Aktuelles

AMD bestätigt durch CTS-Labs gefundene Sicherheitslücken

Thread Starter
Mitglied seit
06.03.2017
Beiträge
21.037
amd_logo.jpg
AMD hat die durch die CTS-Labs veröffentlichten Sicherheitslücken bestätigt. Im gleichen Zuge relativiert man diese aber und spricht davon, dass immer ein Admin-Zugriff auf die Hardware selbst notwendig ist, um die Lücken zu nutzen. Alle Sicherheitslücken sollen innerhalb von Wochen geschlossen werden. Dazu reichen Firmware- und BIOS-Updates aus. Einen Leistungsverlust gibt es laut AMD nicht.Zudem sind offenbar keine der gefundenen Sicherheitslücken spezifisch für die Zen-Architektur. Vielmehr sind der Secure Processor und die im Chipsatz integrierten Komponenten von ASMedia betroffen. Die Sicherheitslücken haben keinerlei Schnittmenge mit Spectre und Meltdown.On March...

... weiterlesen
 
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.

NasaGTR

Experte
Mitglied seit
12.05.2013
Beiträge
7.926
Wie die können innerhalb von wenigen Wochen (vermutlich unter 90 Tagen) gefixt werden? Wie, dann ist die Aktie ja also doch mehr Wert als 0,00 $ und die müssen keine Insolvenz anmelden? Hmmmm das verwundert mich doch jetzt schon ganz schön über Viceroy Research und die davon komplett unabhängigen CTS Labs...


Jetzt mal im ernst, ich hoffe die SEC rückt Viceroy Research auf die Pelle (dann sind die auf einmal 0,00$ Wert und müssen Insolvenz beantragen...)

CTS Labs und deren 3 Mitglieder dürften jetzt auch nicht mehr ernst genommen werden.


Es ist natürlich wichtig das Lücken geschlossen werden egal wie klein sie sind, aber die paar Tausend die AMD für das finden gezahlt hätte waren wohl nicht so viel wie Viceroy Research gezahlt hat...
 

RAZ0RLIGHT

Enthusiast
Mitglied seit
19.08.2007
Beiträge
15.025
Ort
Bayern
Gut wie AMD damit umgegangen ist.

Viceroy sollte man am besten ne dicke Strafe aufbrummen, denn deren Intention war finanziell geprägt.

CTS Labs ist sowieso schon Geschichte, da sie dank ihrer Vorgehensweise sowieso nicht mehr ernst genommen werden.

Außerdem, wie NasaGTR schon angemerkt hat, Lücken sind Lücken und müssen gefixt werden.
 
Zuletzt bearbeitet:

Holzmann

The Saint
Mitglied seit
02.05.2017
Beiträge
29.665
Ort
über den Jordan
Damit ist auch das Argument von CTS implodiert warum sie AMD nicht vorab informiert haben. Sie sagten ja sie sind der Meinung AMD könne das nicht fixen. Nun passiert das noch bevor eine CVE-Nummer vergeben wurde.

Edit: Die gute und wichtige Nachricht ist, dass die Lücken geschlossen werden können.
 
Zuletzt bearbeitet:

fortunes

Legende
Mitglied seit
13.06.2003
Beiträge
11.863
Ort
RheinMain
So wird aus "Ryzenfall" ein "CTSfail". :shot:

Was für Trottel. Ein simples BIOS-Update genügt und fertig. Aber erstmal das Problem an die ganz große Glocke hängen und auf Leerverkäufe warten. Ich hoffe, die bekommen so richtig eins vor's Brett.
 

iceman84

Experte
Mitglied seit
12.01.2012
Beiträge
1.135
Ort
Bayern
Damit ist auch das Argument von CTS implodiert warum sie AMD nicht vorab informiert haben. Sie sagten ja sie sind der Meinung AMD könne das nicht fixen. Nun passiert das noch bevor eine CVE-Nummer vergeben wurde.

Edit: Die gute und wichtige Nachricht ist, dass die Lücken geschlossen werden können.

Ich dachte das hätten Sie, aber nur 24h vorher.
 

towa

Enthusiast
Mitglied seit
31.01.2005
Beiträge
3.617
Ort
Südlichstes NRW
Wieso wird eigentlich immer von Sicherheitslücken gesprochen?
Eine Lücke ist etwas, wenn ungewollt Zugriff ermöglicht werden kann. Wenn nun also bereits "Admin-Zugriff" bestehen muss, um diese "Sicherheitslücken" zu nutzen, dann haben wir hier einen Bug oder eine s.g. Lücke die in ihrer nutzbaren Umgebung unnötig zu erwähnen ist; denn wer Admin-Zugriff hat, der kann so viel Dramatischeres anrichten. :d
 

iceman84

Experte
Mitglied seit
12.01.2012
Beiträge
1.135
Ort
Bayern
Wieso wird eigentlich immer von Sicherheitslücken gesprochen?
Eine Lücke ist etwas, wenn ungewollt Zugriff ermöglicht werden kann. Wenn nun also bereits "Admin-Zugriff" bestehen muss, um diese "Sicherheitslücken" zu nutzen, dann haben wir hier einen Bug oder eine s.g. Lücke die in ihrer nutzbaren Umgebung unnötig zu erwähnen ist; denn wer Admin-Zugriff hat, der kann so viel Dramatischeres anrichten. :d

