Microsoft выпустила исправления для уязвимостей Meltdown и Spectre

Компания Microsoft выпустила внеочередные обновления безопасности, исправляющие опасные уязвимости Meltdown и Spectre, которые затрагивают почти все процессоры, выпущенные с 1995 года.

Компания не планировала выпускать обновления до следующей недели, однако была вынуждена опубликовать исправления после того, как исследователи из команды Google Project Zero обнародовали информацию об уязвимостях.

Как отметили представители компании, установки обновления может быть недостаточно. На некоторых компьютерах под управлением ОС Windows могут потребоваться дополнительные обновления прошивки процессора для исправления уязвимости Spectre, однако обновления от Microsoft полностью устраняют уязвимость Meltdown. Представители компании также предупредили о несовместимости исправлений безопасности с некоторыми антивирусными решениями.

«Во время тестирования мы обнаружили, что некоторые сторонние приложения посылают некорректные запросы в память ядра Windows, приводя к остановке работы системы (так называемый BSoD) […] Для предотвращения подобных ситуаций мы рекомендуем устанавливать обновления, выпущенные 3 января 2018 года, и предварительно удостовериться, что ваше антивирусное ПО поддерживает патчи от Microsoft», - заявили представители компании.
В настоящее время нет свидетельств эксплуатации Meltdown и Spectre в ходе кибератак, отметили специалисты.

Представители компании предупредили о несовместимости исправлений с некоторыми антивирусными решениями.

Источник

Вот это судя по всему прилетело....установилось с небольшими проблемками... Пока разницы в производительности не заметил. January 3, 2018—KB4056891 (OS Build 15063.850)

На 10-ке спокойно ставиться обнова или есть BSoDы?!

"Meltdown относится к сугубо локальным атакам и подразумевает выполнение кода на вашем компьютере. Если никакой посторонний код, включая высокоуровневые языки, проникнуть на конкретный компьютер не может, Meltdown не опасен
При этом не надо забывать, что Javascript в браузере — это тоже локально выполняющийся код. Разработчики браузеров сейчас предпринимают усилия (по состоянию на 4 января Firefox 57.0.4 уже вышел, соответствующая версия Chrome ожидается до конца месяца) по снижению эффективности использования JS для подобных атак, например, сознательно загрубляют доступные таймеры так, чтобы JS-код не смог достоверно измерить время доступа к памяти, но эти меры лишь снизят эффективность атак, но не исключат их полностью."

Из статьи по ссылке выше.

sergio-vla писал(а):

а что на Mac`ах?

Пофиксили Meltdown, падение производительности минимально (в пределах 3%). Скоро выпустят обновление Safari с фиксом Spectre - пожуем-увидим.

HansonTroy писал(а):

Интересно ,что будет с Банкоматами и прочими "станками" которые все на nt\xp %))

Ничего...
Это не уязвимость ОС.
Чтобы атаковать надо, чтобы программа злоумышленника исполнялась на этом компьютере.
В банкоматах и прочих "станках" свой однотипный список софта - он не зловреден.

Ну т.е. как раз за банкоматы переживать из-за этой проблемы не стоит.

Wizardzim, также добавлю к вашим словам ещё один пункт, у банкоматов и других АРМ (автоматизированных рабочих мест) своя закрытая сеть изернет, а не интернет.

Всё это оооочень подозрительно. Причем (В настоящее время нет свидетельств эксплуатации Meltdown и Spectre в ходе кибератак, отметили специалисты.). Не было никаких BSoD-ов уже лет 6, если не больше.
Конечно я "этим" себе ничего патчить не буду.

batlergerman писал(а):

А как быть счастливым обладателям ОС, основанных на Линуксе?

Те еще пару дней назад пропатчили/обновили свое/мамино/брата ядро и начали использовать уязвимость

lilolil писал(а):

Причем (В настоящее время нет свидетельств эксплуатации Meltdown и Spectre в ходе кибератак, отметили специалисты.)

