:00 PM
Apr 04, 2018 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 1
Ci avevano detto che sarebbe stata una faccenda complicata, ma la vicenda legata alle vulnerabilità Spectre e Meltdown sta raggiungendo sviluppi degni di una sit-com anni ’80.
Vero è che le vulnerabilità individuate all’inizio dell’anno riguardano aspetti “profondi” del funzionamento delle moderne CPU, ma a guardare ciò che sta succedendo nel mondo dell’IT a seguito della pubblicazione delle vulnerabilità viene da chiedersi se tutti non potessero fare un respiro profondo prima di buttarsi in una corsa all’aggiornamento che ormai rasenta il comico.
Partiamo da Microsoft. L’azienda di Redmond ha pubblicato gli aggiornamenti per correggere Meltdown a tempo di record (anche se con qualche complicazione di troppo) portando tutti a pensare che la falla di sicurezza che affligge le sole CPU di Intel fosse tutto sommato la più facile da contrastare.
Tutto sbagliato. A distanza di poche settimane (la prima patch è stata rilasciata a gennaio) si scopre che gli aggiornamenti (sia quello di gennaio, sia quello di febbraio) tappavano un buco ma aprivano una nuova voragine (CVE-2018-1038) in Windows 7 e Windows Server 2008 R2, scardinando uno dei sistemi di sicurezza che dovrebbe “contenere” le informazioni sensibili nell’area protetta della CPU.
Ora viene fuori non solo che l’aggiornamento di marzo (KB4088878) non aveva risolto del tutto il problema, ma che anche il seguente (KB4100480, realizzato appositamente per correggere il precedente) ha lasciato dei “buchi” e, nel dettaglio, non potrebbe essere installato attraverso Windows Server Update Services.
Diciamo che la frase “Installando questo aggiornamento fornito da Microsoft sarà possibile proteggere il sistema” era un po’ ottimistica.
Microsoft ora ha annunciato un ulteriore patch (prevista a giorni) che dovrebbe mettere fine alla saga. E speriamo che la quarta volta sia quella buona…
Dalle parti di Intel, però, le cose non vanno molto meglio. Dopo le polemiche legate al presunto calo di prestazioni delle sue CPU e al litigio con Linus Torvalds sulla via da seguire per proteggere i processori dagli attacchi basati su Spectre, sembrava che le cose si avviassero a una soluzione, grazie anche all’aiuto di Microsoft nella distribuzione degli aggiornamenti del Microcode che consentirebbero di mitigare il rischio di attacchi basati su Spectre.
L’idea di base, insomma, era che Intel fosse in grado di rilasciare aggiornamenti del firmware che risolvessero il problema per i processori già in circolazione e lavorasse per eliminare il bug CVE-2017-5715 in quelli di prossima produzione.
L’ultimo documento-guida pubblicato da Intel, però, disattende le aspettative. Il produttore, infatti, avrebbe bloccato lo sviluppo degli aggiornamenti per alcune famiglie di CPU.
Le motivazioni? Alcuni dei processori in questione, a quanto si legge, hanno un Microcode con caratteristiche tali da impedire l’implementazione delle correzioni. Altri hanno un livello di supporto “limitato”, che rende problematico l’aggiornamento.
L’ultimo caso, infine, è quello che sfonda decisamente la barriera del ridicolo e lo citiamo letteralmente: “Sulla base di quanto riportato dagli utenti, molti di questi prodotti sono stati implementati come “sistemi chiusi” e di conseguenza ci si aspetta che siano difficilmente esposti ad attacchi basati su queste vulnerabilità”.
La giustificazione inserita nell’introduzione del documento-guida è di quelle che lasciano davvero perplessi.
Il ragionamento, qui, è il seguente: visto che Spectre v.2 può essere sfruttato solo nel caso in cui un computer è stato compromesso da un malware, se il computer in questione non rischia di essere infettato non serve realizzare una patch.
Andando a guardare l’elenco dei processori per cui è stato bloccato lo sviluppo degli aggiornamenti si nota infatti che molti di questi sono CPU dedicati al settore enterprise (a partire dagli Xeon, ma ci sono dentro anche molti Celeron un po’ datati) che molto probabilmente “girano” su sistemi che non sono esposti direttamente su Internet. Di qui a considerarli “sicuri”, però, ne passa parecchio.
Nov 28, 2023 0
Nov 17, 2023 0
Nov 02, 2023 0
Ott 31, 2023 0
Dic 01, 2023 0
Dic 01, 2023 0
Nov 30, 2023 0
Nov 30, 2023 0
Nov 30, 2023 0
L’avvicinarsi della fine dell’anno coincide con...Nov 30, 2023 0
Gli attacchi informatici crescono in numero e in...Nov 29, 2023 0
Yarix, divisione Digital Security di Var Group, ha...Nov 27, 2023 0
Le minacce APT sono tra le più pericolose nel panorama...Nov 20, 2023 0
Secondo l’ultima ricerca di Bitdefender, le truffe...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Dic 01, 2023 0
Okta, la società americana di gestione delle identità, ha...Dic 01, 2023 0
Google ha rilasciato RETVec, uno strumento open-source per...Nov 29, 2023 0
Durante il re:Invent, la conferenza annuale di Amazon Web...Nov 28, 2023 0
Microsoft ha annunciato che Defender Application Guard for...Nov 28, 2023 0
L’autorità idrica comunale di Aliquippa, una città...
One thought on “Microsoft e Intel ancora nei guai per Meltdown e Spectre”