News Meltdown & Spectre: Details und Bench­marks zu den Sicherheits­lücken in CPUs

[Iscaran]

@xexex

Ja du hast Recht das Browser-Timing Patching erschwert die Verwendung aller 3 Lücken deutlich (zumindest via Webbrowser-Remote-Access).

Die Privilege Escalation von Meltdown ist aber wirklich ein Security SuperGAU. Zum Glück aber eben einer der zumindest leicht "blockeierbar" ist und in der nächsten CPU-Architekturengeneration sicherlich nicht mehr vorhanden sein wird.

Spectre bietet ein Potenzial an, weil man gezielt Applikationen angreifen kann, jedoch ist das nun mit gepatchten Browsern auch eher schwer bis unmöglich.

Selbst wenn die Lücken in den Systemen bis in aller Ewigkeit bleiben, ist das Angriffspotential auf Clientsystemen gering.

Ja.

Mit Meltdown kann man theoretisch nicht nur den Kernel-Speicher dumpen - sondern den Gesamten-Speicherraum !
Zusätzlich dazu dass man mit "user privilege escalation" auch noch aus z.B. dem Container oder der VM ausbrechen kann macht das diesen Angriff so gefährlich.

Nur mal ein etwas "ausgemaltes" Beispiel:
Ein Browser-Fenster (oder anderes Programmfenster über stunden geöffnet zu halten) ist aber nicht so schwierig. Zumal ich es ja "selbst" machen kann. Ich gehe mit meinem Browser/Programm auf die hostpage meines Cloud-Service dienstleisters und lasse dann den Memory locker mitlaufen....einige Stunden/Tage später sehe ich dann nach was da so an Zeug angefallen ist....da ich aus meinem Container ausbrechen kann sehe ich auch was sonst noch so auf dem Server passiert, außer den Dingen die in meinem Fenster laufen.

Mit den so mitgeschnippten Daten breche ich später mal in den Cloud-Server selbst direkt ein und....usw.

Nicht ohne Grund hielten die Jungs das für 6 Monate verdeckt, bis Ende Dezember quasi schon die patches (für Linux) ausgerollt waren...

EDIT-Nachtrag: https://meltdownattack.com/#faq-fix

Meltdown breaks the most fundamental isolation between user applications and the operating system. This attack allows a program to access the memory, and thus also the secrets, of other programs and the operating system.

Meltdown ermöglich unabhängig von jedweder Software etc. den Zugriff auf Speicherinhalte des Zielsystems und zwar auf KERNEL Ebene (unabhängig davon auf welcher Ebene mein Schadprogramm ausgeführt wird)

Spectre breaks the isolation between different applications. It allows an attacker to trick error-free programs, which follow best practices, into leaking their secrets. In fact, the safety checks of said best practices actually increase the attack surface and may make applications more susceptible to Spectre

Spectre ermöglicht es EINE spezielle Software auf EINEM spezielle Hardware System anzugreifen um an den Inhalt des der Software zugewiesenen Speicherstandes zu kommen.
Deswegen ist Spectre zwar weit schwerer zu "fixen" aber auch weit harmloser als Meltdown.

Spectre is harder to exploit than Meltdown, but it is also harder to mitigate. However, it is possible to prevent specific known exploits based on Spectre through software patches.

Gegen Spectre V1 gibt es NUR mitigations bislang...also "Erschwerungen" aber keine echten Patches
Spectre V2 kann in Kombination aus BIOS+Software wirklich "gepatched" werden
Meltdown wird via KPTI-Update gepatched.

There are patches against Meltdown for Linux (KPTI, formerly KAISER), Windows, and OS X. There is also work to harden software against future exploitation of Spectre, respectively to patch software after exploitation through Spectre (LLVM, ARM speculation barrier header).

 

[Erich95]

@MrJules
Diese Frage stellte ich heute Morgen schon einmal dort hieß es man solle es so verstehen das alles älter als broadwell einfach keine Updates mehr bekommt.