Само собой, не было.
Ибо атака по Meltdown возможна только с черепашьей скоростью, в большинстве случаев медленней, чем будет меняться актуальное состояние памяти, и соответственно, не имеет особого смысла.
А атаки по Spectre вообще бессмысленны на практике, эта "уязвимость" чисто теоретическая и никакого прикладного применения не имеет вообще.

lilolil писал(а):

Всё это оооочень подозрительно. Причем (В настоящее время нет свидетельств эксплуатации Meltdown и Spectre в ходе кибератак, отметили специалисты.). Не было никаких BSoD-ов уже лет 6, если не больше. Конечно я "этим" себе ничего патчить не буду.

Полностью поддерживаю. Хотят заработать на падении производительности, или же вообще создать настоящий бэкдор, на вполне законных основаниях, потому и производительность упадет)))

Хоть бы раз выпустили патч, который исправляет ошибку/уязвимость, что даёт прирост к производительности :D
А то всегда так: Либо ничего не меняется, либо хуже становится в общем плане.

lilolil писал(а):

Всё это оооочень подозрительно. Причем (В настоящее время нет свидетельств эксплуатации Meltdown и Spectre в ходе кибератак, отметили специалисты.). Не было никаких BSoD-ов уже лет 6, если не больше. Конечно я "этим" себе ничего патчить не буду.

Перестанете качать обновки, канонизируете текущую версию Win?

Установил и хуже не стало. Спасибо!

Mediantos писал(а):

Скандальчик с замедлением оЙФонов, чтобы покупали новые... Падение продаж ноутов и настольных систем, некая лабораторная уязвимость, патч тормозящий процессоры... Совпадение? Не думаю! (с)

Просто с языка сняли... Я думаю вся эта канитель с мифическими дырами - договорняк в чистом виде.

Так что живите спокойно без заплаток.

Добавлено спустя 3 минуты 22 секунды:

Никто не спорит, что в процессорах куча умышленных закладок на "чёрный день", но править их никто не станет (не для того делано)...

Александр Русский писал(а):

lilolil писал(а): Всё это оооочень подозрительно. Причем (В настоящее время нет свидетельств эксплуатации Meltdown и Spectre в ходе кибератак, отметили специалисты.). Не было никаких BSoD-ов уже лет 6, если не больше. Конечно я "этим" себе ничего патчить не буду. Перестанете качать обновки, канонизируете текущую версию Win?

К обновам всегда подхожу деликатно и выборочно.

МОСКВА, 9 января. /ТАСС/. Microsoft зафиксировала проблемы у пользователей устройств с процессорами AMD при установке обновления Windows для устранения уязвимостей Spectre и Meltdown, работает над устранением сбоев. Об этом сообщила ТАСС пресс-секретарь корпорации Microsoft в России Кристина Давыдова.

"Microsoft совместно с AMD работает над устранением проблемы и возобновлением обновлений безопасности для устройств AMD через центр обновлений Windows (Windows Update) и служб обновления Windows Server (WSUS)", - сказала она.

В блоге Microsoft говорится, что компания получила от пользователей информацию о проблемах с загрузкой системы при установке последнего обновления Windows на ряде устройств с процессорами AMD. После изучения ситуации в Microsoft выяснили, что часть чипсетов AMD не соответствует параметрам, которые были указаны в переданных компании документах с целью разработки обновления Windows для устранения уязвимостей Spectre и Meltdown. Чтобы предотвратить возникновение проблем, Microsoft временно приостановила отправку части обновлений Windows (от 3 и 9 января) на устройства с процессорами AMD, которые затронули сбои.

Ранее специалисты по кибербезопасности корпорации Google обнаружили уязвимости в компьютерных микропроцессорах производства Intel, которые потенциально могут привести к хищению конфиденциальных данных пользователей. Речь идет о двух уязвимостях: одна из них (под названием Meltdown) затрагивает процессоры Intel, выпущенные после 1995 года. Другая (Spectre) касается не только продукции Intel, но и чипов производства компаний AMD и ARM. Для того, чтобы устранить потенциальный риск, производителям программного обеспечения, в том числе Microsoft, пришлось выпустить обновления своих продуктов.