Aggiornamenti recenti Aprile 19th, 2024 9:00 AM
Gen 09, 2018 Marco Schiaffino News, Vulnerabilità 0
Se la vulnerabilità Meltdown dei processori Intel (anche se con qualche problema) sembra essere stata risolta dagli aggiornamenti rilasciati dai maggiori produttori di sistemi operativi, per quanto riguarda Spectre le cose sembrano essere più complicate.
Come hanno spiegato i ricercatori che hanno studiato la tecnica di attacco, Spectre è più difficile da sfruttare, ma è potenzialmente più pericolosa. Soprattutto perché, a differenza di Meltdown, non richiede di avere già accesso al sistema ma può essere utilizzata in remoto, per esempio attraverso una pagina Web.
Spectre, in realtà, comprende due possibili varianti. La seconda (CVE-2017-5715) rappresenta un problema per i sistemi di virtualizzazione e i servizi cloud, ma in questo ambito c’è la ragionevole certezza che tutti i fornitori di servizi si stiano già dando da fare.
La prima (CVE-2017-5753), invece, è quella che potrebbe essere sfruttata attraverso un semplice JavaScript e colpisce direttamente il browser dell’utente. Non è un caso, quindi, che i primi a preoccuparsi di contrastare eventuali attacchi che sfruttano questa tecnica siano proprio gli sviluppatori di browser.
Apple ha annunciato di aver introdotto misure “anti-Spectre” con gli ultimi aggiornamenti per iOS (11.2.2) e macOS (High Sierra 10.13.2). Anche Safari ha ricevuto un update alla versione 11.0.2 che contiene “strumenti di mitigazione” per gli attacchi basati su Spectre.
Lo stesso (anche qui si parla di “parziale mitigazione”) hanno fatto gli sviluppatori di Firefox, che è ora disponibile nella versione 57.0.4. Si tratta di una soluzione di breve periodo, che introduce alcune modifiche nel browser per rendere più difficile un eventuale attacco.
Modifiche pressochè identiche anche per Edge e Internet Explorer 11, che Microsoft ha messo in campo co il primo aggiornamento dell’anno per i sistemi Windows.
Per quanto riguarda Chrome, bisognerà aspettare il 23 gennaio quando Google pubblicherà la versione 64 del browser in cui la funzione SharedArrayBuffer sarà disabilitata come opzione predefinita (ma nel post che tratta la questione si parla di un primo intervento introdotto già lo scorso 5 gennaio).
Per il momento Google invita gli utenti ad attivare la funzione Strict site isolation digitando chrome://flags#enable-site-per-process nela barra degli indirizzi e abilitando la funzione relativa. In questo modo Chrome limiterà ogni processo a pagine di un solo sito, riducendo il rischio che informazioni sensibili siano “dirottate” da un JavaScript che sfrutta Spectre.
Insomma, l’impressione è che si navighi ancora a vista e che una soluzione definitiva sia ancora piuttosto lontana. E se consideriamo che dalle parti di Google stanno lavorando sulla questione dallo scorso giugno, possiamo capire quanto tutto sia complicato.
Apr 12, 2024 0
Apr 04, 2024 0
Apr 02, 2024 0
Mar 27, 2024 0
Apr 19, 2024 0
Apr 18, 2024 0
Apr 18, 2024 0
Apr 17, 2024 0
Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Apr 11, 2024 0
Secondo l’ultimo report di Sophos, “It’s Oh...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 19, 2024 0
Il mondo del cybercrimine continua a mettere in difficoltà...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 18, 2024 0
I ricercatori di Cisco Talos hanno individuato un...Apr 17, 2024 0
“In un contesto di crescente fragilità, gli sforzi di...Apr 17, 2024 0
I mantainer di PuTTY, il client open-source di SSH e...