 

[xexex]

Nur mal ein etwas "ausgemaltes" Beispiel:
Ein Browser-Fenster (oder anderes Programmfenster über stunden geöffnet zu halten) ist aber nicht so schwierig...

Der Script muss lokal ausgeführt werden. Lässt du dein Browserfenster stundenlang offen und merkst nicht, dass deine CPU dabei seit Stunden auf 100% ausgelastet ist?

Selbst WENN du sowas machen würdest, hast du währenddessen im Klartext gespeicherte oder knackbar verschlüsselte Kennwörter in dem Speicher deines PCs?

 

[Iscaran]

@xexex: wenn du der Hacker bist der den Server angreift klar...warum nicht ? :-)

Wenn du cloud-dienste nutzt nutzt du auch direkt/indirekt deren Computer.....da gibt es schon so ein paar Möglichkeiten.
Was meinst du warum man erst KPTI ausgerollt hat bevor man damit an die "öffentlichkeit" ging ?

 

[Krautmaster]

Lässt du dein Browserfenster stundenlang offen und merkst nicht, dass deine CPU dabei seit Stunden auf 100% ausgelastet ist?

ne ich merk leider nicht wenn etwa 12 Kerne voll ausgelastet sind und ja, ich lass mein Browser Fenster oft Stunden bis Tage offen

 

[xexex]

@xexex: wenn du der Hacker bist der den Server angreift klar...warum nicht ?

Richtig einen Server!!!

Hast du einen Webserver oder VMs mit externen Rootzugriff auf deinem PC laufen?

Es geht noch immer darum wie groß die Gefahr für einen normalen Client-PC ist und nicht welche Gefahr durch Meltdown für die Hoster entstanden ist.

 

[branhalor]

@branhalor: wie genau gehst du vor?
Dein Konzept klingt interessant....

ICH mache da gar nichts. Außer, ein paar Fakten zusammenzunehmen:
1. Die Lücke existiert seit rund 20 Jahren.
2. Sie ist aber jetzt erst bekannt geworden.
3. Ergo ist sie nicht so leicht zu entdecken gewesen.
4. Wie zahlreiche Vorposter und Experten schon sagen, ist der Zugriff auf diese Weise mehr oder minder umständlich.
5. Den Spaß, meinen privaten PC zu hacken, der nur alle zwei Tage für zwei Stunden an ist (im Schnitt), wird sich niemand machen: Bis da jemand mitbekommen hat, daß ich was bei Amazon bestellt habe oder WoT online spiele, bin ich auch schon wieder offline.
6. A propos offline: Bei allem, was potentiell richtig Geld kostet, wenn was passiert, logge ich mich anschließend immer wieder aus! Auch auf meinem heimischen PC bin ich mit nichts dauerhaft und im Hintergrund permanent angemeldet. Ausnahme: Steam. Und da geht ohne mein zusätzliches PayPal-Konto und die Sicherheits-PIN auf’s Smartphone auch nix.
7. A propos offline: Es versteht sich von selbst, daß ich Online-Banking im Browser nur isoliert mache, d.h.: Zeitgleich wird nix anderes im Netz gemacht, geschweige denn stundenlang herumgesurft, während das Online-Banking noch geöffnet ist.
8. Das letzte Mal, daß ich nen Virenbefall auf meinem PC hatte, war mit rund 19/20, als ich mit aller Gewalt auf Schweinkram-Seiten rumgesurft bin…
9. Ergo: Solange ich nicht der Ansicht bin, überall im Netz permanent dauerhaft mit meinen ganzen Konten online sein zu müssen und das über Stunden hinweg, und mich gleichzeitig auf dubiosen Drittseiten tummele, sind ich und mein PC als Angriffsziel dermaßen was von uninteressant. Ich wage sogar zu behaupten, falls mich überhaupt ein Bot-Netz-Hacker jemals registriert haben sollte, hat er mich mittlerweile schon ganz weit unten in seiner Hitliste einsortiert – da gibt es attraktivere Ziele


Ich sag ja nicht, daß die aufgetauchten Lücken nicht potentiell gefährlich sein können. Und natürlich werde ich sie früher oder später schließen.
Aber diese Riesenpanikmache darum kann ich nicht verstehen und macht mich über die tatsächlichen Beweggründe eher skeptisch…

 

[Iscaran]

Hast du einen Webserver oder VMs mit externen Rootzugriff auf deinem PC laufen?

