Vai al contenuto
Meltdown e Spectre, le cose da sapere e da fare (senza panico)

Meltdown e Spectre, le cose da sapere e da fare (senza panico)

Ultimo aggiornamento: 2018/01/07 00:40.

Se avete sentito parlare in toni drammatici di due importanti falle informatiche annunciate in questi primi giorni del 2018, rilassatevi.

Sì, il problema è serio, ma se non siete informatici per lavoro (per esempio gestite una banca o un servizio cloud) probabilmente vi basta aggiornare il vostro Windows, Mac, Linux, Android o iOS e le vostre applicazioni (in particolare il browser) come consueto, senza panico. Forse dovrete aggiornare anche il firmware del vostro processore. Se invece siete informatici per lavoro, vi aspettano giorni difficili e mi dispiace molto per voi.

In estrema sintesi, Meltdown e Spectre sono i nomi dati a gravi difetti di progettazione e di funzionamento presenti in buona parte dei processori fabbricati dal 1995 in poi da Intel e in alcuni di quelli prodotti da AMD e progettati da Arm. Sono processori usati in computer, tablet, telefonini e molti altri dispositivi (comprese le auto “intelligenti”). Non si tratta dei soliti difetti di app o sistemi operativi: qui sono proprio i chip stessi a essere fallati.

Specificamente, Meltdown è un difetto dei processori della Intel (e del futuro Cortex-A75 della Arm), mentre Spectre (in due varianti) tocca non solo i processori di Intel ma anche quelli di AMD (Ryzen) e Arm usati sugli smartphone, secondo The Register. Meltdown è risolvibile via software; Spectre per ora no.

Questi difetti hanno una caratteristica comune: entrambi risiedono nelle funzioni di speculative execution dei processori e intaccano le barriere protettive fondamentali che isolano un processo da un altro (per esempio un’app da un’altra). Normalmente un’app non può spiare i dati usati da un’altra app, ma con Meltdown e Spectre questo isolamento cade, e cade malamente, come racconta questo articolo tecnico.

Questo consente per esempio a una pagina Web o a un’app ostile di rubare password (persino da un gestore di password), chiavi crittografiche, Bitcoin e altre criptovalute, mail, foto, documenti o altri dati o di eseguire istruzioni a suo piacimento sul vostro dispositivo. Basta usare del Javascript in un browser non aggiornato. In altre parole, è male.

Per i sistemi aziendali che usano macchine virtuali, è stato dimostrato che un attacco eseguito su una macchina virtuale può leggere la memoria fisica della macchina ospite (host) e da lì leggere la memoria di un’altra macchina virtuale presente sullo stesso host. Per chi gestisce o usa servizi cloud, insomma, è malissimo.

Tanto per darvi un’idea di quanto sia brutta questa situazione, il CERT statunitense aveva inizialmente consigliato di cambiare tutti i processori (“Fully removing the vulnerability requires replacing vulnerable CPU hardware.”) (copia su Archive.is). Poi si è ricreduto.

Non risulta al momento che ci siano attacchi attivi che sfruttano queste falle, ma è probabilmente solo questione di tempo [2017/01/05 19:00: sono arrivati]. Le dimostrazioni di efficacia di queste falle realizzate dagli esperti, invece, sono già in circolazione:

Siccome cambiare processore non è granché fattibile nella maggior parte dei dispositivi, è necessario ricorrere a correzioni software, da scaricare tramite aggiornamenti del firmware, del sistema operativo e delle applicazioni.

Nonostante le preoccupazioni iniziali su possibili riduzioni delle prestazioni dei processori dovuti a queste correzioni, le prime indicazioni non rivelano rallentamenti avvertibili in circostanze normali [2018/01/07 00:40 segnalati tempi quasi doppi per il mining della criptovaluta Monero].

