Über viele Monate hielten die Sicherheitslücken Meltdown (Rogue Data Cache Load, CVE-2017-5754) und Spectre (Spectre 1: Bounds Check Bypass, CVE-2017-5753 und Spectre 2: Branch Target Injection, CVE-2017-5715) die PC-Nutzer in Atem. Kaum sind diese Lücken hoffentlich geschlossen, berichtet das Computermagazin c’t, dass Sicherheits-Experten in den Intel-Prozessoren acht neue Sicherheitslücken entdeckt haben. Die Sicherheitsexperten sprechen deshalb von „Spectre Next Generation“ (Spectre NG).
Genauso wie bei Spectre und Meltdown nutzen die neu entdeckten Sicherheitslücken die von Intel offensichtlich fehlerhaft konstruierte Sicherheitsarchitektur der Prozessoren aus. Sicherheits-Experten fordern deshalb eine grundsätzliche Neukonstruktion der Prozessor-Architektur. Bereits im Januar 2018 hatte Linux-Vater Linus Torvalds Ähnliches verlangt.
Die Sicherheits-Experten haben die neuen Sicherheitslücken bereits an Intel gemeldet. Alle Details zu den neuen Sicherheitslücken sind derzeit noch geheim. Intel beziehungsweise die Hersteller der Hauptplatinen-Firmware beziehungsweise die Betriebssystem-Macher sollen so die Möglichkeit bekommen, die Lücken zu schließen, bevor diese publik werden und von Hackern ausgenutzt werden können.
So viel ist aber schon bekannt: Jede der acht neuen Lücken besitzt bereits eine eigene Nummer im Verzeichnis aller Sicherheitslücken (Common Vulnerability Enumerator, CVE). Und für jede dieser Lücken ist laut c’t ein separater Patch erforderlich. Damit dürfte das nächste Patch-Chaos vorprogrammiert sein.
Zudem scheint es Hinweise zu geben, dass auch ARM von den neu entdeckten Sicherheitslücken betroffen sein könnte. Ob auch AMD-Prozessoren betroffen sind, ist derzeit noch unbekannt und wird noch untersucht.
Intel soll bereits an einigen Patches arbeiten. Einige Patches soll Intel wie schon bei der Meltdown- und Spectre-Problematik zusammen mit den Betriebssystem-Herstellern erstellen. Wann die ersten Patches gegen Spectre NG erscheinen, ist noch nicht offiziell bekanntgegeben. Laut c’t soll die erste Patch-Welle aber im Mai und eine zweite im August 2018 kommen.
Intel stufe laut dem Bericht vier der Lücken als “hohes Risiko” ein und die anderen vier als „mittel“. Eine der neuen Lücken soll „Angriffe über Systemgrenzen hinweg“ stark vereinfachen. Die neuen Lücken sollen vor allem für die Betreiber von Servern und Cloud-Diensten und deren Kunden gefährlich sein; Passwörter und geheime Schlüssel für sichere Datenübertragung könnten dadurch gestohlen werden. Private PC-Nutzer und Firmen-PCs sollen durch die neuen Spectre-Lücken dagegen weniger gefährdet sein.
Meltdown und Spectre: Ist meine CPU betroffen? Was muss ich tun?
Autor: Hans-Christian Dirscherl, Redakteur
Hans-Christian Dirscherl schreibt seit über 20 Jahren zu fast allen IT-Themen. Sein Fokus liegt auf der Koordination und Produktion von Nachrichten mit hohem Nutzwert sowie auf ausführlichen Tests und Ratgebern für die Bereiche Smart Home, Smart Garden und Automotive.