Schwerwiegende Intel CPU Sicherheitslücke

Opteron · 19.03.2009

Der Witz an der Sache ist, dass die Lücke erlaubt, Schadprogrammen im Ring 0 (SMM) zu laufen ... damit hat man keine Chance das böse Progrämmchen zu entdecken:

Is your PC currently powned by some hacker ninja using a SMM rootkit? How would you tell? You can't tell!!!!! MUWHAHA!

Genaueres gibts erstmal später:

"Thursday, March 19th, 1600 UTC, we will publish a paper (+ exploits) on exploiting Intel® CPU cache mechanisms. The attack allows for privilege escalation from Ring 0 to the SMM on many recent motherboards with Intel CPUs. Rafal implemented a working exploit with code execution in SMM in a matter of just a few hours."

http://www.networkworld.com/community/node/39825?t51hb

Hier gehts anscheinend um Ähnliches (über google gefunden):
http://www.securityfocus.com/columnists/402

Mal abwarten, was die Leute später noch veröffentlichen.

ciao

Alex

not_entered · 19.03.2009

Was es alles so gibt^^

Sway Dizzle · 19.03.2009

Na ich weiß ja net,aber 2006 ist schon ein Stückchen her.

Opteron · 19.03.2009

Sway Dizzle schrieb:
Na ich weiß ja net,aber 2006 ist schon ein Stückchen her.

Bin mir nicht sicher, ob es in dem einen Artikel um den gleichen BUG geht, hab den nur gepostet, weil dort ganz gut Ring 0 und SMM erklärt wird.

Im aktuellem Artikel heißt es dazu:

So why would they release the exploit code to the public you ask. Aren't security researchers supposed to play by the rules and refrain from disclosure? Well here's the thing, both the CPU caching vulnerabilities and the SMM vulnerabilities already have been reported to intel. In fact, according to Joanna "the first mention of the possible attack using caching for compromising SMM has been discussed in certain documents authored as early as the end of 2005 (!) by nobody else than... Intel's own employees." Both Joanna and Loic also officially reported this and other related bugs to Intel. Loic did so back in October 2008.

Also 2005 her 2006 hin .. jetzt ist es 2009 und anscheinend ist nichts passiert.

ciao

Alex

Crashtest · 19.03.2009

dies könnte schlimmer werden als der TLB-Bug der K10 oder ?

isigrim · 19.03.2009

Theoretisch eine Katastrophe, weil sich das wohl auch so ohne weiteres nicht beheben lässt. Aber Intel weiß schon, wie man da den Ball flachhält.

Crashtest · 19.03.2009

wenn "wir" diesen Fred auf etwa 200 Postings treiben, werden andere Seiten folgen .... sodass der Ball nicht mehr flach sondern über den Mt. Eve spring !

boidsen · 19.03.2009

isigrim schrieb:
Theoretisch eine Katastrophe,

Oder gewollt zur Vorbereitung für ein Einfallstor für "Regierungstrojaner" o.ä. *suspect*

Haruspex · 19.03.2009

Da gab es doch Ende 07, Anfang 08 (?) schon mal so etwas, oder ist das immer noch dasselbe Thema?

Edit: http://www.infoworld.com/article/08...emonstrate_attack_code_for_Intel_chips_1.html

Das habe ich auf die Schnelle dazu gefunden, ich guck mal, ob ich die Original-Meldung, wo das bekannt wurde, noch finde.

User002 · 19.03.2009

Alles Verschwörung *suspect*

Opteron · 19.03.2009

Haruspex schrieb:
Das habe ich auf die Schnelle dazu gefunden, ich guck mal, ob ich die Original-Meldung, wo das bekannt wurde, noch finde.

Kam mir auch irgendwie bekannt vor, damals wurde irgendwie abgewiegelt, wenn ich mich richtig erinnere, aber wenn die jetzt den Code dazu veröffentlichen ...

ciao

Alex

Bobo_Oberon · 19.03.2009

Opteron schrieb:
Der Witz an der Sache ist, dass die Lücke erlaubt, Schadprogrammen im Ring 0 (SMM) zu laufen ... damit hat man keine Chance das böse Progrämmchen zu entdecken:
...
http://www.networkworld.com/community/node/39825?t51hb

Hier gehts anscheinend um Ähnliches (über google gefunden):
http://www.securityfocus.com/columnists/402 ...