  • Per il firmware, Intel ha annunciato di aver già pubblicato aggiornamenti correttivi per “la maggior parte dei processori introdotti negli ultimi cinque anni”, ma solo per Meltdown; Spectre rimane. AMD ha pubblicato delle informazioni di base; Arm ha messo online un elenco dei prodotti vulnerabili e le patch per Linux.
  • Per i dispositivi Apple, iOS risulta già corretto dalla versione 11.2, macOS dalla 10.13.2 e tvOS dalla 11.2 (watchOS non richiede aggiornamenti correttivi). Il browser Safari dovrebbe ricevere a breve un aggiornamento.
  • Per Linux è disponibile un aggiornamento (piuttosto manuale). Il kernel 4.14.11, rilasciato il 3 gennaio, risolve le falle. Per sapere quale kernel avete, il comando (a terminale) è uname -r o uname -a.
  • Per i dispositivi Android sono disponibili gli aggiornamenti della patch 2018-01-05 (almeno per i telefonini e tablet supportati dai produttori); per sapere se il vostro Android è aggiornato, seguite Impostazioni – Sistema – Informazioni sul telefono (o tablet) – Livello patch di sicurezza.
  • Firefox è corretto dalla versione 57.0.4. Se avete una versione precedente, aggiornatela.
  • Google Chrome sarà corretto dalla versione 64, che dovrebbe uscire il 23 gennaio; nel frattempo conviene attivare la site isolation come descritto qui. 

Il problema principale è Windows.

  • Microsoft Edge, Internet Explorer 11, Windows 10, Windows 8.1 e Windows 7 SP1 sono corretti con l’aggiornamento KB4056890 del 3 gennaio scorso (come spiegato nella Client Guidance for IT Pros, nella Server Guidance e nell’Advisory ADV180002 di Microsoft) e con l’aggiornamento KB4056892: lanciate Windows Update per aggiornarvi.
  • Tuttavia ci sono conflitti con alcuni antivirus, per cui gli aggiornamenti non si installano sui dispositivi che hanno quegli antivirus (la lista è in continua evoluzione; Kaspersky era già a posto da fine dicembre). Siamo insomma all’ironia che gli antivirus ostacolano la sicurezza.
  • Esiste un’app gratuita per verificare la corretta installazione degli aggiornamenti in Windows: si chiama SpecuCheck.

Per i computer, i tablet e i telefonini (almeno quelli aggiornabili), insomma, il problema è risolvibile, anche se ci sarà sicuramente qualcuno che non si aggiornerà perché si crede più intelligente degli altri o perché ha un capo che si crede più intelligente degli altri. Ma restano i vecchi smartphone e tutti gli altri dispositivi connessi a Internet, quelli dell’Internet delle Cose, come sistemi di monitoraggio e controllo remoto, “smart TV”, automobili, impianti di domotica, che forse non vedranno mai un aggiornamento.

Se volete saperne di più, in italiano potete leggere per esempio Siamogeek o Il Post; in inglese c’è una panoramica dettagliata su Gizmodo e nei siti dedicati alle vulnerabilità, ossia Meltdownattack.com e Spectreattack.com.

Se siete responsabili informatici di un’azienda, potreste trovare ispirazione in questi consigli per definire un piano d’azione. Preparate i fazzoletti.

2018/01/05 19:00

Come facilmente prevedibile, cominciano ad arrivare i primi attacchi, basati su Spectre.


 Fonti aggiuntive: Bruce Schneier, The Verge, Google Project Zero, Medium, ANSA, CERT, The Register, VirusBulletin, Sophos, BleepingComputer, BBC, Repubblica.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Schermo nero della morte per Windows 7?

Schermo nero della morte per Windows 7?

L’articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2009/12/02 12:50.

Vari siti specialistici e anche siti generalisti come la BBC stanno segnalando un problema che a quanto pare potrebbe affliggere milioni di utenti di Windows 7 ed è stato battezzato affettuosamente lo Schermo Nero della Morte.