Es geht noch immer darum wie groß die Gefahr für einen normalen Client-PC ist und nicht welche Gefahr durch Meltdown für die Hoster entstanden ist.

Also für mich geht es nicht NUR um die Gefahr am Client-PC....die ist in allen Fällen am niedrigsten.
Für Meltdown braucht man keinen Rootzugriff...nur user ring. Also kann ich damit sehr theoretisch in JEDEN Cloud-Dienstleister einbrechen.

Aber allein darum (Client-PC) gehts nicht. Siehe Krautmasters Beispiel. Aber die Gefahr dass jemand sich die Mühe macht irgendeinen fuzzel client-PC stundenlang zu "observieren" ist auch vernachlässigbar um dann z.B. an das online-Bank passwort ranzukommen. Da hat man wohl schneller irgendeinen Phishing Trojaner geschrieben.

Aber auch hier - die Lücke ist da und ob und wie diese Potentiale genutzt werden ist noch weitgehend offen.

 

[AntiUser]

zu3.) Jeder Patch kann und wird die Performance treffen. der Meltdown+Spectre v2 Patch kostet wohl auf Intel-Systemen ca. 5-10% wieviel davon auf das KPTI (Meltdown) und wieviel davon auf das retpoline (Spectre v2) geht ist noch etwas unklar (meines Wissens):

Um das etwas zu spezifizieren, unter macOS kostet der Meltdown fix keine Performance und Spectre ca. 2,5% Javscript Performance in Safari lauf Apple.

 

[Iscaran]

@xexex: Oh gerade gefunden:

Das ist eine sehr schöne Aufschlüsselung der Problematik inklusive der existierenden und denkbaren Mitigations.
https://github.com/marcan/speculation-bugs/blob/master/README.md

Spectre v1: [MISPREDICT] Branch mis-prediction leaks subsequent data

• JITs/interpreters: Easy. Sandbox escape (same-context leak). Shared memory/threads make it easier.
• Same-CPU cross-process: Medium. Attacker needs to trigger the vulnerable code in the vulnerable process, then get a signal from the cache directly (e.g. by timing accesses to memory which has colliding cache tags on the same CPU core or sharing a level of cache). This includes attacks on the kernel and on hypervisors.
• Remote/service: Hard. Attacker needs some way of triggering the vulnerable code, then getting a timing signal back from the relevant cache lines. Probably not practical in most circumstances.

Spectre v2: [BTI] Branch Target Injection

• JIT: Tricky, but probably possible with careful instruction massaging?
• Same-cpu cross-process: Possible. Includes attacks on the kernel/hypervisor.
• Remote/server: Not possible.

Meltdown v1: [PRIV-LOAD] Privileged data reads from unprivileged code

• JIT: Possible. Combined with [MISPREDICT], can read arbitrary kernel memory.
• Same-cpu cross-privilege: Easy. Combine with [MISPREDICT] to avoid actual page faults (not required).
• Remote/service: Same as [MISPREDICT] on affected systems. Probably not practical.

Meltdown v2: [PRIV-REG] Privileged register reads from unprivileged code

• JIT: Not possible.
• Same-cpu cross-privilege: Easy, but limited impact.
• Remote/service: Not possible.

M-V2 ist exploit technisch eher irrelevant.



[h=3][/h]

 

[kisser]

AMD schweigt doch gar nicht:

https://www.amd.com/en/corporate/speculative-execution

Wo steht das was von betroffenen oder nicht betroffenen CPUs?

 

[J3FF]

i7 2600K @ Z68 Mainboard

Diverse Abstürze und Screenfreezes beim Surfen und Filme schauen.

