Oracle i IBM potwierdzają, że ich procesory też są podatne na atak Spectre

Mamy nowe informacje na temat ataków, związanych z zarządzaniem pamięcią w procesorach. Tym razem problemy dotyczą serwerów Oracle i IBM, a także prawdopodobnie innych producentów sprzętu dla centrów danych. Procesory SPARCv9 i IBM Power są podatne na atak typu Spectre. Oracle ostrzega swoich użytkowników przed zagrożeniem, IBM także wydało komunikat, w którym zapowiedziało wprowadzenie poprawek na początku lutego.
Modern Datacenter

Modern Datacenter

Procesory IBM Power i Oracle SPARCv9 również z luką (fot. IBM)

Oracle prosi swoich klientów, aby ograniczyli liczbę użytkowników z przydzielonymi uprawnieniami do uruchamiania kodu na serwerach. Firma w tym miesiącu wgrała 222 poprawki bezpieczeństwa, z czego 135 dotyczyło zdalnego wykonywania kodu. 5 najpoważniejszych dziur znaleziono w oprogramowaniu Apache. 10 procent wszystkich poprawek ma związek z programem do sporządzania logów Log4j. Zagrożone są serwery plików NAS typu Synology, QNAP, Asustor i inne pracujące na procesorach ARM i x86.

Oracle pracuje nad poprawkami (graf. Oracle)

IBM udostępni 7 lutego aktualizację firmware’u dla procesorów POWER7+, POWER8 i POWER9. Nieco później, 12 lutego, pojawią się aktualizacje systemów operacyjnych tej firmy. Łatki dla Linuxa są już gotowe i można je zainstalować. O ile Meltdown dotyka tylko procesorów Intela, to na atak Spectre narażona jest znacznie większa grupa układów. Poza Intelem chodzi o CPU AMD, ARM, a teraz także o wydajne procesory, używane w centrach danych IBM i Oracle.

IBM udostępni aktualizacje 7 i 12 lutego (fot. Daniel Kaesler)

Spectre – w porównaniu z Meltdown – jest bardziej wyrafinowaną metodą ataku. Aby go przeprowadzić, trzeba znaleźć lukę w oprogramowaniu, które ma uprawnienia do korzystania z poleceń jądra systemu. W przypadku środowiska serwerowego takie operacje są bardzo częste, a szukanie luk jest zdecydowanie trudniejsze. Aby uniknąć kradzieży danych, użytkownicy powinni ograniczyć używanie programów od innych dostawców oraz regularnie przeglądać logi serwera. | CHIP