Ich merke mal dazu an, dass die Sicherheitsexpertin Joanna Rutkowska von der Firma Invisiblethingslab.com nicht irgendjemand ist, sondern schon in der Vergangenheit (Stichwort "Blue Pill") manch eine Sicherheitslücke gefunden und Exploits demonstriert hat.

Das macht die Schwachstelle mit der System Management Mode (SMM) tatsächlich brisant. Fragt sich nun, ob es nur Intel, oder doch alle Systeme mit x86-Prozessor + Chipsatz betrifft. Vor kurzem zeigte sie eine Methode, wie Intels La Grande-Sicherheitstechnik alias "Trusted Execution Technology" (TXT) unterwandert werden kann.

Schon in der Vergangenheit setzte sie dort ihre Angriffsmethoden an, die derzeit gerne als zusätzliche Sicherheitstechnik und Sparvehikel beworben werden ... die bislang kaum verstandene Virtualisierung. Ihr Rootkit Blue Pill demonstrierte sie mit AMDs Virtualisierungstechnik Technik Pacifica (AMD-V) und später mit Intels Vanderpool (Intel VT). Solche Lücken werden gerne immer wieder auf der reputierten "Black Hat"-Konferenz vorgestellt.

MFG Bobo(2009)

IVAN_C64 · 19.03.2009

starled schrieb:
Alles Verschwörung

Jaja, noch belächelt ihr uns Nostalgiker und Retrospinner... der Tag kann aber kommen, wo man nur noch mit altem Schrott sich frei im www bewegen kann und dann werdet ihr euch auch bei uns einreihen... *buck*

Das mir das hier aber bitte nicht in eine Fanboy-Schlammschlacht ausartet (HA-HA, supi, Intel hatts auch mal wieder erwischt ätschbätsch

)... dafür ist mir das Thema zu interessant und wichtig und würde gerne technisch neutrale Fakten sehen. Danke.

Opteron · 19.03.2009

Irgendwie auch verdächtig, Web Browser Hack:
http://www.heise.de/newsticker/Pwn2own-Wettbewerb-Safari-IE8-und-Firefox-gehackt--/meldung/134822

Alles mit x86 / Intel wurde gehackt (sogar Win7 mit allen möglichen Schutz Zeugs), nur bei den mobilen Geräten gibts bisher noch nichts:

Etwas enttäuscht zeigt sich der Konferenzveranstalter darüber, dass es bislang keine erfolgreichen Exploits gegen mobile Geräte zu sehen gab.

Die laufen ja (noch) nicht mit Intel

Ob Zufall oder nicht .. abwarten.

ciao

Alex

1st Class AMD-Fan · 19.03.2009

IVAN_C64 schrieb:
Das mir das hier aber bitte nicht in eine Fanboy-Schlammschlacht ausartet (HA-HA, supi, Intel hatts auch mal wieder erwischt ätschbätsch )... dafür ist mir das Thema zu interessant und wichtig und würde gerne technisch neutrale Fakten sehen. Danke.

+1

Dafür ein Lob an Dich, Ivan! *great*

Opteron · 19.03.2009

IVAN_C64 schrieb:
...dafür ist mir das Thema zu interessant und wichtig und würde gerne technisch neutrale Fakten sehen. Danke.

Die gibts laut Ankündigung anscheinend heute um 17 Uhr MEZ, also einfach mal noch 2h warten.

Bin dann nicht da, also bitte Links posten.

ciao

Alex

Gast31082015 · 19.03.2009

Könnte witzig werden.

Haruspex · 19.03.2009

Opteron schrieb:
Kam mir auch irgendwie bekannt vor, damals wurde irgendwie abgewiegelt, wenn ich mich richtig erinnere, aber wenn die jetzt den Code dazu veröffentlichen ...

ciao

Alex

Ich glaube auch. Intel und Kaspersky haben sich damals irgendwie darauf verständigt, Code und weitere Details doch nicht zu veröffentlichen. Vielleicht diente die Ankündigung, Beispiel-Code zu veröffentlichen, damals nur als Druckmittel, um schnelles Handeln seitens Intel zu erzwingen. Wie genau das Problem damals angegangen wurde, weiß ich nicht mehr, und weitere Infos konnte ich bislang auch nicht dazu finden - nur, daß Intel die Schwachstellen wohl geschlossen hat; wohl mittels Microcode-Updates.