Nervt!

 

[Shakyor]

https://youtu.be/LC1WuKdPVCQ

Von DF zum Thema Performance nach den Updates beim zocken

 

[Skellgon]

Ich bin ein Ivy-User (3770K).
Somit erhalte ich kein Microcode-Update.

Was bleibt mir jetzt übrig? Ausser OS und sonst alle Programme zu patchen - nicht viel, oder?

 

[kisser]

doch, für den Core i3 3217U gibt es ein Microcode-Update laut Intel und das ist vom 08.01.2018

Nein, die Datei ist für alle Intel CPUs und das letzte Update für deine CPU ist vom 26. Februar 2015.
Man muss auch mal in die Datei reinschauen.

Proc Update Flags Checksum Date Loader Data Total
000F0A 0015 0002 63E49A0C 08-21-2002 0001 07D0 0800
000F25 002C 0010 62D062AB 08-26-2004 0001 07D0 0800
000653 0010 0001 4B6DFC5E 06-28-1999 0001 07D0 0800
0006B1 001D 0020 6D9B5661 02-20-2001 0001 07D0 0800
000F27 0039 0008 823432CA 06-04-2003 0001 07D0 0800
00066A 000D 0008 BB94BAE6 05-05-1999 0001 07D0 0800
000F0A 0014 0004 64731550 07-16-2002 0001 07D0 0800
0006A1 0001 0004 DAC0A4CD 03-06-2000 0001 07D0 0800
000650 0041 0002 BC120EF5 05-25-1999 0001 07D0 0800
000F49 0003 00BD F85D53B8 04-21-2005 0001 07D0 0800
000681 000F 0008 73F2CCA2 09-21-1999 0001 07D0 0800
001632 0002 0000 6AAE5598 06-10-1998 0001 07D0 0800
000686 0007 0001 87AA303F 05-05-2000 0001 07D0 0800
000695 0007 0020 F7D0460F 11-09-2004 0001 07D0 0800
00066D 0007 0020 35BA5E6E 05-05-1999 0001 07D0 0800
000650 0045 0008 429C2F70 05-25-1999 0001 07D0 0800
000F29 002F 0008 FDB52A5D 08-11-2004 0001 07D0 0800
0006D6 0018 0020 B7B66D41 10-17-2004 0001 07D0 0800
0006B4 0001 0010 58213E6A 01-10-2002 0001 07D0 0800
000F33 000C 000D 58C41EFD 04-21-2005 0001 07D0 0800
0006A0 0003 0004 DFF45617 01-10-2000 0001 07D0 0800
000653 000B 0004 E3F50F82 05-20-1999 0001 07D0 0800
000686 000A 0002 F3BB1079 05-04-2000 0001 07D0 0800
000F68 0009 0022 0D8BB650 07-14-2006 0001 07D0 0800
000665 0003 0010 2B9733F1 05-05-1999 0001 07D0 0800
000F32 000A 000D 2538EF0A 05-11-2004 0001 07D0 0800
000695 0007 0010 F7D0461F 11-09-2004 0001 07D0 0800
0006B1 001C 0010 6506E1CF 02-15-2001 0001 07D0 0800
000686 0002 0004 332C50FC 05-04-2000 0001 07D0 0800
000F25 002A 0002 AD53035D 08-11-2004 0001 07D0 0800
000F12 002E 0004 B2548D0A 05-02-2003 0001 07D0 0800
000681 0010 0004 04387DE5 09-21-1999 0001 07D0 0800
000681 000E 0020 02AA9E53 09-21-1999 0001 07D0 0800
000F29 002E 0004 7695D4DC 08-11-2004 0001 07D0 0800
000650 0040 0001 B6A8B9B9 05-25-1999 0001 07D0 0800