Ist halt "ähnlich" wie bei spectre, das Programme mit Admin rechten auf den Speicher von anderen/anderen VM´s zugreifen können was sie normal nicht dürften.
Soweit ich es sehe wird das auch wieder eher Hoster / VM Hostings betreffen als den normalen Nutzer (kann hier aber auch falsch liegen).
 

Squall2010

Enthusiast
Mitglied seit
05.01.2007
Beiträge
2.961
Ort
NRW
Ist doch schon seit Tagen bekannt, dass man dafür nen Admin-zugriff braucht.
 

Holzmann

The Saint
Mitglied seit
02.05.2017
Beiträge
29.665
Ort
über den Jordan
weil das für aktivität in Foren sorgt. Bei AMD jetzt vielleicht nicht sooo extrem, aber bei Intel oder gar Nvidia gehts da erstmal richtig ab. Und Aktivität ist das was ein Forum brauch :)

Du meinst weil der Marktanteil bei AMD so gering?
 

fortunes

Legende
Mitglied seit
13.06.2003
Beiträge
11.863
Ort
RheinMain
Ist halt "ähnlich" wie bei spectre, das Programme mit Admin rechten auf den Speicher von anderen/anderen VM´s zugreifen können
Aber das ist nur eine Spectre-Variante - die 2te. In Variante 1 und 3 (Meltdown) braucht man nur User-Rechte:
Sicherheitsrisiko CPU: Was man über Meltdown Spectre wissen muss

Spectre und Meltdown gehen weit über das hinaus, was die jetzigen Lücken "anrichten".

Und Spectre & Meltdown haben ein ganz anderes Ziel.

Bei Spectre & Meltdown kannst du eine VM auf einem fremden Server mieten, einrichten und fremde VMs auslesen.

Bei dem jetzigen Problem musst du Admin des PCs sein, nicht Admin der VM. ;)
 
Zuletzt bearbeitet:

Marfy

Profi
Mitglied seit
23.01.2017
Beiträge
99
Ort
Seelze bei Hannover
Das einzige "sinnreiche" Angriffsszenario welches diese "Sicherheitslücken" gewährleisten, beträfe aus meiner Sicht den Gebraucht-Mainboardhandel:
Ein User flash't mit Admin Rechten ein korrumpiertes BIOS, was dann wieder Wer-Weiss-Was tut.

Dann verkauft er dieses Mainboard auf EBay günstig und der neue Besitzer freut sich, über ein gehacktes Board und merkt es nicht einmal.

Ich bin leider nicht 100%ig im Thema, aber ich denke selbst mit einem korrumpierten BIOS sollte man mit einer Firmware aus sicher Quelle das Problem fixen können. Falls nicht... dann sollte man einfach keine gebrauchten AM4 X370 oder B350 Bretter kaufen (A320 Bretter kauft man ja eh nicht ;-) ). Mehr Gefahren fallen mir da nicht ein.

Die Bedrohungssituation von Innen ist in jeder Firma präsent und wesentlich realer als diese "Sicherheitslücken" welche CTS-Labs gefunden hat.
Wenn man einen Admin in der Firma hat, der einen Malware auf die Platine flasht, dann hat man ein viel größeres Problem, als all die heiße Luft die CTS-Labs verströmt.

Eine Lösung seitens AMD via Firmware Update, habe ich von Anfang an erwartet. Die ganze Angelegenheit wurde viel zu sehr aufgebauscht, um ein möglichst großes Medienecho zu erzeugen. Nur damit eine handvoll "Sicherheitsforscher" bekannt werden.

Traurig... Ich schließe mich den Worten von meinem Vorbild Linus Torvalds an ;-)

Liebe Grüße
Marfy :-)
 

unl34shed

Enthusiast
Mitglied seit
05.11.2007
Beiträge
3.675
Ort
Neckar-Odenwald Kreis
Ist halt "ähnlich" wie bei spectre, das Programme mit Admin rechten auf den Speicher von anderen/anderen VM´s zugreifen können was sie normal nicht dürften.
Soweit ich es sehe wird das auch wieder eher Hoster / VM Hostings betreffen als den normalen Nutzer (kann hier aber auch falsch liegen).

Nein, es ist gerade für Server eher uninteressant, da die VM's nicht das BIOS Flashen können und demnach keine Angriffsfläche geboten ist.
Und auch hier wenn der VM Host angegriffen wird und man da Admin rechte erhält, kann man viel mehr scheiß anstellen.
 
Oben Unten