Microsoft Windows, Apple macOS, Linux, BSD: все сталкиваются с одним и тем же «серьезным» недостатком безопасности

  1. Предыдущее и связанное покрытие

Видео: недостаток 2013 года, который до сих пор используется для превращения серверов Linux в майнеров.

Windows, macOS, основные дистрибутивы Linux, FreeBSD, VMware и Xen на x86-процессорах AMD и Intel подвержены серьезным ошибкам в системе безопасности, вызванным неправильным толкованием разработчиками операционной системы отладочной документации от двух производителей микросхем.

Во вторник уязвимые производители ОС и гипервизоров выпустили исправления для общей ошибки, которая может позволить злоумышленнику, прошедшему проверку подлинности, «читать конфиденциальные данные в памяти или управлять низкоуровневыми функциями операционной системы», в соответствии с CERT ,

Патчи доступны от Apple, DragonFly BSD, FreeBSD, Microsoft, Red Hat, SUSE Linux, Ubuntu, VMware и Xen. В случае дистрибутивов Linux есть две отдельные проблемы, которые затрагивают ядро ​​Linux и гипервизор KVM ядра. Ссылки на все доступные обновления доступны в рекомендации CERT.

Согласно описанию RedHat, недостаток связан с тем, как операционные системы и гипервизоры обрабатывают определенные функции отладки в современных процессорах, в данном случае, как обрабатываются исключения отладки.

«Как правило, исключения возникают на границе инструкций; все команды, предшествующие той, которая вызывает исключение, могут быть завершены, а та, которая вызывает исключение, останавливается, чтобы он мог возобновить выполнение после обработки исключения», RedHat примечания в его рекомендации ,

«В некоторых случаях, когда инструкция вызывает переключение задач или стек, эти исключения возникают после инструкции; в частности, инструкции, вызывающей исключение, разрешается завершать, как это происходит с MOV SS или POP SS».

Неожиданное поведение может возникнуть, если определенные инструкции, такие как SYSCALL, следуют двум инструкциям исключения: MOV - SS или POP - SS, в соответствии с CERT.

Увидеть: 20 быстрых советов для облегчения работы в сети Linux (бесплатный PDF)

В контексте операционной системы Linux эта уязвимость может позволить злоумышленнику вывести систему из строя. Однако недостаток мог также позволяют непривилегированный пользователь гостя KVM для «сбоя гостя или, возможно, повышения его привилегий в госте».

Microsoft утверждает, что уязвимость может позволить злоумышленнику выполнить произвольный код в режиме ядра.

«Чтобы воспользоваться этой уязвимостью, злоумышленник должен сначала войти в систему. Затем злоумышленник может запустить специально созданное приложение, чтобы получить контроль над уязвимой системой». его консультативные чтения.

VMware сказал его гипервизоры не затронуты, но потенциально уязвимые продукты включают VMware vCenter Server, VMware Data Protection и VMware vSphere Integrated Containers.

Проект Xen сказал затрагиваются все версии Xen, но недостаток может быть использован только гостями PV или «паравиртуализации». Аппаратная виртуализация (HVM) не может использовать недостаток.

CERT отмечает, что эта проблема, по-видимому, была вызвана разработчиками операционной системы, которые неправильно обрабатывали эти исключения.

Но в то время как недостатки не связаны с конструкцией процессоров, неправильное толкование исключения произошло «из-за интерпретации потенциально неясной существующей документации и руководства по использованию этих инструкций».

Уязвимость была обнаружена исследователями Ником Петерсоном из Everdox Tech и Неманья Муласмаич из Triplefault.io, которые представят свои исследования на BlackHat 2018.

«Это серьезная уязвимость в системе безопасности и упущение со стороны поставщиков операционных систем из-за неясной и, возможно, даже неполной документации о предостережениях инструкции POP SS и ее взаимодействии с семантикой шлюза прерываний», - отмечается в паре. их отчет ,

их отчет   ,

CERT перечислил поставщиков операционной системы и программного обеспечения с обновлениями для решения этой проблемы.

Изображение: CERT

Предыдущее и связанное покрытие

Microsoft для пользователей Windows: вот новые критические обновления безопасности Intel для Spectre v2

Корпорация Майкрософт выпускает новые обновления Windows для устранения недостатка варианта 2 Spectre, затрагивающего чипы Intel

Intel выпускает решения безопасности на уровне кремния

Технологии следующего поколения, включая блокчейн и IoT, находятся на вершине списка приоритетов кибербезопасности Intel.

Создатель Linux Линус Торвальдс: это то, что сводит меня с ума по ИТ-безопасности

Торвальдс объясняет, почему он злится на охранников.

Windows 10: Microsoft повышает безопасность приложений Linux с помощью брандмауэра Защитника Windows

Microsoft готовит новые функции безопасности Windows 10 для обеспечения целостности системы во время запуска и после ее запуска.

