A biztonságtechnikai kutatók folyamatosan keresik a hibákat a különböző hardverekben és szoftverekben, így derülhetett fény korábban egyebek mellett a Spectre és a Meltdown bugokra, amelyek igen nagy felfordulást okoztak anno. Ezeken kívül számos olyan egyéb sebezhetőségre is fény derült már, amelyek az x86-os CPU architektúrákat érintik, ám a napokban egy újabb szereplővel bővült a kör. A friss sebezhetőség, amely az ÆPIC nevet viseli, az Intel legmodernebb processzorait érinti, és ez most nem egy újabb oldalcsatorna-támadás jellegű dolog, hanem egy olyan sérülékenység, ami az architektúra sajátosságaiból fakad.
Az ÆPIC lényegében az Advanced Programmable Interrupt Controllert, vagyis a Fejlett Programozható Megszakításvezérlőt érinti (APIC). A probléma a biztonságtechnikai kutatók szerint egyszerűen az, hogy a rendszer nem megfelelően és tisztán inicializálja a regisztereket, éppen ezért a korábban használt adatok, amelyek a másodszintű gyorsítótár és az utolsó szintű gyorsítótár között mozogtak, megmaradnak ezekben a regiszterekben, így hozzájuk lehet férni. Ez azért baj, mert az adatok között egyebek mellett a biztonságról gondoskodó SGX enklávéhoz tartozó adatok is jelen lehetnek, ami mindenképpen biztonsági kockázatot jelent.
A hardveres eredetű buggal kapcsolatban egy jó hír is van: a benne rejlő lehetőségek kiaknázásához rendszergazdai jogosultságra van szükség, vagyis a támadók mozgástere behatárolt. Ha a támadóknak már van root jogkörük, eleve bármit megtehetnek az adott rendszeren, nem kell ilyen biztonsági résekkel bajlódniuk. A hibát egyébként virtualizált környezetben sem lehet kihasználni, hiszen a hypervisorok nem engedik meg a virtuális gépek számára, hogy hozzáférjenek az APIC regiszterekhez.
A bug a biztonságtechnikai kutatók szerint aláássa az SGX enklávé megbízhatóságát és biztonságát, így mindenképpen kezdeni kell valamit a hibával. Rövidebb távon ez mikrokód/firmware frissítést, hosszabb távon azonban hardveres javítást jelent, amit nyilván csak a következő generációs processzoroknál lehet bevetni. Az SGX-et egyébként a januári bejelentés alapján száműzi az Intel a konzumerpiaci processzorokból, ám a szerverpiacon továbbra is használatban marad. A kutatók rövidtávon az APIC MMIO letiltását vagy az SGX kikapcsolását ajánlják. Az Intel szerint az operációs rendszerek és a virtuális gép monitorok esetében érdemes bekapcsolni az x2APIC Mode nevű funkciót, ami letiltja az xAPIC MMIO lapot, helyette pedig modellspecifikus regiszterek formájában teszi elérhetővé az APIC regisztereket, ami az érintett termékeknél csökkenti a támadási felületet.
Hogy mely processzorok érintettek? Az alábbiak:
- 10. generációs Intel Core processzorok (Ice Lake)
- 11. generációs Intel Core processzorok (Tiger Lake és Rocket Lake)
- 12. generációs Intel Core processzorok (Alder Lake)
- 3. generációs Xeon Scalable processzorok (Ice Lake-SP)
- Xeon D-1700-as és Xeon D-2700-as sorozatú processzorok
- Gemini Lake alapú Intel Atom, Intel Celeron és Intel Pentium SoC egységek
A patch érkezésére még várunk, igaz, a buggal kapcsolatos első tájékoztatást már 2021 decemberében megkapták az Intel illetékesei. A sebezhetőség egyébként a CVE-2022-21233-as bejegyzés alatt fut.
