I processori dei Mac e dispositivi iOS sono vulnerabili a Spectre e Meltdown. Quel che era noto, visto che si tratta di un problema quasi universale, viene ora confermate da Apple con una nota tecnica che specificatamente fa il punto sulla situazione dando dettagli sulle problematiche che interessano le sue macchine, quelle sia basate su Intel che su ARM.
Apple spiega che le vulnerabilità in questione riguardano tutti i moderni processori e quasi tutti i moderni computer e sistemi operativi. Quindi tutti i Mac e i dispositivi iOS sono potenzialmente vulnerabili ma non sono al momento noti exploit che potrebbero avere ripercussioni sugli utenti.
Poiché l’exploiting richiede lo sfruttamento di app malevole da caricare su Mac o dispositivi iOS, Apple raccomanda di scaricare software solo da fonti affidabili come l’App Store. Apple fa sapere ancora di avere integrato meccanismi che consentono di mitigare i potenziali problemi di Meltdown in iOS 11.2, macOS 10.13.2 e tvOS 11.2. L’Apple Watch non è interessato dalla vulnerabilità Meltdown.
Nei prossimi giorni sarà rilasciato un aggiornamento per Safari per difendersi dalla vulnerabilità Spectre. Apple fa sapere che continuerà a sviluppare e testare ulteriori meccanismi di mitigazione con specifici fix che saranno integrati negli update di iOS, macOS, tvOS e watchOS.
Meltdown e Spectre nei Mac e dispositivi iOS
Apple indica poi dettagli su Meltdown e Spectre. “Meltdown” è il nome di una tecnica di exploitation classificata nel dizionario delle vulnerabilità come CVE-2017-5754 o “rogue data cache load” e consistente in una tecnica che consente a un processo utente di aggirare l’isolamento fondamentale tra le applicazioni d’utente e il sistema operativo e consente a un programma di accedere alla memoria di altri programmi e del sistema operativo.
Specifiche contromisure sono state integrate in iOS 11.2, macOS 10.13.2 e tvOS 11.2. watchOS non richiede fix specifici. Nei test con i benchmark pubblici (GeekBench 4) è stato verificato che i cambiamenti apportati a dicembre 2017 non influenzano in modo rilevante le performance di macOS e iOS; stessa cosa con i benchmark per i web browser quali Speedometer, JetStream e ARES-6.
Spectre è il nome che identifica due diverse tecniche di exploitation identificate come CVE-2017-5753 o “bounds check bypass” e CVE-2017-5715 o “branch target injection”. Queste tecniche aggirano l’isolamento tra diverse applicazioni permettendo a un attacker di accedere ai dati in memoria di altre applicazioni.
La vulnerabilità approfitta del ritardo impiegato dalla CPU per controllare la validità della chiamata all’accesso di memoria. Analisi di queste tecniche hanno evidenziato che il potenziale attacco è di difficile realizzazione ma può potenzialmente essere portato a termine da un’app che gira in locale su Mac o dispositivi iOS ma anche sfruttando JavaScript da un browser web.
Apple rilascerà nei prossimi giorni versioni aggiornate di Safari per macOS e iOS per limitare i rischi di queste tecniche di exploit. Prove eseguite sulle nuove versioni dei browser in arrivo mostrano che le misure di mitigazione non hanno impatto rilevante con i test Speedometer e ARES-6 e un impatto di meno del 2.5% nei benchmark con JetStream. Apple fa sapere che continuerà a sviluppare e testare ulteriori tecniche di riduzione dei rischi contro Spectre, con aggiornamenti specifici negli update futuri di iOS, macOS, tvOS e watchOS.
