Intel Xeon und andere Server-CPUs leiden unter Sicherheitslücken in NetCAT, die Datenlecks durch DDIO und RDMA ermöglichen

Intel

Intel-CPUs, die insbesondere in Servern und Mainframes verwendet werden, sind anfällig für Sicherheitslücken, die es Angreifern ermöglichen, Daten zu verarbeiten, die verarbeitet werden. Der Sicherheitsfehler im Intel Xeon auf Server-Ebene und anderen ähnlichen Prozessoren kann es Angreifern möglicherweise ermöglichen, einen Seitenkanalangriff zu starten, der auf die Arbeit einer CPU schließen und eingreifen kann, um Daten zu verstehen und abzurufen.

Forscher der Vrije-Universität in Amsterdam berichteten, dass die Server-Prozessoren von Intel unter einer Sicherheitslücke leiden. Sie haben den Fehler, der als schwerwiegend eingestuft werden kann, als NetCAT bezeichnet. Das Sicherheitslücke eröffnet die Möglichkeit für Angreifer um auf die CPUs zuzugreifen, auf denen Prozesse ausgeführt werden, und auf die Daten zu schließen. Die Sicherheitslücke kann aus der Ferne ausgenutzt werden, und Unternehmen, die sich auf diese Intel Xeon-Prozessoren verlassen, können nur versuchen, die Gefährdung ihrer Server und Mainframes zu minimieren, um die Wahrscheinlichkeit von Angriffen und Datendiebstahlversuchen zu begrenzen.

Anfällige Intel Xeon-CPUs mit DDIO- und RDMA-Technologien:

Sicherheitsforscher der Universität Vrije untersuchten die Sicherheitslücken im Detail und stellten fest, dass nur wenige bestimmte Intel Zenon-CPUs betroffen waren. Noch wichtiger ist, dass diese CPUs über zwei spezifische Intel-Technologien verfügen mussten, die genutzt werden konnten. Laut den Forschern benötigte der Angriff zwei Intel-Technologien, die hauptsächlich in der Xeon-CPU-Reihe zu finden sind: Data-Direct-E / A-Technologie (DDIO) und Remote Direct Memory Access (RDMA), um erfolgreich zu sein. Details zum Die NetCAT-Sicherheitsanfälligkeit ist in einem Forschungsbericht verfügbar . Offiziell wurde die NetCAT-Sicherheitslücke als markiert CVE-2019-11184 .

Intel scheint zu haben erkannte die Sicherheitslücke in einigen Intel Xeon-CPU-Modellen an . Das Unternehmen veröffentlichte ein Sicherheitsbulletin, in dem festgestellt wurde, dass NetCAT Xeon E5-, E7- und SP-Prozessoren betrifft, die DDIO und RDMA unterstützen. Insbesondere ermöglicht ein zugrunde liegendes Problem mit DDIO die Seitenkanalangriffe. DDIO ist seit 2012 in Intel Zenon-CPUs weit verbreitet. Mit anderen Worten, mehrere ältere Intel Xeon-CPUs mit Serverqualität, die derzeit in Servern und Mainframes verwendet werden, können anfällig sein.

Es ist möglich, das SSH-Passwort einer Person zu erkennen, wenn diese es über das Netzwerk in ein Terminal eingibt, indem eine interessante Sicherheitsanfälligkeit in der Intel-Netzwerktechnologie ausgenutzt wird, sagen Infosec-Gurus. https://t.co/X0jZpgCSks Und Geschenke für Intel-CPU-Fehler kommen immer wieder.

- Der beste Linux-Blog in der Unixverse (@nixcraft) 10. September 2019

Auf der anderen Seite sagten die Forscher der Universität Vrije, dass RDMA es ihrem NetCAT-Exploit ermöglicht, 'den relativen Speicherort von Netzwerkpaketen auf dem Zielserver chirurgisch zu steuern'. Einfach ausgedrückt ist dies eine ganz andere Angriffsklasse, die nicht nur Informationen aus den Prozessen, die von den CPUs ausgeführt werden, herausspüren, sondern auch diese manipulieren kann.

Die Sicherheitsanfälligkeit bedeutet, dass nicht vertrauenswürdige Geräte in einem Netzwerk 'jetzt vertrauliche Daten wie Tastenanschläge in einer SSH-Sitzung von Remoteservern ohne lokalen Zugriff verlieren können'. Dies ist natürlich ein ziemlich schwerwiegendes Sicherheitsrisiko, das die Datenintegrität gefährdet. Übrigens hatten die Forscher der Vrije-Universität im Juni dieses Jahres nicht nur Intel auf die Sicherheitslücken in den Intel Zenon-CPUs aufmerksam gemacht, sondern auch das niederländische nationale Cyber-Sicherheitszentrum. Als Zeichen der Wertschätzung und zur Koordinierung der Offenlegung der Sicherheitsanfälligkeit mit Intel erhielt die Universität sogar ein Kopfgeld. Der genaue Betrag wurde nicht bekannt gegeben, aber angesichts der Schwere des Problems hätte er erheblich sein können.

Wie kann ich mich vor Sicherheitslücken in NetCAT schützen?

Derzeit besteht die einzige gesicherte Methode zum Schutz vor der Sicherheitslücke in NetCAT darin, die DDIO-Funktion vollständig zu deaktivieren. Darüber hinaus warnen Forscher davor, dass Benutzer mit den betroffenen Intel Xeon-Prozessoren die RDMA-Funktion aus Sicherheitsgründen deaktivieren sollten. Es ist unnötig zu erwähnen, dass einige Systemadministratoren DDIO auf ihren Servern möglicherweise nicht aufgeben möchten, da dies eine wichtige Funktion ist.

Intel hat angemerkt, dass Xeon-CPU-Benutzer 'den direkten Zugriff von nicht vertrauenswürdigen Netzwerken einschränken' und 'Softwaremodule verwenden sollten, die gegen Timing-Angriffe resistent sind und einen Code mit konstanter Zeit verwenden'. Die Forscher der Universität Vrije bestehen jedoch darauf, dass ein bloßes Softwaremodul möglicherweise nicht wirklich gegen NetCAT verteidigen kann. Die Module könnten jedoch in Zukunft bei ähnlichen Exploits helfen.