giovedì 25 gennaio 2018

Spectre e Meltdown: lo stato dell'arte

Torno oggi, a distanza di circa un mese dalla "disclosure" di questi problemi ormai noti anche attraverso la stampa generalista (CVE-2017-5753, CVE-2017-5715, CVE-2017-5754), per cercare di fare il punto della situazione a proposito delle soluzioni (patch, mitigation) ad oggi disponibili.

Firmware / Microcodice

Dopo un'iniziale euforia, le correzioni al firmware / microcodice predisposte da Intel, propagate tramite i fornitori hardware e incluse negli aggiornamenti dei sistemi sono state ritirate, ripristinando ove possibile la versione precedente senza patch, a causa dell'incompatibilità con alcune combinazioni hardware / software (alcuni sistemi diventavano inutilizzabili, soggetti a frequenti riavvii e a malfunzionamenti vari). Al momento non è chiaro quando saranno disponibili versioni di firmware / microcodice applicabili alla generalità dei sistemi.

Software

Per quanto riguarda il software:
  • Per i sistemi Linux (varie "distribuzioni", cito a titolo di esempio non esaustivo: Ubuntu, Debian, Devuan, Arch, Red Hat senza escludere tutte le altre) si è riusciti a fornire aggiornamenti del Kernel (la parte strettamente Linux) che risolvono o mitigano due delle tre vulnerabilità: Meltdown (CVE-2017-5754) e Spectre Variant 1 (CVE-2017-5753). La soluzione o mitigazione del problema Spectre Variant 2 (CVE-2017-5715) richiede invece, oltre a correzioni software già presenti e distribuite con le più recenti versioni del Kernel, anche la presenza di firmware / microcodice opportunamente aggiornato, la cui distribuzione è stata bloccata da Intel, come detto nel paragrafo precedente.
  • Per i sistemi Windows, la situazione è pressoché analoga, per le versioni per le quali Microsoft distribuisce regolarmente gli aggiornamenti (segnatamente Windows 10). Anche in questo caso, per Spectre Variant 2 (CVE-2017-5715) niente si può fare finché Intel non distribuirà il firmware / microcodice aggiornato.


Sintesi e conclusioni


  • I problemi Spectre Variant 1 e Spectre Variant 3 (detto anche Meltdown) sono stati corretti o mitigati tramite correzioni software già distribuite (per chi ha gli aggiormenti attivi).
  • Il problema Spectre Variant 2 richiede la disponibilità di Firmware / Microcodice aggiornato, ad oggi non disponibile: Intel ha dichiarato che sarà disponibile a breve (per quanto ne so, senza indicazione di una data esatta).

Riferimenti