В процессорах Intel (а также AMD и ARM) обнаружилась аппаратная уязвимость, из-за которой злоумышленники могут получить доступ к к памяти ядра, где содержится конфиденциальная информация. Под угрозой – устройства, работающие на Windows, Linux и macOS, при этом ликвидация уязвимости может замедлить их производительность на треть.
Первым о критической уязвимости в процессорах, выпущенных Intel, сообщило издание The Register. Уязвимость, обнаруженная в аппаратуре архитектуры x86–64, позволяет пользовательским программам «видеть», что содержится в памяти ядра, где хранятся, например, пароли и логины, а также другие секретные данные. Позднее выяснилось, что баг касается также процессоров AMD и ARM. В AMD утверждают, что их процессоры не подвержены уязвимости.
Чтобы избавиться от уязвимости, пользователю нужно обновление на уровне операционной системы или покупка нового чипа, указывал The Register. Помимо всех устройств под управлением Windows, Linux и 64-битной macOS, риску подвергаются облачные сервисы, в том числе Amazon EC2, Microsoft Azure и Google Compute Engine.
Разработчики из Google Project Zero рассказали подробности о баге, из-за которого на пользовательские устройства могут совершить два типа атак под условными названиями Meltdown и Spectre. Первая нарушает границу между приложениями и внутренней памятью ОС (и дает доступ к данным в памяти операционной системы), вторая нарушает границу между самими приложениями (в результате один сервис может получить доступ к данным второго).
Обновление, которое поможет побороть уязвимость процессоров, может существенно замедлить работу устройств – по оценкам The Register, на 5–30%. The Verge пишет, что пользователи, у которых установлены более современные процессоры Intel (например, представленные осенью 2015 года Intel Skylake), снижения производительности почти не заметят.
В Misrosoft выпустили экстренное обновление для Windows 7, 8 и 10, которое поможет избавиться от уязвимостей, которые затрагивают все поддерживаемые аппаратные чипы от Intel, ARM и AMD. В компании подчеркнули, что не получали данных об атаках пользователей с использованием этой уязвимости. Что касается macOS, корпорация Apple частично закрыла уязвимость в обновлении операционной системы от 6 декабря. Обновление для Linux также выпущено.