00068A 0005 0080 B82BBBC1 12-07-2000 0001 07D0 0800
000F29 002D 0002 76E56915 08-11-2004 0001 07D0 0800
00066A 000C 0002 1D9D265A 05-05-1999 0001 07D0 0800
000F4A 0004 005C 5E7996D9 12-14-2005 0001 07D0 0800
0006B4 0002 0020 F512EC8F 01-11-2002 0001 07D0 0800
000653 000C 0002 810FE1AB 05-18-1999 0001 07D0 0800
000683 0008 0008 2942E387 10-15-1999 0001 07D0 0800
00066D 0006 0008 5A11F8B1 03-12-1999 0001 07D0 0800
000F24 001F 0002 1F19B59B 06-05-2003 0001 07D0 0800
000F27 0037 0004 972CD5FA 06-04-2003 0001 07D0 0800
000673 002E 0004 A5945ABF 09-10-1999 0001 07D0 0800
00066D 0005 0002 270B86CF 03-12-1999 0001 07D0 0800
00068A 0001 0010 80FC9E3B 11-02-2000 0001 07D0 0800
000681 000D 0001 31708166 09-21-1999 0001 07D0 0800
000652 002B 0004 D40D4BAF 05-12-1999 0001 07D0 0800
00068A 0004 0020 995EC216 12-07-2000 0001 07D0 0800
000695 0047 0080 A0324F3B 11-09-2004 0001 07D0 0800
000686 000C 0080 B8F53B16 05-04-2000 0001 07D0 0800
000F27 0038 0002 6D330D4A 06-04-2003 0001 07D0 0800
000F43 0005 009D 77812C17 04-21-2005 0001 07D0 0800
000652 002A 0001 C8B34CC7 05-12-1999 0001 07D0 0800
000F26 0010 0002 17CCAB58 08-05-2004 0001 07D0 0800
000F24 0021 0010 83ED02E7 06-10-2003 0001 07D0 0800
000F07 0008 0002 B7B473E7 11-15-2000 0001 07D0 0800
000652 002C 0002 05073130 05-17-1999 0001 07D0 0800
000653 000D 0008 C28F9258 05-18-1999 0001 07D0 0800
000F0A 0013 0001 2A2CC3CB 07-16-2002 0001 07D0 0800
00066A 000B 0020 5320EFC2 05-05-1999 0001 07D0 0800
000683 0007 0020 1C5EFD4B 10-15-1999 0001 07D0 0800
000671 0014 0004 83239DD8 08-11-1998 0001 07D0 0800
000681 0011 0010 FC16538D 09-21-1999 0001 07D0 0800
000F4A 0002 005D DFBC9997 06-10-2005 0001 07D0 0800
000F07 0012 0001 39E69FF0 07-16-2002 0001 07D0 0800
000F24 001E 0004 9BA58D71 06-05-2003 0001 07D0 0800
000672 0038 0004 FFD6AA2A 09-22-1999 0001 07D0 0800
000660 000A 0001 05B795F4 05-05-1999 0001 07D0 0800
000651 0040 0001 F400B4AC 05-25-1999 0001 07D0 0800
000686 0008 0010 EA2B7B61 05-05-2000 0001 07D0 0800
000F25 0029 0001 2795BA4B 08-11-2004 0001 07D0 0800
000F25 002B 0004 E4DCCE66 08-11-2004 0001 07D0 0800
0006FB 00BA 0020 9777492E 10-03-2010 0001 0FD0 1000
000F41 0017 00BD 326135C1 04-22-2005 0001 13D0 1400
0006FB 00BB 0008 E7FBF398 10-03-2010 0001 0FD0 1000
0006F6 00D0 0001 B61EC71A 09-30-2010 0001 0FD0 1000
0106CA 0107 0004 7DEB58B2 08-25-2009 0001 13D0 1400
0106CA 0107 0001 F851A3D9 08-25-2009 0001 13D0 1400
