Nadiskobrehan sa mga eksperto sa seguridad sa impormasyon ang usa ka bag-ong kahuyang sa Intel chips nga magamit sa pagpangawat sa sensitibong impormasyon direkta gikan sa processor. Gitawag kini sa mga tigdukiduki nga "ZombieLoad". Ang ZombieLoad usa ka side-by-side nga pag-atake nga nagpunting sa mga Intel chips nga nagtugot sa mga hacker nga epektibong mapahimuslan ang usa ka sayup sa ilang arkitektura aron makakuha og arbitraryong datos, apan wala kini magtugot kanila sa pag-inject ug pag-execute sa arbitraryong malisyoso nga code, sa ingon gigamit kini isip bugtong himan alang sa intrusion ug hacking dili mahimo.
Sumala sa Intel, ang ZombieLoad naglangkob sa upat ka mga bug sa microcode sa mga chips niini, nga gitaho sa mga tigdukiduki sa kompanya usa lang ka bulan ang milabay. Hapit tanan nga mga kompyuter nga adunay Intel chips nga gipagawas sukad sa 2011 huyang sa pagkahuyang. Ang ARM ug AMD chips dili apektado niini nga kahuyang.
Ang ZombieLoad nagpahinumdum sa Meltdown ug Spectre, nga makapahinuklog kaniadto, nga nagpahimulos sa usa ka bug sa sistema sa espekulatibo (advance) nga pagpatuman sa sugo. Ang speculative execution makatabang sa mga processor sa pagtagna sa usa ka sukod kung unsa ang gikinahanglan sa usa ka aplikasyon o operating system sa umaabot nga umaabot, nga maghimo sa aplikasyon nga modagan nga mas paspas ug mas episyente. Ibalik sa processor ang mga resulta sa mga panagna niini kung husto kini, o i-reset ang mga resulta sa pagpatuman kung sayup ang panagna. Parehong gipahimuslan sa Meltdown ug Spectre ang abilidad sa pag-abuso sa kini nga bahin aron makakuha direkta nga pag-access sa kasayuran nga gidumala sa processor.
Ang ZombieLoad gihubad nga "pagkarga sa zombie," nga usa ka bahin nagpatin-aw sa mekanismo sa pagkahuyang. Atol sa pag-atake, ang processor gipakaon og daghang datos kay sa makaya niini sa hustong paagi, hinungdan nga ang processor nangayo og tabang gikan sa microcode aron malikayan ang pagkahagsa. Kasagaran, ang mga aplikasyon makakita ra sa ilang kaugalingon nga datos, apan ang usa ka bug nga gipahinabo sa sobra nga karga sa CPU nagtugot kanimo nga laktawan kini nga limitasyon. Gipahayag sa mga tigdukiduki nga ang ZombieLoad makahimo sa pagkuha sa bisan unsang datos nga gigamit sa mga cores sa processor. Giingon sa Intel nga ang pag-ayo sa microcode makatabang sa paghawan sa mga buffer sa processor kung na-overload, nga mapugngan ang mga aplikasyon sa pagbasa sa datos nga wala nila gitinguha nga basahon.
Sa usa ka demonstrasyon sa video kung giunsa paglihok ang pagkahuyang, gipakita sa mga tigdukiduki nga magamit kini aron mahibal-an kung unsang mga website ang gibisita sa usa ka tawo sa tinuud nga oras, apan dali ra kini magamit aron makuha, pananglitan, mga password o mga token sa pag-access nga gigamit. sa mga tiggamit alang sa mga sistema sa pagbayad.