HenryWince · 19.03.2009

@Opteron

SMM ist ein Mode bei dem du vollen Zugriff auf alle physikalischen Addressen hast (=kompletter Speicher). Man kommt in diesen Modus nur durch einen physikalischen Interrupt, den "System Management Interrupt". Ein SMI ist so hoch priorisiert das er immer den Prozessor übernimmt (höher als NMI oder jegliche Debug Interrupts)! D.h. sogar ein Hypervisor kann davon unterbrochen werden. So gesehen würde ich SMM eher als Ring -2 bezeichnen!

Opteron · 19.03.2009

HenryWince schrieb:
D.h. sogar ein Hypervisor kann davon unterbrochen werden. So gesehen würde ich SMM eher als Ring -2 bezeichnen!

Urrks .. Ring -2 ... das hört sich nicht gut an ..

Danke für die Info.

Edit:
Die Finder nennen das auch Ring -2, mittlerweile gibts Paper & Code:

1. Introduction
System Management Mode (SMM) is the most privileged CPU operation mode on x86/x86_64 architectures. It can be thought of as of "Ring -2", as the code executing in SMM has more privileges than even hardware hypervisors (VT), which are colloquially referred to as if operating in "Ring -1". The SMM code lives in a specially protected region of system memory, called SMRAM. The memory controller offers dedicated locks to limit access to SMRAM memory only to system ?rmware (BIOS).
BIOS, after loading the SMM code into SMRAM, can (and should) later "lock down" system con?guration in such a way that no further access, from outside the SMM mode, to SMRAM is possible, even for an OS kernel (or a hypervisor). In this paper we discuss an architectural problem affecting Intel-based systems that allow for unauthorized access to SMRAM. We also discuss how to practically exploit this problem, showing working proof of concept codes that allow for arbitrary SMM code execution. This allows for various kind of abuses of the super-privileged SMM mode, e.g. via SMM rootkits [9].

Hier die Links

Paper:
http://invisiblethingslab.com/resources/misc09/smm_cache_fun.pdf

Code:
http://invisiblethingslab.com/resources/misc09/o68-2.tgz

Quelle:
http://invisiblethingslab.com/itl/Resources.html

ciao

Alex

Saulus · 19.03.2009

So alt wie das schon ist, und so viele neue Revisionen Intel schon seit dem auf den Markt brachte. Weis überhaupt wer ob das noch aktuell ist?

Shai Hulud · 19.03.2009

Saulus schrieb:
So alt wie das schon ist, und so viele neue Revisionen Intel schon seit dem auf den Markt brachte. Weis überhaupt wer ob das noch aktuell ist?

Wieso alt? Steht doch in dem Papier, dass es auch immer noch bei recht aktuellen Intel-Plattformen funktioniert...

IVAN_C64 · 19.03.2009

Saulus schrieb:
So alt wie das schon ist, und so viele neue Revisionen Intel schon seit dem auf den Markt brachte. Weis überhaupt wer ob das noch aktuell ist?

Aha! Hat da mal wieder wer eher überflogen statt zu lesen? *glaubses*

Aber auch ich selber muss mir das Paper, ausgeschlafen nochmal reinziehen

Saulus · 20.03.2009

Warum soll ich mir das ellenlange Blablub durchlesen? Reicht doch wenn das einer macht und das wichtigste hier zusammenfasst.

Lustig wäre es schon wenn sich das Problem nicht beheben lässt und Wellen von Schädlingen kommen die das ausnutzen.

Crashtest · 20.03.2009

sofern AMD nicht betroffen ist würden die und auch die AMD-User sich herzlich amüsieren - und einige Behörden die Intel-only sind würden durchdrehen ...

K10-TLB-Bug - egal; Intel-Ring?-Bug autsch

Schwerwiegende Intel CPU Sicherheitslücke

Redaktion☆☆☆☆☆☆

Fleet Captain Special

Grand Admiral Special

Redaktion☆☆☆☆☆☆

Redaktion☆☆☆☆☆☆

Grand Admiral Special

Redaktion☆☆☆☆☆☆

Grand Admiral Special

Lt. Commander

User002

Guest

Redaktion☆☆☆☆☆☆

Grand Admiral Special

Vice Admiral Special

Redaktion☆☆☆☆☆☆

Gesperrt

Redaktion☆☆☆☆☆☆

Gast31082015

Guest

Lt. Commander

Vice Admiral Special

Redaktion☆☆☆☆☆☆

Grand Admiral Special

Grand Admiral Special

Vice Admiral Special

Grand Admiral Special

Redaktion☆☆☆☆☆☆

Ähnliche Themen

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆

Redaktion
☆☆☆☆☆☆