Хакер #305. Многошаговые SQL-инъекции
Компания Microsoft сообщила, что поможет Intel распространить микрокоды, устраняющие уязвимость Spectre (Variant 2), и предоставит обновления пользователям Windows.
Напомню, что суммарно в «набор» Meltdown и Spectre входят три CVE: Meltdown (CVE-2017-5754) а также Spectre (Variant 1 — CVE-2017-5753 и Variant 2 — CVE-2017-5715). Если Meltdown и Spectre, Variant 1, в теории можно исправить на уровне ОС, то полное исправление Variant 2 требует также обновления прошивки/BIOS/микрокода, из-за чего у производителей возникли многочисленные накладки.
Так как первоначальные версии патчей вызывали множество сбоев, постоянных перезагрузок и другого непредсказуемого поведения со стороны уязвимых машин, в конце января 2018 года, компания Intel приостановила распространение исправлений для уязвимости Spectre (Variant 2), призвав пользователей и производителей железа дождаться нормально работающих версий микрокодов.
В феврале 2018 года инженеры Intel начали выпускать обновленные патчи для Spectre (Variant 2). Так, компания уже представила новые микрокоды для процессоров на архитектуре Skylake, а также патчи для Kaby Lake и Coffee Lake. А на этой неделе вышли исправления для процессоров Haswell и Broadwell.
Хотя на этот раз массовых жалоб на патчи нет, для большинства пользователей обновление по-прежнему остается слишком сложным. Дело в том, что исправления нужно либо вручную загрузить с сайта Intel, либо нужно дождаться релиза и загрузить обновленную версию прошивки, искать которую нужно на сайтах конкретных производителей «железа». Для рядовых пользователей, которые могли даже не слышать о проблемах Meltdown и Spectre, описанный процесс малопонятен.
Так как уязвимости представляют опасность практически для всех современных и не слишком процессоров и устройств, процесс доставки патчей конечным пользователям определенно нужно оптимизировать. Здесь на помощь Intel и пришла компания Microsoft, согласившаяся распространить обновленные микрокоды через Microsoft Update Catalog. Пока в заявлении компании не упоминается автоматическая доставка посредством Windows Update.
Инженеры Microsoft уже подготовили первое обновление такого рода: KB4090007. В этот пакет вошли обновленные микрокоды Intel для процессоров Skylake, устраняющие уязвимость Spectre (Variant 2), то есть CVE 2017-5715. KB4090007 доступен только для пользователей Windows 10 версии 1709 (Fall Creators Update) и Windows Server версии 1709 (Server Core).
Разработчики Microsoft сообщили, что продолжают совместную работу с Intel, и в скором времени подготовят и другие обновления, для прочих архитектур и моделей процессоров.