Sama sa Meltdown ug Spectre, ang ZombieLoad nakaapekto dili lamang sa mga PC ug laptop, apan usab sa mga cloud server. Ang pagkahuyang mahimong mapahimuslan sa mga virtual nga makina nga kinahanglan nga mahimulag gikan sa ubang mga virtual nga sistema ug sa ilang mga aparato sa host aron mahimoβg makalikay sa kini nga pagkalainlain. Busa, si Daniel Gruss, usa sa mga tigdukiduki nga nakadiskobre sa kahuyang, nag-angkon nga kini makabasa sa datos gikan sa mga tigproseso sa server sa samang paagi sa personal nga mga kompyuter. Kini usa ka posibleng seryoso nga problema sa cloud environment diin ang lain-laing mga kliyente sa virtual machines nagdagan sa samang server hardware. Bisan kung ang mga pag-atake nga gigamit ang ZombieLoad wala pa gipahibalo sa publiko, ang mga tigdukiduki dili makapugong nga kini mahitabo, tungod kay ang pagpangawat sa datos dili kanunay magbilin bisan unsang mga pagsubay.
Unsa ang gipasabut niini alang sa kasagaran nga tiggamit? Dili kinahanglan nga mag-panic. Kini layo sa usa ka pagpahimulos o usa ka zero-day vulnerability diin ang usa ka tig-atake mahimong mopuli sa imong computer sa kalit. Gipatin-aw ni Gruss nga ang ZombieLoad "mas sayon ββkaysa Spectre" apan "mas lisud kaysa Meltdown" - nga pareho niini nanginahanglan usa ka piho nga set sa kahanas ug paningkamot nga magamit nga dili maayo. Sa tinuud, aron makahimo usa ka pag-atake gamit ang ZombieLoad, kinahanglan nimo nga i-download ang nataptan nga aplikasyon ug ipadagan kini sa imong kaugalingon, unya ang pagkahuyang makatabang sa tig-atake nga ma-download ang tanan nimo nga datos. Bisan pa, adunay labi ka dali nga mga paagi sa pag-hack sa usa ka kompyuter ug pagkawat niini.
Gipagawas na sa Intel ang microcode aron ma-patch ang mga apektadong processor, lakip ang Intel Xeon, Intel Broadwell, Sandy Bridge, Skylake ug Haswell chips, Intel Kaby Lake, Coffee Lake, Whiskey Lake ug Cascade Lake chips, ingon man ang tanan nga Atom ug Knights processors. Ang ubang mga dagkong kompanya nagpagawas usab usa ka pag-ayo alang sa pagkahuyang sa ilang bahin. Ang Apple, Microsoft ug Google nagpagawas na usab ug katugbang nga mga patch alang sa ilang browser.
Sa usa ka interbyu sa TechCrunch, ang Intel miingon nga ang mga update sa chip microcode, sama sa nangaging mga patch, makaapekto sa performance sa processor. Ang usa ka tigpamaba sa Intel nag-ingon nga kadaghanan sa mga gi-patch nga mga aparato sa konsyumer mahimong mag-antus sa usa ka labing grabe nga pagkawala sa performance sa 3%, nga adunay hangtod sa 9% nga pagkawala alang sa mga sentro sa datos. Apan sumala sa Intel, kini dili tingali mamatikdan sa kadaghanan nga mga senaryo.
Bisan pa, ang mga inhenyero sa Apple hingpit nga wala mouyon sa Intel, kinsa mahitungod sa pamaagi sa hingpit nga panalipod batok sa "Microarchitectural Data Sampling" (opisyal nga ngalan ZombieLoad) sila nag-angkon nga sa hingpit nga pagsira sa kahuyang gikinahanglan ang hingpit nga pag-disable sa Intel Hyper-Threading nga teknolohiya sa mga processor, nga, sumala sa mga pagsulay sa mga espesyalista sa Apple, mahimong makunhuran. ang paghimo sa mga gamit sa tiggamit sa daghang mga buluhaton sa 40% .
Ni ang Intel o si Daniel ug ang iyang team wala nagpatik sa code nga nagpatuman sa kahuyang, mao nga walay direkta ug diha-diha nga hulga sa kasagaran nga tiggamit. Ug ang dali nga gipagawas nga mga patch giwagtang kini sa hingpit, apan gihatagan nga ang matag ingon nga pag-ayo naggasto sa mga tiggamit sa piho nga mga pagkawala sa pasundayag, pipila ka mga pangutana ang mitungha alang sa Intel.
Source: 3dnews.ru