Похожие

Avast Antivirus Скачать бесплатно для Windows 7
... ил финальную версию своего популярного программного обеспечения для обеспечения безопасности Avast 8 и теперь доступен для загрузки. Новейшая версия системы безопасности Avast поставляется с полностью переработанным пользовательским интерфейсом, рядом улучшений и парой новых функций. После установки вы сразу заметите новый интерфейс. Новый пользовательский интерфейс очень прост в использовании и отображает информацию о безопасности на главном экране, а также позволяет получать доступ к
Ключ безопасности PayPal - часто задаваемые вопросы - PayPal
Почему стоит использовать ключ безопасности PayPal? Потому что благодаря этому ваш аккаунт дополнительно защищен. Большинство веб-сайтов обеспечивают безопасность учетной записи в Интернете, запрашивая только имя пользователя и пароль для проверки личности пользователя. Ключ безопасности PayPal предоставляет вам дополнительный код безопасности, который известен только вам. Благодаря этому ваша учетная запись становится более устойчивой к злоумышленникам. Ключ безопасности прост в использовании.
Когда «Звездные войны» стали «новой надеждой»? 37 лет назад, все изменилось
... тем поклонники самого популярного научно-фантастического фильма всех времен были брошены в гиперпространственный кривая. Фильм, известный как « Звездные войны», был не началом истории, а серединой. И 37 лет назад на этой неделе, через четыре года после того, как оригинальный кинотеатр попал в кинотеатры, он был выпущен снова. И на этот раз он назывался « Звёздные войны. Эпизод IV: Новая надежда». Вот как прошел самый первый реткон в «Звездных войнах». 10 апреля
3 простых варианта Linux для беженцев из Windows XP, которые не хотят новый компьютер
... женцев из Windows XP есть два варианта 8 апреля, когда Microsoft перестает поддерживать десятилетнюю операционную систему ( для потребителей , тем не мение). Это предполагает, что новый ПК с новой операционной системой (даже Windows 7 ) по какой-то причине не может
Googler: инструмент командной строки для поиска Google с терминала Linux
Сегодня поиск в Google является хорошо известным и наиболее часто используемым поисковым механизмом во всемирной паутине ( WWW ). Если вы хотите собирать информацию с миллионов серверов в Интернете, то это номер один и самый надежный инструмент для этого. цель плюс намного больше. Многие люди по всему миру в основном используют поиск Google через графический интерфейс веб-браузера. Тем не менее, фанаты командной строки, которые всегда
Обновления BIOS от Dell
... ие в обновление BIOS BIOS - это аббревиатура от Basic Input / Output System, также известная как System Setup . BIOS - это встроенное ПО, встроенное в небольшой чип памяти системной платы ПК или материнской платы. Он действует как интерфейс между оборудованием ПК и операционной системой. BIOS также содержит инструкции, которые ПК использует для выполнения основных действий, таких как загрузка по сети или загрузка с жесткого диска. Когда
Как активировать Microsoft Office 2013 или 2016 с помощью KMS Auto Lite
При использовании Microsoft Office необходимо выполнить активацию, чтобы все инструменты можно было использовать правильно.
Тест: Nokia Lumia 630 - дешевая заявка для начинающего телефона
... тема управления является третьей по величине на рынке, поэтому все равно, что получить бронзовую медаль, когда их три. Расстояние до Android и iOS все еще огромно, и в недавних измерениях оно не кажется намного лучше. В частности, это означает, что система Windows Phone находится в конце очереди при создании приложений - и даже популярные приложения впервые появляются в Windows Phone спустя много лет после их выпуска для iOS и Android. Это относится не ко всем приложениям, но это
... же давно не являются шокирующими или инновационными, и все больше и больше интересных идей начина...
... же давно не являются шокирующими или инновационными, и все больше и больше интересных идей начинают свое приключение с окружающего мира. Из года в год все больше и больше их дорабатывается и, в конечном итоге, попадает к покупателям и магазинам. Учитывая тот факт, что вы должны очень тщательно проверить, что мы действительно планируем инвестировать наши деньги ... Хотя я еще не решил финансировать какие-либо проекты на самых популярных сайтах,
Трой Хант: надвигающийся кризис - Windows XP и IE 8
... серьезным изменением, которое означает запуск некоторых функций в IE и других в другом браузере. Большой бизнес и XP - другие неразлучные соратники Одним из основных факторов долголетия XP является большой бизнес. Назад в конце июля, Browsium имел это сказать : Хотя трудно найти точные данные о ситуации, мы оцениваем, что 20% компьютеров в крупных компаниях (определяемых
... и Микер из венчурной компании Kleiner Perkins Caufield & Byers публикует свой ежегодный интернет-отчет о т...
... и Микер из венчурной компании Kleiner Perkins Caufield & Byers публикует свой ежегодный интернет-отчет о тенденциях. Для технических инвесторов презентация из 300 слайдов является обязательной для прочтения, она дает нам представление о том, где находится мир технологий, и, что более важно, о том, куда он движется. Сообщение в этом году очень похоже на предыдущие несколько лет: это эпоха доминирующих интернет-компаний с большой капитализацией, особенно лидеров Amazon