In pratica, all’avvio di Windows 7 lo schermo risulta completamente nero dopo aver fatto login: niente desktop, taskbar o barra laterale, ma (quando va bene) solo una finestra di Explorer. Questo rende comprensibilmente piuttosto difficile lavorare. Il problema riguarda anche Windows Vista, XP, NT, e 2000.

La società di software Prevx ha predisposto un rimedio temporaneo e parziale. La causa sembra essere uno dei recenti aggiornamenti di Windows, quello del 25 novembre, che ha cambiato la gestione del Registro. Cercando negli archivi Microsoft si trovano delle informazioni per XP, che però sembrano riguardare un altro problema che produce una schermata nera. Secondo InformationWeek, Microsoft per ora si limita a dire che “sta investigando le segnalazioni” e che a indagine completata fornirà “istruzioni dettagliate su come prevenire o gestire queste problematiche”.

Ne siete stati colpiti? Avete maggiori informazioni? Una foto o un video? Non vorrei che fosse una tempesta in un bicchier d’acqua. Fate le vostre segnalazioni nei commenti.

Soprattutto una raccomandazione: non fidatevi di siti Web sconosciuti che offrono rimedi per questo problema. I parassiti e criminali della Rete stanno già approfittando della notizia.

Aggiornamento 2009/12/01 ore 21:10

A quanto risulta dalle ultime notizie (Cnet.com) e dai vostri commenti, il problema è piuttosto circoscritto e di certo non sta causando disastri planetari. Alcuni utenti di Slashdot confermano di essere stati colpiti momentaneamente dal baco. Microsoft Technet ne discute con gli utenti qui.

Aggiornamento 2009/12/02 ore 00:10

Il Microsoft Security Response Center dice che gli aggiornamenti di Windows di novembre non sono collegati allo “schermo nero della morte” in questione, che il meccanismo proposto dalle fonti che hanno segnalato il problema (una modifica ai permessi del Registro) non c’è negli aggiornamenti suddetti (“none of these updates make any changes to the permissions in the registry. Thus, we don’t believe the updates are related to the “black screen” behavior described in these reports.”): la causa potrebbe essere un malware. Inoltre, sempre secondo il MSRC, il problema non è molto esteso.

Aggiornamento 2009/12/02 ore 12:50

Prevx chiede “scusa a Microsoft per eventuali disagi causati” dal suo articolo e conferma che le patch recenti di Windows non c’entrano nulla con lo Schermo Nero della Morte.

Fonti aggiuntive: Hwupgrade.it
Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
ShellShock, Apple rilascia gli aggiornamenti correttivi

ShellShock, Apple rilascia gli aggiornamenti correttivi

Sono disponibili gli aggiornamenti per Mac OS X Mavericks, Mountain Lion e Lion che risolvono il difetto di sicurezza di Bash per queste versioni del sistema operativo per computer di Apple.

Maggiori dettagli su Ars Technica, 9to5Mac.

L’immagine della T-shirt con la dicitura Breaking Bash è tratta da qui.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Dieci anni di Martedì delle Pezze: il “Patch Tuesday”

Questo articolo era stato pubblicato inizialmente il 4/10/2013 sul sito della Rete Tre della Radiotelevisione Svizzera, dove attualmente non è più disponibile. Viene ripubblicato qui per mantenerlo a disposizione per la consultazione.


Martedì prossimo (8 ottobre) Microsoft rilascerà otto aggiornamenti di sicurezza, che riguardano Windows, Internet Explorer, .NET, Office, SharePoint e Silverlight. Almeno una di queste falle viene già sfruttata attivamente su Internet dai criminali informatici, per cui non è il caso di tentennare sull’aggiornamento.

