2023-1763: Collide+Power, verschiedene Prozessoren: Eine Schwachstelle ermöglicht das Ausspähen von Informationen

Historie:

Version 1 (2023-08-03 13:52)

Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware

Beschreibung:

Ein Angreifer kann eine Schwachstelle in Prozessoren verschiedener Hersteller lokal ausnutzen, um über einen, als ‘Collide + Power’ bezeichneten Seitenkanalangriff Informationen auszuspähen.

Für die Ausnutzung der Schwachstelle sind übliche Privilegien erforderlich.

AMD informiert über die Schwachstelle in Prozessoren aus eigener Herstellung, hält eine Ausnutzung außerhalb von Laborumgebungen aufgrund ihrer Komplexität für nicht wahrscheinlich. Als Möglichkeit zur Minimierung der Angriffsfläche wird im Falle von AMD EPYC Server-Prozessoren die Aktivierung des 'Performance Determinism'-Modus angegeben. AMD Ryzen Prozessoren unterstützen den 'Core Boost Disable bit'-Modus, der die Frequenz der für den Angriff erforderlichen Berechnungen absenkt.

Der Hersteller von Arm-Prozessoren teilt mit, das ‘Collide + Power’-Angriffe prinzipiell durchführbar seien, aber aufgrund der hohen Komplexität, schlechten Skalierbarkeit und sehr geringen Datenexfiltration kein hohes Risiko darstellen.

Intel hat bisher nicht offiziell auf die Bekanntmachung der Schwachstelle reagiert. Die bekannten Mitigationen gegen die Angriffe PLATYPUS und Hertzbleed sollten aber auch hier greifen.

Schwachstellen:

CVE-2023-20583

Schwachstelle in Prozessoren verschiedener Hersteller ermöglicht Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.