Уязвимостям Spectre и Meltdown могут быть подвержены промышленные решения

В процессорах Intel, ARM64 и AMD были обнаружены уязвимости, позволяющие получить несанкционированный доступ к содержимому виртуальной памяти. Атаки, использующие эти уязвимости, были названы Meltdown и Spectre.

Согласно исследованиям Google Project Zero, выявленная проблема включает три уязвимости:

• обход проверки границ (CVE-2017-5753/Spectre);
• манипуляцию целевым кэшем адресов ветвлений (CVE-2017-5715/Spectre);
• оседание данных в кэше после отмены операции (CVE-2017-5754/Meltdown).

При этом атаки Spectre позволяют пользовательскому приложению получить данные другой программы, Meltdown — также содержимое памяти ядра.

Данные бреши могут затрагивать компьютеры, серверы и мобильные устройства под управлением операционных систем Windows, macOS, Linux, Android, iOS и Chrome OS, поскольку большинство этих устройств использует уязвимые микропроцессоры. По мнению исследователей Kaspersky Lab ICS СERT, уязвимостям Meltdown и Spectre также может быть подвержено промышленное оборудование, главным образом, серверы SCADA, промышленные компьютеры и сетевые устройства. Поэтому информацию об уязвимости используемого оборудования рекомендуется уточнять у производителей.

Об уязвимостях своих продуктов уже заявила компания Cisco. Среди затронутых устройств — маршрутизаторы Cisco 800 Industrial Integrated Services и коммутаторы Industrial Ethernet 4000.

Компания Siemens сообщила, что в настоящий момент проводит анализ влияния уязвимостей Spectre и Meltdown на свои продукты, а также тестирует совместимость решений с патчами, выпускаемыми для операционных систем.

Источники: Siemens, Cisco, Google Project Zero, ICS-CERT

Обновление (15.01.2018):

Анализом данной проблемы также занимается компания ABB. Согласно заявлению, выявленные бреши безопасности потенциально могут затрагивать все продукты ABB, которые используют уязвимые процессоры.

Обновление 2 (19.01.2018):

Компания Schneider Electric опубликовала уведомление о влиянии уязвимостей на свои продукты и рекомендовала соблюдать осторожность при установке патчей, если они применяются к критическим системам.

Компания OSIsoft подготовила информацию, связанную с установкой обновлений операционной системы Windows для устранения уязвимостей Spectre и Meltdown. В том числе в ней содержатся данные о влиянии патчей на производительность программного обеспечения PI Systems.

Данные о материалах других вендоров, включая General Electric и Rockwell Automation, приведены в уведомлении US ICS CERT.