Manipulation ermöglicht Datendiebstahl 11. Mrz 2020 Von Jens D. Billerbeck

Neue Sicherheitslücke bei Intel-Chips

Verschiedene Forscherteams haben eine weitere gravierende Schwachstelle in aktuellen Prozessoren identifiziert und beschrieben: Mittels einer neuen Angriffsmethode namens „Load Value Injection in the Line Fill Buffers“ (LVI-LFB) können versierte Hacker gezielt Daten in Rechenzentren stehlen, ohne Spuren zu hinterlassen.


Foto: panthermedia.net/maxkabakov

Wie der IT-Sicherheitsspezialist Bitdefender gestern mitteilte, basiert die neue Angriffsmöglichkeit ähnlich der vor zwei Jahren entdeckten Lücken „Meltdown“ und „Spectre“ auf der Manipulation leistungssteigernder Hardwarefunktionen in den Prozessoren. Anders als bei den beiden älteren Lücken soll LVI-LFB jedoch den gezielten Zugriff auf Daten ermöglichen.

Nach den Informationen von Bitdefender betrifft die neue Angriffsmethode alle modernen Intel-Prozessoren in Servern, Desktops und Laptops, die zwischen 2012 und 2020 produziert wurden – also einschließlich jener, die nach Bekanntwerden von Meltdown und Spectre hergestellt wurden. Die Attacke könne sich nach den vorliegenden Informationen besonders verheerend in Rechenzentren sowie öffentlichen und privaten Clouds auswirken. Denn in solchen Umgebungen, in denen Abteilungen und Organisationen Hardware gemeinsam nutzen, kann ein Angreifer, auch wenn er nur über geringe Berechtigungen verfügt, sensible Informationen eines anderen Nutzers oder einer anderen virtuellen Umgebung ausspionieren.

Abwehr gegen Spectre und Meltdown reicht nicht

Nach Aussage von Bogdan Botezatu, leitender Bedrohungsanalyst bei Bitdefender, reichen vorhandene Abwehrmaßnahmen für bereits bekannte Seitenkanalattacken nicht aus, um die Sicherheitslücke zu schließen: „Vollständig schließen lässt sich die Sicherheitslücke nur durch Austausch der Hardware oder durch Deaktivierung von Funktionen wie Hyperthreading und damit einhergehenden erheblichen Leistungseinbußen.“

Bitdefender hat die Sicherheitslücke nach eigenen Angaben am 10. Februar 2020 an Intel berichtet. Der Chiphersteller war jedoch zuvor schon im April 2019 von verschiedenen Forschern auf den Angriffsweg aufmerksam gemacht worden. Forscher der Katholieke Universiteit Leuven sagten der dpa gestern, man habe ein ungewöhnlich langes Stillschweigen vereinbart, damit der Chipkonzern Gegenmaßnahmen ergreifen konnte. Endanwender seien auf der sicheren Seite, wenn ihre Prozessoren mit den empfohlenen Software-Updates liefen, betonten sie. Allerdings sei die Software für die Sicherheitselemente dadurch zum Teil deutlich langsamer geworden.

Whitepaper erläutert Szenarien

In einer koordinierten Offenlegung ist die Sicherheitslücke dann gestern unter der Kennung CVE-2020-0551 veröffentlicht worden. Dazu Botezatu: „Dass verschiedene Teams unabhängig voneinander diesen Angriffsweg entdeckt haben, spricht Bände über die Gefahr, dass er jetzt und in Zukunft für Cyberspionage zum Einsatz kommt.“

Ein ausführliches Whitepaper von Bitdefender zu LVI-LFB mit dem Titel „Load Value Injection in the Line Fill Buffers: How to Hijack Control Flow without Spectre“ enthält vier Bedrohungsszenarien, die sich aus der Schwachstelle ergeben und ist kostenlos verfügbar.

Ein Beitrag von:

Stellenangebote

TecMed Deutschland GmbH

Teamleiter Qualitätssicherung (m/w/d)

Schwerin
TecMed Deutschland GmbH

Prozessingenieur (m/w/d)

Schwerin
Universität Bremen und Leibniz-Institut für Werkstofforientierte Technologien (IWT)

Professur (w/m/d) Bes.Gr. W2 mit Tenure Track auf W3 - Fachgebiet Wissensbasierte Digitalisierung in der werkstofforientierten Produktion

Bremen
HDI

Ingenieur:in Kraftwerkstechnik Inbetriebnahme Gas- und Dampfturbinenanlagen

Hannover
Berufsgenossenschaftliche Unfallklinik Tübingen

Projektleiter Brandschutz (m/w/d)

Tübingen
Verkehrsbetriebe Karlsruhe GmbH

Vermessungsingenieur*in (m/w/d)

Karlsruhe
Bundesanstalt für Straßenwesen

Pädagogin / Pädagoge, Psychologin / Psychologe, Bildungswissenschaftlerin / Bildungswissenschaftler, Geisteswissenschaftlerin / Geisteswissenschaftler, Sozialwissenschaftler / Sozialwissenschaftler (m/w/d) (Master/Uni-Diplom/Staatsexamen)

Bergisch Gladbach
Kraftfahrt-Bundesamt (KBA)

Ingenieurinnen/Ingenieure (Fh-Diplom/Bachelor) (m/w/d) Fachrichtungen Kraftfahrzeugtechnik, Elektrotechnik, Maschinenbau

Dresden
Erbe Elektromedizin GmbH

Technischer Einkäufer (m/w/d) in der Entwicklung

Rangendingen
MITNETZ Strom mbH

Ingenieur Zentrale Leittechnik (m/w/d)

Taucha in der Nähe von Leipzig
Zur Jobbörse

Das könnte Sie auch interessieren

Empfehlungen des Verlags

Top 5 aus der Kategorie Informationstechnik