Il rilascio degli aggiornamenti coinciderà con il decimo anniversario del cosiddetto “patch Tuesday”, letteralmente il “martedì delle pezze (o delle patch)”: questo è il nome che Microsoft usa per indicare il secondo martedì di ogni mese, che è il giorno scelto dall’azienda per rilasciare in blocco gli aggiornamenti di sicurezza che Microsoft ha preparato e accumulato nel corso del mese. Questa tecnica di rilascio fu introdotta a ottobre del 2003 per dare agli amministratori di sistema una data certa e regolare per la quale prepararsi agli aggiornamenti. Le eccezioni alla regola del secondo martedì vengono riservate soltanto per le vulnerabilità più gravi attivamente sfruttate per attacchi informatici.

Oltre al “patch Tuesday” esiste anche l’“exploit Wednesday”, ossia (traducendo un po’ liberamente) il “mercoledì dello sfruttamento del mancato rattoppo”: i criminali informatici analizzano infatti gli aggiornamenti, li confrontano con le versioni precedenti del software e osservano le differenze. Questo permette loro di scoprire i punti vulnerabili dei vari software e di creare attacchi che li prendono di mira, contando sul fatto che molti utenti sono pigri o riluttanti ad installare gli aggiornamenti (oppure non possono farlo a causa di politiche aziendali) e quindi restano vulnerabili. Non rendete la vita facile ai criminali digitali: aggiornate sempre e subito il vostro software.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Aggiornamenti e falle per Firefox, Microsoft e Acrobat

Aggiornamenti e falle per Firefox, Microsoft e Acrobat

Rattoppi e buchi un po’ per tutti, occhio ai PDF

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

È un periodo intenso di vulnerabilità e di rattoppi generali. Firefox è uscito da poco con la versione 3.0.7, che sistema cinque falle, tre delle quali erano classificate come critiche, e corregge alcuni problemi di stabilità e di gestione della memoria. I dettagli sono descritti qui sul sito ufficiale. L’aggiornamento è di norma automatico.

Anche Thunderbird, il popolare programma di posta, si rattoppa perché condivide parte del proprio codice con Firefox: i suoi utenti possono rimediare usando l’aggiornamento alla versione 2.0.0.21, per ora disponibile solo tramite scaricamento manuale ma prossimamente disponibile anch’esso in automatico.

Tornando ai browser alternativi, anche chi usa Opera si deve aggiornare, alla versione 9.64, perché il browser aveva una falla che permetteva a un’immagine JPEG appositamente confezionata di mandarlo in crash, spianando la strada agli aggressori.

In casa Microsoft ci si prepara invece al consueto aggiornamento mensile, il patch Tuesday, che stavolta prevede correzioni per Windows 2000, XP e Vista, nonché Server 2003 e 2008, per via di falle che Microsoft definisce in un caso “critiche”, perché consentono l’esecuzione remota (ossia permettono a un aggressore di prendere il controllo del PC della vittima). Resta aperta la falla di Microsoft Excel che permette la stessa presa di controllo tramite un file Excel ostile.

Allegati a rischio anche per chi usa il formato PDF, e in un modo particolarmente insidioso e per ora non riparabile: Adobe Acrobat e Reader hanno una falla che sotto Windows permette di infettarsi anche senza aprire il documento infetto: è sufficiente lasciare il mouse qualche istante sopra l’icona del file PDF ostile oppure selezionarlo. La patch di correzione sarà pronta intorno all’11 marzo, secondo Adobe. Nel blog di Didier Stevens c’è un video con annotazioni tecniche che spiegano il meccanismo di azione di un esempio di PDF ostile che sfrutta questa vulnerabilità.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Microsoft, patch critica per baco .Lnk

Microsoft, patch critica per baco .Lnk

Riparata la vulnerabilità critica di Windows che sfrutta i file .LNK; in arrivo altri rattoppi

Microsoft ha distribuito un aggiornamento di sicurezza straordinario che corregge il modo in cui Windows, nelle versioni da XP a 7, gestisce gli shortcut (file di collegamento, di solito contraddistinti dall’estensione .LNK). Era sufficiente visualizzare l’icona di questi file per aprire le porte alle infezioni virali.