010677 070A 0010 F3710DB6 09-29-2010 0001 0FD0 1000
0006FB 00BA 0080 F953DC67 10-03-2010 0001 0FD0 1000
000F44 0006 009D 9F60DB18 04-21-2005 0001 0BD0 0C00
000F47 0003 009D AF2CEF0D 04-21-2005 0001 0BD0 0C00
000F48 0007 005F D0938263 06-30-2005 0001 0BD0 0C00
000F64 0002 0001 680B0995 12-15-2005 0001 0BD0 0C00
010661 0044 0080 53BAADCC 10-04-2010 0001 0FD0 1000
010676 060F 0001 8FE1A246 09-29-2010 0001 0FD0 1000
0006F6 00D2 0004 6618CFFF 10-01-2010 0001 0FD0 1000
010676 060F 0080 8FE1A1C7 09-29-2010 0001 0FD0 1000
000F62 000F 0004 0976D137 12-15-2005 0001 0BD0 0C00
0006FD 00A4 0020 9ACE60F7 10-02-2010 0001 0FD0 1000
0006FB 00BC 0040 F1A7A484 10-03-2010 0001 0FD0 1000
0006FD 00A4 0001 9ACE6116 10-02-2010 0001 0FD0 1000
0106C2 0217 0001 D987BC76 04-10-2009 0001 13D0 1400
0006FB 00BA 0010 ED247070 10-03-2010 0001 0FD0 1000
000F64 0004 0034 C66DBF02 12-23-2005 0001 0BD0 0C00
010676 060F 0010 8FE1A237 09-29-2010 0001 0FD0 1000
0106C2 0218 0004 8FB7C1BA 04-10-2009 0001 13D0 1400
0106CA 0107 0010 482CAE0E 08-25-2009 0001 13D0 1400
0106C2 0219 0008 556338C1 04-10-2009 0001 13D0 1400
0006FD 00A4 0080 9ACE6097 10-02-2010 0001 0FD0 1000
000F41 0016 0002 0A12A70A 04-21-2005 0001 13D0 1400
0006E8 0039 0020 00E9D6A3 11-15-2005 0001 0FD0 1000
0006FB 00BA 0001 08707B60 10-03-2010 0001 0FD0 1000
0006EC 0054 0020 7066B518 05-01-2006 0001 0FD0 1000
0006FB 00BC 0004 9394765A 10-03-2010 0001 0FD0 1000
0106CA 0107 0008 BE667CA5 08-25-2009 0001 13D0 1400
020661 0104 0001 38CB12B9 10-23-2009 0001 13D0 1400
010661 0042 0002 0E219073 10-04-2010 0001 0FD0 1000
0006F2 005D 0001 9384A573 10-02-2010 0001 0FD0 1000
000F65 0008 0001 5C58F575 04-26-2006 0001 07D0 0800
0006F6 00D1 0020 C3EFBA8F 10-01-2010 0001 0FD0 1000
000F48 000C 0001 5B9AFEC7 05-08-2006 0001 0BD0 0C00
000F34 0017 001D 2CBD6146 04-21-2005 0001 1BD0 1C00
0006F7 006A 0010 9911AAF2 10-02-2010 0001 0FD0 1000
0006EC 0059 0080 75996A3E 09-12-2006 0001 0FD0 1000
0006F2 005C 0020 C335A60F 10-02-2010 0001 0FD0 1000
0006F7 006B 0040 CC4DEED3 10-02-2010 0001 0FD0 1000
000F48 000E 0002 0E158E10 01-15-2008 0001 0BD0 0C00
020661 0105 0002 52558795 07-18-2011 0001 13D0 1400
0006FA 0095 0080 9F4B38D8 10-02-2010 0001 0FD0 1000
010661 0043 0001 4B64BA3A 10-04-2010 0001 0FD0 1000
0106E5 0007 0013 C6783666 08-20-2013 0001 1BD0 1C00
0306E4 042A 00ED 9B215C1F 12-01-2017 0001 3BD0 3C00
-------------------------------------------------------------------------
