Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Apr 04, 2018 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 1
Ci avevano detto che sarebbe stata una faccenda complicata, ma la vicenda legata alle vulnerabilità Spectre e Meltdown sta raggiungendo sviluppi degni di una sit-com anni ’80.
Vero è che le vulnerabilità individuate all’inizio dell’anno riguardano aspetti “profondi” del funzionamento delle moderne CPU, ma a guardare ciò che sta succedendo nel mondo dell’IT a seguito della pubblicazione delle vulnerabilità viene da chiedersi se tutti non potessero fare un respiro profondo prima di buttarsi in una corsa all’aggiornamento che ormai rasenta il comico.
Partiamo da Microsoft. L’azienda di Redmond ha pubblicato gli aggiornamenti per correggere Meltdown a tempo di record (anche se con qualche complicazione di troppo) portando tutti a pensare che la falla di sicurezza che affligge le sole CPU di Intel fosse tutto sommato la più facile da contrastare.
Tutto sbagliato. A distanza di poche settimane (la prima patch è stata rilasciata a gennaio) si scopre che gli aggiornamenti (sia quello di gennaio, sia quello di febbraio) tappavano un buco ma aprivano una nuova voragine (CVE-2018-1038) in Windows 7 e Windows Server 2008 R2, scardinando uno dei sistemi di sicurezza che dovrebbe “contenere” le informazioni sensibili nell’area protetta della CPU.
Ora viene fuori non solo che l’aggiornamento di marzo (KB4088878) non aveva risolto del tutto il problema, ma che anche il seguente (KB4100480, realizzato appositamente per correggere il precedente) ha lasciato dei “buchi” e, nel dettaglio, non potrebbe essere installato attraverso Windows Server Update Services.
Diciamo che la frase “Installando questo aggiornamento fornito da Microsoft sarà possibile proteggere il sistema” era un po’ ottimistica.
Microsoft ora ha annunciato un ulteriore patch (prevista a giorni) che dovrebbe mettere fine alla saga. E speriamo che la quarta volta sia quella buona…
Dalle parti di Intel, però, le cose non vanno molto meglio. Dopo le polemiche legate al presunto calo di prestazioni delle sue CPU e al litigio con Linus Torvalds sulla via da seguire per proteggere i processori dagli attacchi basati su Spectre, sembrava che le cose si avviassero a una soluzione, grazie anche all’aiuto di Microsoft nella distribuzione degli aggiornamenti del Microcode che consentirebbero di mitigare il rischio di attacchi basati su Spectre.
L’idea di base, insomma, era che Intel fosse in grado di rilasciare aggiornamenti del firmware che risolvessero il problema per i processori già in circolazione e lavorasse per eliminare il bug CVE-2017-5715 in quelli di prossima produzione.
L’ultimo documento-guida pubblicato da Intel, però, disattende le aspettative. Il produttore, infatti, avrebbe bloccato lo sviluppo degli aggiornamenti per alcune famiglie di CPU.
Le motivazioni? Alcuni dei processori in questione, a quanto si legge, hanno un Microcode con caratteristiche tali da impedire l’implementazione delle correzioni. Altri hanno un livello di supporto “limitato”, che rende problematico l’aggiornamento.
L’ultimo caso, infine, è quello che sfonda decisamente la barriera del ridicolo e lo citiamo letteralmente: “Sulla base di quanto riportato dagli utenti, molti di questi prodotti sono stati implementati come “sistemi chiusi” e di conseguenza ci si aspetta che siano difficilmente esposti ad attacchi basati su queste vulnerabilità”.
La giustificazione inserita nell’introduzione del documento-guida è di quelle che lasciano davvero perplessi.
Il ragionamento, qui, è il seguente: visto che Spectre v.2 può essere sfruttato solo nel caso in cui un computer è stato compromesso da un malware, se il computer in questione non rischia di essere infettato non serve realizzare una patch.
Andando a guardare l’elenco dei processori per cui è stato bloccato lo sviluppo degli aggiornamenti si nota infatti che molti di questi sono CPU dedicati al settore enterprise (a partire dagli Xeon, ma ci sono dentro anche molti Celeron un po’ datati) che molto probabilmente “girano” su sistemi che non sono esposti direttamente su Internet. Di qui a considerarli “sicuri”, però, ne passa parecchio.
Lug 19, 2024 0
Giu 29, 2024 0
Giu 06, 2024 0
Mag 23, 2024 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 25, 2024 0
Lug 25, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...
One thought on “Microsoft e Intel ancora nei guai per Meltdown e Spectre”