L’aggiornamento è disponibile dal 2 agosto scorso e si installa automaticamente su tutti i computer Windows che hanno attivato gli aggiornamenti automatici. Microsoft ha segnalato che l’insolita distribuzione al di fuori dei consueti aggiornamenti mensili si è resa necessaria per via dell’aumento degli attacchi che stavano sfruttando questa vulnerabilità (la CVE-2010-2568), come descritto in dettaglio dal Microsoft Malware Protection Center. Un gruppo di questi attacchi, denominato Sality, “infetta altri file (rendendo difficile la rimozione dopo l’infezione), si copia ai supporti rimovibili, disabilita la sicurezza e poi scarica altro malware” ed è “una delle famiglie più prevalenti di quest’anno”. Brasile e Stati Uniti sono i paesi maggiormente presi di mira. Un buon antivirus aggiornato dovrebbe rilevare e bloccare questo tipo di minaccia.

Il 10 agosto, il giorno del rituale patch Tuesday, Microsoft distribuirà un numero record di aggiornamenti e correzioni: ben 14 bollettini di sicurezza descrivono e risolvono 34 vulnerabilità in Windows (XP, Vista, 7 e altre versioni server), Internet Explorer, Office, SQL e Silverlight. Otto dei bollettini sono classificati come “critici” e sei sono “importanti”. Il preavviso tecnico di Microsoft è disponibile qui. Agosto non sarà un mese di riposo per chi fa manutenzione di computer.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Microsoft patcha di soppiatto

Microsoft patcha di soppiatto

Le patch segrete di Microsoft

I bollettini Microsoft per gli aggiornamenti di sicurezza MS10-024 e MS10-028, pubblicati ad aprile, descrivevano soltanto una vulnerabilità classificata “importante” o “media” ma non “critica”. In realtà installava silenziosamente anche delle correzioni per due falle molto più gravi, decisamente critiche, che Microsoft non ha annunciato nonostante costituissero un rischio per molti utenti, secondo quanto rivelato da un articolo della società di sicurezza informatica Core Security.

Le falle in Microsoft Exchange e nei servizi SMTP rendevano molto semplice falsificare (fare spoofing) le risposte alle query DNS; un problema non da poco, sfruttabile per vari attacchi informatici. Soprattutto, lamenta la Core Security, il fatto di non annunciare la correzione ha impedito ai responsabili della sicurezza informatica delle aziende di conoscere la vera importanza della patch di Microsoft e quindi valutarne e pianificarne opportunamente l’introduzione. Nel bollettino c’era solo un accenno annidato nelle FAQ.

Microsoft ha risposto (per esempio a The Register) con una frase molto diplomatica e Core Security ha a sua volta ribattuto: se volete immergervi nei dettagli tecnici, li trovate su Breaking Code, che spiega anche quanto sia diffusa questa prassi di affidare agli utenti aggiornamenti che correggono vulnerabilità senza annunciarlo. Oggi, per fortuna, queste correzioni infilate di soppiatto sono smascherabili dagli esperti: se volete sapere come si fa, cercate le parole binary diffing.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Patch mensile per Microsoft

Patch mensile per Microsoft

Windows e Office, 25 falle da turare martedì prossimo

Preparatevi: il 13 aprile prossimo Microsoft rilascerà le correzioni che turano 25 vulnerabilità di Windows (tutte le versioni, compresa la 7), Office (versioni XP, 2003 e 2007) ed Exchange Server. Cinque di queste sono considerare critiche ed espongono l’utente al rischio di esecuzione di codice da remoto: in altre parole, permettono a un aggressore di prendere il comando del PC della vittima.

