Google e Microsoft revelam nova falha em processadores similar ao Spectre

Lembra do Meltdown e Spectre? Ambos eram falhas que atingiam os processadores modernos; o Meltdown permitia que aplicativos acessassem a memória reservada ao kernel do sistema operacional sem autorização, e o Spectre afetava a execução especulativa dos processadores, permitindo que informações confidenciais fossem vazadas.

Uma nova brecha, revelada pelo Google e Microsoft, não tem um nome tão simples: Speculative Store Bypass (SSB), ou desvio do armazenamento especulativo, em tradução livre. Como o nome indica, ela afeta a execução especulativa dos processadores (igual o Spectre), que aparentemente não é tão segura quanto deveria.

Como explicamos, para acelerar o desempenho dos softwares, os processadores modernos tentam adivinhar qual código será executado em seguida. Caso a previsão esteja errada, o resultado é simplesmente descartado; caso esteja certa, há uma economia de tempo e o desempenho é ligeiramente maior.

A partir do SSB, foi descoberto que a execução especulativa ocorre em um ambiente que não é seguro, onde um hacker pode induzir o processador a executar uma operação “adivinhada” que não seria executada em condições normais. A partir daí, dados sensíveis como senhas ou números de cartões de crédito podem ser roubados sem que ninguém perceba, já que até o processador é enganado.

Dessa vez, você não precisa se preocupar tanto: segundo a Intel, o SSB é uma falha de médio risco, porque a vulnerabilidade na execução especulativa foi mitigada nos principais navegadores modernos (a forma mais simples de explorar o SSB é por JavaScript) logo quando o Meltdown e Spectre foram descobertos.

A Intel e a AMD já disponibilizaram formas de conter a falha para todos os seus parceiros comerciais e dizem que não estão cientes de um caso em que o SSB foi explorada com sucesso. As pequenas formas de corrigir o problema, como explica a Red Hat, protegem ambientes de código da execução especulativa que poderiam ser acessados anteriormente.

Fonte: Tecnoblog