Die entdeckten Schwachstellen wurden dem Hersteller gemeldet, werden aber derzeit noch vor der Öffentlichkeit geheim gehalten. Es bleibt zu hoffen, dass der Hersteller Updates vor der Publikation zur Verfügung stellt. Da jedoch eine der Schwachstellen von Googles Projekt Zero-Team entdeckt wurde, gibt es eine wesentliche Änderung: Google wird die Details am 7. Mai veröffentlichen, wenn ihre 90-Tage-Frist abläuft.
Was wissen wir über die Schwachstellen? Wer ist betroffen?
Es wurde bestätigt, dass Intel-CPUs betroffen sind. Dass ARM-CPUs ebenfalls verwundbar sind, wurde noch nicht bestätigt, gilt aber als wahrscheinlich. Die Untersuchungen zu den AMD-Prozessoren sind im Gange.
Intel klassifiziert vier der Schwachstellen als hochriskant; die Gefahr der anderen vier wird nur als mittel eingestuft. Eine der Schwachstellen soll es einem Angreifer ermöglichen, seinen Exploit-Code in einer virtuellen Maschine (VM) zu starten und von dort aus das Hostsystem anzugreifen - zum Beispiel den Server eines Cloud-Hosters. Oder er greift die VMs anderer Kunden an, die auf demselben Server laufen. Passwörter und geheime Schlüssel für den sicheren Datentransfer sind begehrte Ziele auf Cloud-Systemen und durch diese Schwachstelle akut gefährdet. Es wird angenommen, dass die neuen Schwachstellen leichter auszunutzen sind, so dass es einfacher ist, Angriffe über Systemgrenzen hinweg durchzuführen. Dadurch sind Anbieter von Cloud-Diensten wie Amazon oder Cloudflare und natürlich deren Kunden besonders betroffen.
Wann können wir mit einem Patch für Spectre Next Generation rechnen?
Zurzeit ist kein Patch verfügbar. Intel hat keine offizielle Erklärung abgegeben, wann Patches verfügbar sein werden, aber sie planen zwei Wellen: eine erste soll im Mai beginnen; eine zweite ist für August geplant. Microsoft bereitet sich bereits auf CPU-Patches vor, die in Form von optionalen Windows-Updates erwartet werden.
Was müssen Systemadministratoren tun?
Wenn Patches verfügbar sind, sollten Systemadministratoren Mehrbenutzer- und virtuelle Umgebungen priorisieren, z.B. KVM, VMware Workstation, VMware Fusion, Windows Virtual PC, Microsoft Remote Desktop, Xen, Parallels Desktop for Mac, Oracle VM Server, Virtual Box, Parallels Workstation, VMware ESXi etc.
Die konkrete Gefahr durch Spectre Next Generation für Privatpersonen und Firmen-PCs wird eher als gering eingeschätzt, da es üblicherweise andere, leichter ausnutzbare Schwachstellen gibt.
Wie bei den vorherigen Spectre-Patches gibt es Grund zu der Annahme, dass die Patches die Performance beeinträchtigen können. Daher sollten alle Patches vor einer Veröffentlichung intensiv getestet werden.