01067A 0A0B 00A0 B007E754 09-28-2010 0001 1FD0 2000
-------------------------------------------------------------------------
020652 000E 0012 8D3E4AF9 06-26-2013 0001 1FD0 2000
0106A5 0019 0003 58220E71 06-21-2013 0001 27D0 2800
-------------------------------------------------------------------------
01067A 0A0B 0011 B007E7E3 09-28-2010 0001 1FD0 2000
-------------------------------------------------------------------------
0206D7 0710 006D 30EAA2E5 06-17-2013 0001 43D0 4400
020655 0004 0092 3FACC649 06-28-2013 0001 0BD0 0C00
0106A4 0012 0003 9383A5F1 06-21-2013 0001 37D0 3800
0306E6 0600 00ED 14788DCE 06-19-2013 0001 2BD0 2C00
0206D6 0619 006D F9BFC8BA 05-22-2012 0001 3FD0 4000
0206A7 0029 0012 C9C91DF0 06-12-2013 0001 27D0 2800
0306E7 070D 00ED 7A50A860 05-29-2014 0001 3BD0 3C00
0306A9 001C 0012 2F737D45 02-26-2015 0001 2FD0 3000
0406F1 B000021 00EF 2E06E7EE 03-01-2017 0001 67D0 6800
0406E3 00C2 00C0 C6C6F699 11-16-2017 0001 183D0 18400
0306D4 0028 00C0 734956F1 11-17-2017 0001 47D0 4800
040651 0021 0072 2B637CE4 11-20-2017 0001 57D0 5800
040661 0018 0032 A2AC454C 11-20-2017 0001 63D0 6400
040671 001B 0022 4763E424 11-17-2017 0001 33D0 3400
0306F4 0010 0080 40551AAB 11-17-2017 0001 43D0 4400
0506E3 00C2 0036 328B43AF 11-16-2017 0001 183D0 18400
0306C3 0023 0032 16535FE4 11-20-2017 0001 5BD0 5C00
0306F2 003B 006F B4A4C42D 11-17-2017 0001 83D0 8400
0206F2 0037 0005 99E7BDA6 06-18-2013 0001 33D0 3400
-------------------------------------------------------------------------
01067A 0A0B 0044 B007E7B0 09-28-2010 0001 1FD0 2000
-------------------------------------------------------------------------
010676 060F 0040 8FE1A207 09-29-2010 0001 0FD0 1000
0106D1 0029 0008 2408D9A1 09-30-2010 0001 0FD0 1000
010676 060F 0004 8FE1A243 09-29-2010 0001 0FD0 1000
050662 0014 0010 9161527A 12-16-2017 0001 7BD0 7C00
050663 7000011 0010 B17C1102 12-16-2017 0001 57D0 5800
050664 F00000A 0010 746156A3 06-02-2016 0001 53D0 5400
0806E9 0080 00C0 6961A256 01-04-2018 0001 17FD0 18000
0806EA 0080 00C0 F6263DAE 01-04-2018 0001 17FD0 18000
0906E9 0080 002A 6AA1DE93 01-04-2018 0001 17FD0 18000
0906EA 0080 0022 84CABC68 01-04-2018 0001 17BD0 17C00
0906EB 0080 0002 D24EDB7F 01-04-2018 0001 17FD0 18000
050654 200003C 00B7 A4059069 12-08-2017 0001 6BD0 6C00
0706A1 0022 0001 CA264967 12-26-2017 0001 11FD0 12000
0506C9 002C 0003 C73E3E90 03-25-2017 0001 3FD0 4000