Manca all’appello, nella lista delle falle turate, quella di Internet Explorer presentata durante la gara di smanettoni Pwn2Own svoltasi a fine marzo a Vancouver. Verranno invece corrette la vulnerabilità in VBScript che permetteva di infettare il computer della vittima inducendola a premere il tasto F1, segnalata ai primi di marzo, e in SMB (Server Message Block, il protocollo di condivisione standard di Windows).

Tutti i dettagli delle versioni di software interessate dalle falle e dai rispettivi aggiornamenti di correzione sono elencati nel bollettino di preavviso di Microsoft del mese corrente.

Microsoft ricorda inoltre agli utenti di Windows XP che XP SP2 non verrà più supportato da Microsoft per gli aggiornamenti di sicurezza a partire da metà luglio 2010, per cui è opportuno aggiornare XP al Service Pack 3 oppure passare a una versione più recente del sistema operativo. Per sapere se siete aggiornati al Service Pack 3, aprite Esplora Risorse, cliccate sul menu Guida (il punto interrogativo), scegliete Informazioni su Windows e leggete cosa dice la riga che inizia con la parola Versione.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Firefox, falle da turare

Falle in Firefox 1.5 e 2.0, la pezza è pronta

Questo articolo vi arriva grazie alle gentili donazioni di “pilli48” e “giuseppe”.

Secunia segnala una serie di falle di Firefox che vanno turate subito in quanto definite “altamente critiche”. Sono colpite sia la versione vecchia, la 1.5, alla quale sono rimasti fedeli molti utenti, sia la più recente versione 2.0. Chi per il momento non può aggiornare Firefox farebbe bene a disabilitare Javascript.

Una delle falle riguarda Javascript, e l’utente si trova esposto a rischi di intrusione, furto di file ed esecuzione di programmi indesiderati, scelti dall’aggressore, in caso di visita a siti-trappola o di visualizzazione di un e-mail ostile in formato HTML.

Gli aggiornamenti per Firefox sono già disponibili: riceverete un avviso automatico che vi invita a scaricarli e installarli. Accettate l’avviso e riavviate Firefox per attivarli e navigare più tranquilli.

Sempre secondo Secunia, anche Internet Explorer 7 ha dei problemi con la stessa vulnerabilità, ma in misura “meno critica”.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.

Antivirus Microsoft mangia la posta di Outlook

L’antivirus di Microsoft fa sparire tutta la posta di Outlook se vi trova un virus

Questo articolo vi arriva grazie alle gentili donazioni di “fabrizio.balestr****” e “fabiotechnologies”. L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Mentre gli utenti Windows si godono una inconsueta pausa nel ciclo degli aggiornamenti mensili di sicurezza, probabilmente dovuta alla concomitanza di un aggiornamento che gestisce il nuovo calendario dell’ora legale statunitense, giunge la notizia che l’antivirus di Microsoft, Windows Live OneCare (50 euro/anno per tre computer, comprensivo di firewall, backup e altre funzioni di sicurezza), ogni tanto si “mangia” la posta di Outlook.

Lo segnala per esempio Appscout.com, che fornisce anche la spiegazione di questo bizzarro comportamento dell’antivirus Microsoft: se ricevete con Outlook un e-mail infetto, OneCare si accorge che il file contenente tutti i messaggi contiene del codice virale e quindi va messo in quarantena, come si fa con qualsiasi altro file infetto. A modo suo, il comportamento è logico, anche se inatteso e decisamente poco gradito per esempio dai partecipanti al forum di OneCare.

La buona notizia, insomma, è che la posta non viene cancellata, ma soltanto spostata: l’importante è ovviamente saperlo e quindi non disperarsi. Non è un debutto molto felice per l’antivirus Microsoft: speriamo sia soltanto un problema di dentizione.

Aggiornamento: come potete leggere nei commenti, Microsoft ha rilasciato un aggiornamento di OneCare per risolvere la magagna. Il commento include anche le istruzioni per ripristinare i file di posta messi erroneamente in quarantena.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.