AMD rudert zurück: Prozessoren doch von Spectre 2 betroffen, Microcode-Updates für Ryzen und Epyc in Kürze

AMD musste nun einräumen, dass seine Hauptprozessoren offenbar doch wesentlich anfälliger für die zweite Variante des Angriffsszenarios Spectre sind (CVE-2017-5715, Branch Target Injection) sind als bislang gedacht. Dies gab AMDs Senior Vice President Mark Papermaster in einer aktualisierten Sicherheitsinformation auf der AMD-Website bekannt.

CPU-Sicherheitslücken Meltdown und Spectre

Die in Prozessoren entdeckten Sicherheitslücken Meltdown und Spectre treffen die Prozessorhersteller ins Mark - vor allem Intel. Aus den Lücken ergeben sich mehr als ein Dutzend Angriffsmöglichkeiten - ein Security-Supergau.

• FAQ: Was ist passiert, bin ich betroffen, wie kann ich mich schützen?
• Webinar: Meltdown & Spectre verstehen - was Unternehmen jetzt wissen müssen
• Meltdown und Spectre im Überblick: Grundlagen, Auswirkungen und Praxistipps
• Die Sicherheitshinweise und Updates von Hardware- und Software-Herstellern
• Analyse zur Prozessorlücke: Meltdown und Spectre sind ein Security-Supergau
• Berichte und Nachrichten zu Meltdown & Spectre

Bis vor kurzem hatte AMD noch erklärt, dass AMD-Prozessoren aufgrund ihrer Architektur ein Risiko nahe Null hätten, von Spectre 2 betroffen zu sein, außerdem sei die Anfälligkeit der Variante 2 auf AMD-Prozessoren nicht nachgewiesen. Doch diese Einschätzung hat sich nun geändert.

AMD spricht mittlerweile davon, dass es die AMD-Prozessorarchitektur "schwierig" mache, die Spectre-Variante 2 auszunutzen und das Unternehmen wegen dieser Bedrohung eng mit der Industrie zusammenarbeite. Die Bedrohung wolle es über die Kombination von Microcode-Updates und Betriebssystem-Patches verringern – diese wolle AMD seinen Kunden zur Verfügung stellen.

Microcode-Updates für Ryzen und Epyc in Kürze

Noch in dieser Woche will AMD beginnen, "optionale" Microcode-Updates für die Prozessorserien Ryzen und Epyc zu verteilen. Für ältere Prozessoren sei geplant, innerhalb der kommenden Wochen Updates herauszubringen. Diese Updates sollen laut AMD jeweils von den Geräte- und Betriebssystemherstellern verteilt werden. Nutzer sollen sich für weitere Informationen an diese wenden. Linux-Anbieter haben laut AMD bereits damit begonnen, Betriebssystem-Patches für AMD-Prozessoren bereitzustellen. AMD arbeite außerdem eng mit der Linux-Community zur Entwicklung der Retpoline-Abschwächung zusammen, die das Risiko des Ausnutzens der Branch Target Injection vermindern soll.

Angaben zu möglichen Performance-Verminderungen durch das Einspielen der Patches hat AMD bisher nicht gemacht. Intel dagegen spricht von bis zu 10 Prozent Leistungsverlust. Wesentlich stärker ist anscheinend die SSD-Leistung bezüglich der I/O-Operationen betroffen – c't maß auf einem Intel-System einen Einbruch der I/Ops mit einer Samsung SSD 960 Pro um rund 50 Prozent.

AMD-Grafikchips nicht betroffen

AMD stellt außerdem klar, dass AMD-Grafikchips für die drei Angriffsszenarien Spectre 1, Spectre 2 und Meltdown nicht anfällig sind, da sie keine Speculative Execution nutzen.

Über Meltdown und Spectre eröffnet sich für Angreifer die Möglichkeit, sensible Daten wie Passwörter aus Speicherbereichen auszulesen.

Links zu aktuellen Informationen und Sicherheitshinweisen von Hardware- und Software-Anbietern zum Thema Meltdown und Spectre finden sie in einer von heise online ständig aktualisierten Übersicht. Antworten auf die häufigsten Fragen finden Sie in der zugehörigen FAQ, eine Erklärung der Funktionsweise von Meltdown und Spectre in einer umfassenden Analyse.

• Weitergehende Analysen, Benchmarks zu den Auswirkungen der Patches und Untersuchungen der Updates finden Sie in c't-Ausgabe 3/18.

(mfi)