13 schwerwiegende Sicherheitslücken bei AMD CPU´s

[MichaelG]

13 schwerwiegende Sicherheitslücken bei AMD CPU´s

https://www.zdnet.de/88328405/forsc...sicherheitsluecken-in-amd-prozessoren-update/

Von wegen nur Intel mit Meltdown und Spectre: Bei AMD scheint (zumindestens bei den Ryzen- und Epyc-CPU-Modellen) aktuell auch ein arger fetter Wurm (besser formuliert 13 Würmer) drin zu stecken. Sowohl auf Seiten der Software, Firmware wie auch hardwareseitig.

Es wäre schön, wenn PCGames zu dem Thema Sicherheitslücken bei den CPUs mal ein umfangreicheres Special bringen würde. Das betrifft ja was AMD betrifft auch keinen geringen Anteil der Gamer (Ryzen) sowie Serverfarmen (Epyc ist wohl eine Server-CPU-Modellreihe von AMD). Wenn Intel vom Marktanteil wahrscheinlich auch vor AMD liegt sind das trotzdem zig Mio potentiell betroffene PC-Systeme im deutschsprachigen Raum, da die Ryzen-CPU ziemlich erfolgreich zu sein scheinen.

Es ist auch erschreckend wie man als Firma solche Hardware auf den Markt bringen kann (das gilt gleichermaßen für Intel beim Thema Spectre und Meltdown).

 

[Bonkic]

wenn stimmt, was in diesem absatz steht...

The Register betonte indes, dass die Anforderungen an einen erfolgreichen Angriff auf die Sicherheitslücken sehr hoch seien. So benötige ein Hacker Administratorrechte, was es ihm in der Regel bereits erlaube, auf beliebige Daten zuzugreifen sowie Schadcode einzuschleusen und auszuführen. Aus der Ferne, sprich über das Internet, könnten die Anfälligkeiten nicht ausgenutzt werden.

..., dann ist das ganze zumindest für den privatanwender wohl eher als minderschweres / vernachlässigbares problem einzustufen, würde ich meinen.

 

[MichaelG]

Das gleiche kann man auch bei Spectre und Meltdown sagen. Trotzdem sind es vakante Probleme, wenn auch schwierig auszunutzen. Es bleibt ein Sicherheitsrisiko.

Und ob diese Lücken oder zumindestens ein Teil davon wirklich nicht über Internet ausnutzbar sind, ist meiner Meinung nach noch fraglich. AMD wird hier den Ball gegenüber der Öffentlichkeit (Panik, Angst vor Umsatzausfällen oder Schadenersatzforderungen) auch flachhalten wollen.

Erst einmal nur das zugeben, was definitiv bewiesen ist. Ist eine probate Methode. Sowohl beim Dieselskandal wie auch bei den Sicherheitslücken der CPU´s. *sarkasmusmod aus*

Bei Spectre und Meltdown wird uns sicher auch nur die Hälfte gesagt. Dinge die die Firmen wissen, aber was bislang nicht entdeckt/nachgewiesen wurde wird unter dem Tisch gehalten.

Beim Thema Sicherheit bin ich da skeptisch. Vielleicht zu sehr, aber lieber Vorsicht statt Nachsicht.

 

[Bonkic]

Das gleiche kann man auch bei Spectre und Meltdown sagen.

so weit ich weiß, ist bei spectre und / oder meltdown sehr wohl auch ein remote-angriff möglich. das wäre schon mal ein fundamentaler unterschied.
allerdings hab ich mich nicht wirklich damit befasst, muss ich zugeben.

Trotzdem sind es vakante Probleme, wenn auch schwierig auszunutzen.

was das wort "vakant" bedeutet, und dass du es eigentlich ausnahmslos - auch hier wieder - falsch verwendest, hatten wir doch schon mal vor einiger zeit geklärt. vielleicht erinnerst du dich.

 

[MichaelG]

Jepp. Ich verstehe unter vakant anstehend. Ist vielleicht auch nur ein regionales Problem der Behandlung von Begriffen. Ich sehe hier jedenfalls das potentiell nächste größere Sicherheitsproblem bei den Prozessoren.

Und es ist erschreckend, daß die Hersteller die Produkte nicht auf solche Schwachstellen checken, bevor sie diese releasen.

 

[Herbboy]

Jepp. Ich verstehe unter vakant anstehend. Ist vielleicht auch nur ein regionales Problem der Behandlung von Begriffen. Ich sehe hier jedenfalls das potentiell nächste größere Sicherheitsproblem bei den Prozessoren.

Und es ist erschreckend, daß die Hersteller die Produkte nicht auf solche Schwachstellen checken, bevor sie diese releasen.

Die Schwachstellen hat ein Forschungsinstitut herausgefunden, die darauf spezialisiert sind - ich weiß nicht, ob AMD da beim besten Willen es überhaupt selber hätte rausfinden können. Die werden nämlich ganz sicher nicht ihre Produkte einfach so ungeprüft durchwinken.

Zudem benötigt man offenbar Admin-Rechte, um die "Lücke" zu nutzen - das ist dann sich gar keine zusätzliche Lücke mehr, da man mit Admin-Rechnen so oder so die ganzen Dinge wie zB Passwörter mitlesen durchführen könnte. Man könnte da an sich auch genau so gut sagen, dass Windows unsicher sei, weil man ja Passwörter mitlesen kann - WENN man Adminrechte hat...


Für mich hört sich das ein wenig nach einer Wichtigmacher/Marketing-Sache des Institutes an, u.a. auch wegen der Tatsache, dass die völlig unüblicherweise AMD nur 24h vor der Veröffentlichung der Ergebnisse informierten. Das ist beinahe schon böswillig, denn es versteht sich eigentlich von selbst, dass man das Unternehmen frühzeitig informiert bevor die Öffentlichkeit und somit auch "Hacker", die so eine Lücke gar nicht selber finden können, davon erfahren.