Con un documento (PDF) pubblicato a inizio settimana da ARM, il gruppo britannico rende nota una vulnerabilità riguardante i processori basati sull’architettura Armv8-A: il problema, battezzato Straight-Line Speculation o CVE-2020-13844, viene descritto come un bug capace di mostrare il fianco ad attacchi di tipo side-channel che fanno leva sull’esecuzione speculativa delle componenti hardware.
CPU Armv8-A, la vulnerabilità Straight-Line Speculation
Presa dunque nuovamente di mira la tecnologia che consente alla CPU di elaborare informazioni ancor prima che sia concretamente richiesto in modo da incrementare le performance, scartando poi quelle non necessarie al prosieguo operazioni. Attraverso una falla di questo tipo un malintenzionato è potenzialmente in grado di allungare le mani sui dati presi in carico dall’elaboratore. Ricorda qualcosa? Si tratta di un intoppo parente stretto di Spectre e Meltdown, scoperti ormai più di due anni fa.
Già sottoposte all’attenzione degli sviluppatori le linee guida da seguire per far sì che il problema non possa compromettere l’integrità del sistema o dei dati. ARM afferma che al momento non si hanno notizie di exploit in grado di forzarlo, ma che l’ipotesi non è del tutto da escludere.
Si tenga conto che al momento riteniamo il rischio per la sicurezza basso poiché si tratta di una falla difficile da sfruttare nella pratica e l’esistenza di un exploit efficace non è ancora stata dimostrata. Ciò nonostante la possibilità non può essere scartata ed è per questo che ARM si è attivata.
Il gruppo britannico responsabile dell’architettura è a conoscenza di SLS fin dallo scorso anno e ha già fornito patch destinate a diversi software (FreeBSD, OpenBSD, Trusted Firmware-A e OP-TEE) in modo da contenere la falla a livello di firmware o sistema operativo. La loro applicazione, a differenza di quelle distribuite per i già citati Spectre e Meltdown, non dovrebbe causare alcun impatto in termini di performance. A scoprire la vulnerabilità sono stati i ricercatori che hanno preso parte al progetto SafeSide di Google.
Ti potrebbe interessare
10 giu 2020