Neue Intel-Bugs
Spectre Next Generation
Sicherheitsforscher haben neue kritische Sicherheitslücken in Intel-CPUs entdeckt, die teilweise gefährlicher sind als die Vorgänger Spectre und Meltdown – es trifft vor allem Cloud-Anbieter.
Gut fünf Monate nach Bekanntwerden der schwerwiegenden Schwachstellen Spectre und Meltdown geht das Spiel wieder von vorne los: Forscher haben acht neue Sicherheitslücken in Intel-Prozessoren gefunden, »Spectre NG« genannt. Eine davon vereinfacht Angriffe über Systemgrenzen hinweg so stark, dass das Bedrohungspotenzial deutlich höher eingestuft wird als bei Spectre. Durch die Lücke werde ein Angriff nicht mehr nur theoretisch möglich, sondern in der Praxis sehr erleichtert. Sie soll es Angreifern ermöglichen, über eine virtuelle Maschine einen Schadcode zu starten, um von dort aus das eigentliche System anzugreifen. So ließe sich etwa Zugriff auf den Host-Rechner erlangen oder die auf dem gleichen Server laufenden VMs anderer Kunden angreifen. Begehrte Ziele sind daher vor allem Cloud-Systeme, Sicherheitspasswörter zu anderen Systemen oder Schlüssel für sichere Datenübertragungen. Angriffe über virtuelle Maschinen waren zwar schon mit Spectre möglich, jedoch nur mit sehr viel Vorwissen. Besonders betroffen sind von Spectre NG also Anbieter von Cloud-Diensten wie Amazon oder Cloudflare und deren Kunden. Die konkrete Gefahr für Privatanwender und PCs in Unternehmen wird hingegen als eher gering eingestuft.
Intel empfahl den Anwendern, die Systeme auf dem neuesten Stand zu halten, es stehen aber für die aktuellen Lücken noch keine Patches zur Verfügung. Der Chiphersteller will jedoch noch im Mai erste Patches veröffentlichen. Bei der Bereitstellung der Spectre-Updates gab es zahlreiche Pannen, trotz mehreren Wochen Vorlauf. Darüber hinaus reduzieren einige der Patches spürbar die Performance. Es bleibt abzuwarten, ob die Updates im Fall von Spectre NG besser gelingen. AMD prüft derzeit noch, ob auch eigene CPUs mit Spectre-NG angreifbar sind. ARM hat sich noch nicht dazu geäußert.
Security-Papst Bruce Schneier hatte es geahnt: »Spectre und Meltdown sind ziemlich katastrophale Schwachstellen, betreffen aber nur die Vertraulichkeit der Daten. Jetzt haben die Lücken den Forschern gezeigt, wo sie hinschauen müssen. Es wird Neues kommen – und was sie finden werden, wird schlimmer sein als Spectre oder Meltdown.«
Lesen Sie mehr zum Thema