Комментарии

Так как же узнать, показывает ли ваш монитор все, что должно быть?
Так как же узнать, показывает ли ваш монитор все, что должно быть? Чтобы действительно сказать, вам нужно откалибровать его, но есть пара простых вещей, которые нужно проверить, которые покажут вам, насколько необходима калибровка. Тестовые изображения ниже быстро подскажут, насколько плохо настроен ваш монитор. (Обратите внимание, что мы сказали «насколько плохо», а не «если»: «Если вы не используете дисплей очень высокого класса, вполне вероятно, что некалиброванный монитор значительно
И я упоминал, что вы можете сделать Ubuntu похожим на Windows 7 ?
Так как же узнать, показывает ли ваш монитор все, что должно быть? Чтобы действительно сказать, вам нужно откалибровать его, но есть пара простых вещей, которые нужно проверить, которые покажут вам, насколько необходима калибровка. Тестовые изображения ниже быстро подскажут, насколько плохо настроен ваш монитор. (Обратите внимание, что мы сказали «насколько плохо», а не «если»: «Если вы не используете дисплей очень высокого класса, вполне вероятно, что некалиброванный монитор значительно
Так как же помогает эта витрина?
Так как же помогает эта витрина? Чтобы ответить на этот вопрос, давайте попробуем составить список людей, которые принимают участие в разработке компонентов пользовательского интерфейса и оценивают их потребности. В зависимости от вашего рабочего процесса этот список может отличаться, но обычно возникают следующие подозрения: Дизайнер или эксперт по UX Это человек, ответственный за внешний вид пользовательского интерфейса. После того, как фаза макета проекта закончена,
Вы когда-нибудь хотели, чтобы был способ обойти процедуру входа в Windows Vista и получить право на работу?
Вы когда-нибудь хотели, чтобы был способ обойти процедуру входа в Windows Vista и получить право на работу? Есть способ, которым вы можете выполнить эту задачу с помощью скрытого инструмента, называемого «Панель управления расширенными учетными записями пользователей». В этом выпуске отчета о Windows Vista я покажу вам, как получить доступ к Расширенной панели управления учетными записями пользователей и использовать ее, чтобы обойти процедуру входа в Windows Vista и настроить Windows Vista
Как видно из рисунка, пользователю предлагается «войти в свою учетную запись [[Домен]» с помощью Microsoft?
Как видно из рисунка, пользователю предлагается «войти в свою учетную запись [[Домен]» с помощью Microsoft? », И ему предоставляется два варианта:« Настроить вручную »и« Войти ». «Настроить вручную» следует традиционному пути создания учетной записи активного профиля. «Вход» следует по пути автообнаружения, отправив запрос автообнаружения на outlook.office365.com. Давайте посмотрим за кулисы на автообнаружение. Когда пользователь выбирает «Войти», устройство iOS сначала
Почему стоит использовать ключ безопасности PayPal?
Почему стоит использовать ключ безопасности PayPal? Потому что благодаря этому ваш аккаунт дополнительно защищен. Большинство веб-сайтов обеспечивают безопасность учетной записи в Интернете, запрашивая только имя пользователя и пароль для проверки личности пользователя. Ключ безопасности PayPal предоставляет вам дополнительный код безопасности, который известен только вам. Благодаря этому ваша учетная запись становится более устойчивой к злоумышленникам. Ключ безопасности прост в использовании.
Игрокам понравилось так же, как вы думали?
Игрокам понравилось так же, как вы думали? А.Р . : Во-первых, я не буду брать кредит за то, что что-то «написал». Все наши истории созданы несколькими авторами - от лидов, дизайнеров контента до нашего писателя. Каждый из них участвует в «написании» истории. При этом трудно выбрать любимого. Мои любимые всегда те, которые используют канон и действительно удивляют игрока. Предупреждение, спойлер впереди. Один из моих любимых сюжетных моментов - когда
Так что же происходит, когда у вас «стандартный» браузер?
Так что же происходит, когда у вас «стандартный» браузер? Естественно, все приложения, которые создаются, соответствуют стандарту - они прекрасно работают в IE. Неважно, что они не работают в Chrome, потому что Chrome не является «стандартным», и никакие сплетни или бред по спецификации W3C и HTML не изменит этого. Деловые требования преобладают, и бизнес выбрал IE. Конец истории. Дело в том, что институты очень сильно привязаны к IE. Так или иначе, это их портал в Интернет,

Когда «Звездные войны» стали «новой надеждой»?
Так как же узнать, показывает ли ваш монитор все, что должно быть?
Так как же узнать, показывает ли ваш монитор все, что должно быть?
Так как же помогает эта витрина?
Вы когда-нибудь хотели, чтобы был способ обойти процедуру входа в Windows Vista и получить право на работу?
Как видно из рисунка, пользователю предлагается «войти в свою учетную запись [[Домен]» с помощью Microsoft?
Почему стоит использовать ключ безопасности PayPal?
Игрокам понравилось так же, как вы думали?
Игрокам понравилось так же, как вы думали?
Так что же происходит, когда у вас «стандартный» браузер?