Anfang des Jahres wurde die Prozessor-Branche durch Spectre und Meltdown erschüttert: Dabei machen es sich Angreifer zunutze, dass Prozessoren in einigen Fällen schon Code ausführen, obwohl noch gar nicht sicher ist, dass das Ergebnis überhaupt benötigt wird (Speculative Processing). Dadurch will man verhindern, dass der Prozessor wertvolle Taktzyklen verschwendet, in dem er beispielsweise auf das Auslesen eines Wertes aus dem Hauptspeicher wartet. Unter bestimmten Bedingungen werden hierbei aber Sicherheitsmechanismen ausgehebelt, die es Angreifern ermöglichen, beispielsweise Speicher auszulesen, für den der aktuelle Prozess gar keine Rechte besitzt.

Vor zwei Wochen wurde bekannt, dass es insgesamt noch acht weitere Angriffsmöglichkeiten dieser Art gibt - bis heute halten Sicherheitsforscher genaue Informationen zu diesen Lücken zurück, um Hackern keine neuen Möglichkeiten zu eröffnen, bis die Lücken behoben sind.

Intel hat nun bekanntgegeben, dass bald Updates für zwei dieser acht Lücken bereitstehen: Spectre Variante 3a (CVE-Nummer CVE-2018-3640, Rogue System Register Read) und Spectre Variante 4 (CVE-Nummer CVE-2018-3639, Speculative Store Bypass) sollen durch CPU-Microcode-Updates behoben werden. Diese Microcode-Updates können entweder durch Betriebssystem-Updates oder durch BIOS-Aktualisierungen eingespielt werden.

Auch andere Plattformen betroffen
Im Redhat-Blog ist zu lesen, dass neben Intel-Prozessoren auch diverse AMD-Chips, auf der ARM-Architektur basierende Prozessoren, IBM POWER 8 und POWER 9 CPUs und IBM System-Z-Chips angreifbar sind. Ob Apples A-Prozessoren, die ebenfalls auf der ARM-Architektur basieren, von diesen neuen Angriffstaktiken betroffen sind, ist derzeit noch nicht bekannt.

Noch keine Informationen, wann Patches erscheinen
Bisher gibt es noch keinen genauen Fahrplan, wann welche Betriebssysteme Updates erhalten, um die Spectre 3a- und 4-Sicherheitslücken zu stopfen - auch Apple hat sich bisher noch nicht dazu geäußert, wann und ob Apple diese Mängel durch ein macOS-Update behebt.

Risikoeinschätzung
Intel stuft das Risiko dieser beiden Lücken als "Mittel" ein - hauptsächlich sind Cloud-Server das Ziel solcher Angriffe, da Hacker unter Umständen Speicher von anderen, parallel auf diesen Servern betriebenen virtuellen Maschinen auslesen können. Angreifer, die es auf PCs oder Macs abgesehen haben, nutzen normalerweise andere Lücken (wie zum Beispiel in Web-Browsern), um sich Zugriff auf die Rechner zu verschaffen. Spectre und Meltdown erfordern, dass der Hacker bereits Code auf dem Computer ausführen kann - daher sind Cloud-Server, auf denen sich Rechenzeit mieten lässt, ein gutes Ziel für Attacken dieser Art.