Grün: Veränderungen seit dem letzten MCUpdate von intel.

 

[xexex]

@xexex: Oh gerade gefunden:

Schöne Zusammenfassung!

Für Meltdown braucht man keinen Rootzugriff...nur user ring. Also kann ich damit sehr theoretisch in JEDEN Cloud-Dienstleister einbrechen.

Siehe deine eigene Zusammenfassung. Trotzdem muss den Server vom Provider dazu bringen deinen Code auszuführen, das geschieht nicht indem du eine Webseite per Browser aufrufst. Vielleicht habe ich mich da unklar ausgedrückt.

 

[cbtestarossa]

..... ist die Verwendung von mcu, wobei das wohl kein Bestandteil von Grub ist.
Eine Implementierung des Programms ist unter https://biosbits.org/ zu finden.

Dieses funktioniert auch bei Windows.

Bits lässt sich auch auf einen USB Stick installieren und dort starten. Nach dem µCode Update kann man dann weiter ins Windows booten.

Das wäre doch ne gute Lösung oder? Schon im Bootloader den Patch und danach irgendein OS starten.

 

[kisser]

Wenn hier jemand deinen Unmut verdient, wäre das Microsoft und nicht AMD. Das liegt nämlich am Patch und nicht an der CPU, ist ja nicht der erste Patch seitens MS der Windows kaputt macht...

Es liegt daran, dass AMDs Dokumentation fehlerhaft war. Mit falschen Infos kann man keine korrekt funktionierenden Patches entwicklen.
Also hat AMD den Unmut sehr wohl verdient!

Ergänzung (10. Januar 2018)

Aber hauptsache mal Falschinformationen ins Forum knallen.

Immer schön bei der Wahrheit bleiben gilt nach wie vor für DICH!

Ergänzung (10. Januar 2018)

Auch wenn das egal ist. Schuld ist an dieser Stelle AMD und es steht auch bereits im Artikel.

Muss man mal wieder hervorheben, bevor Aldaric und Konsorten hier weiter Unwahrheiten verbreiten.

 

[MXE]

ich spreche dich jetzt nicht persönlich an, sondern alle intel nutzer.

oft, in der vergangenheit, wenn ich computerprobleme hatte, mußte ich mir hier und in anderen foren sachen anhören, wie "was willste mit dem AMD schrott" und "wennde qualität willst, kauf intel" und "nur intel bietet mir die maximale spieleleistung, dein AMD FX wirds wohl kaum bringen". wo ist denn jetzt die ehre und treue der intel fanboys? gilt nun nicht mehr, was geschrieben wurde?

ich habe keine lust, daß alle intel nutzer jetzt auf AMD umsteigen. die preise erhöhen sich und lieferschwierigkeiten sind vorprogrammiert. in dem maße, wie hier betreff intels qualität und leistung getrommelt wurde, bitte ich euch, nun auch bei eurem viel besseren intel zu bleiben.

vielen dank.

Das Problem war bisher, dass AMD absolut nicht mithalten konnte mit ihren CPU seit Bulldozer und deshalb Intel so erfolgreich war die letzten 12 Jahre ABER mit Ryzen gibt es immerhin eine potentielle Alternative und Intel bekommt prinzipiell kein Geld mehr weil ich diese Firmenpolitik nicht mehr unterstützen möchte.
Es sind die gleichen Leute die sich auch über Apple aufregen, dabei ist das inzwischen gepatcht worden währen 99% der Androiduser einen Dreck bekommen werden. Es geht auch darum wie man mit Kunden umgeht und Intel zeigt hier den Stinkefinger!

 

[aldaric]

kisser, so wie du ständig Falschinformationen verbreitest ?

Wäre der Patch für die typische Dauer in der Insider Preview geblieben, was in der Regel wohl 4 Wochen sind, wäre dieser Fehler schon dort aufgefallen. Da aber der Patch laut einschlägigen Seiten lediglich für einen Zeitraum von 10 Tagen in der Preview war, blieb der Fehler unerkannt. Da die Dringlichkeit durch Intel's Fehler so groß war, wurde der Patch direkt über das Microsoft Update an die Live-Systeme verteilt.

Dort liegt der Fehler, da die normale Testphase nicht eingehalten worden ist.

Lies halt genau, bevor du wieder rumtrollst und bei noch mehr Leuten auf die Ignore-Liste fliegst.

Denn wenn alles so toll war von Microsoft, frage ich mich warum so viele mit Intel-Systemen über Freezes / Restarts und Bluescreens klagen. Hach, wäre doch die Testphase nur länger aktiv gewesen, nicht wahr ?