مايكروسوفت وجوجل تكتشفان خلل جديد مرتبط بثغرات Spectre و Meltdown
كشف باحثون من مايكروسوفت ومشروع جوجل المسمى Google Project Zero عن ثغرة أمنية جديدة ذات صلة بثغرات Meltdown و Spectre المكتشفة بداية العام ضمن رقاقات الأجهزة، حيث تعرف الثغرة الجديدة باسم “Speculative Store Bypass” أو “Variant 4″، وهي عبارة عن نوع جديد من العيوب الأمنية المتعلقة بتلك الثغرات، والذي يؤثر أيضًا في الرقاقات المستخدمة ضمن مئات الملايين من أجهزة الحاسب والأجهزة المحمولة.
وللتذكير، فقد ضجت الإنترنت في شهر يناير/كانون الثاني من هذا العام بالأخبار المتعلقة باكتشاف ثغرات تؤثر على الرقاقات العاملة ضمن مختلف أنواع الأجهزة، بما في ذلك الخوادم وأجهزة الحواسيب المكتبية والمحمولة والأجهزة اللوحية والهواتف الذكية، والتي من المحتمل أن تعرض البيانات للخطر ضمن تلك الأجهزة، حيث سمحت العيوب، للقراصنة بالتلاعب بشكل غير واضح في تقنية مشتركة تستخدم لتسريع معالجة البيانات، ونتيجة لذلك، سارع مصنعو الرقاقات وصانعي البرامج إلى إصدار تصحيحات أمان.
وقالت مايكروسوفت إن الخطر على المستخدمين من هذا الخلل منخفض، في حين لاحظت إنتل انه لا يوجد دليل على أن الخلل قد تم استخدامه بالفعل من قبل المتسللين، ووفقًا للمعلومات فإن الخلل الجديد يستخدم طريقة مختلفة لاستخراج المعلومات الحساسة، كما أنه يؤثر على العديد من الرقاقات المصنعة من قبل شركات إنتل و AMD و ARM.
ويبدو أن الخلل الجديد ذو تأثير منخفض، ويعود ذلك جزئيًا إلى تصحيحات الأمان الخاصة بمتصفحات الويب التي صدرت في وقت سابق من هذا العام للتعامل مع ثغرة Spectre، ويعمل الآن مصنعو الرقاقات ومطورو البرامج على إصدار إصلاحات مخصصة، حيث يمكن للمهاجم في حالة استغلال الثغرة الوصول إلى البيانات التي يتم تخزينها بعيدًا، إذ تسمح Variant 4 للمعالج بتحميل البيانات الحساسة إلى مساحات غير آمنة وقراءة قيم الذاكرة القديمة على وحدة المعالجة المركزية.
وكانت شركة مايكروسوفت قد بدأت في شهر مارس/آذار بتقديم ما يصل إلى 250 ألف دولار من أجل التبليغ عن مثل هذه الثغرات التي تشبه عيوب Meltdown و Specter، وتقول إنها اكتشفت هذا الخطأ الجديد منذ شهر نوفمبر/تشرين الثاني 2017، وقامت بالكشف عنه لشركاء الصناعة، وتعمل الآن مع إنتل و AMD لتحديد تأثيرات الأداء على الأنظمة.
وأوضحت شركة إنتل من جهتها أنها أتاحت التحديث اللازم للمصنعين وبائعي البرامج، مع توقعها بأن لا يؤثر التصحيح على أداء الحاسب، لكنها اعترفت بأن الأداء انخفض على أنظمة الاختبار الخاصة بها بنسبة بين 2 إلى 8 في المئة.
وقالت شركة مايكروسوفت عبر تحذير أمني نشرته إنه من الممكن للمهاجم أن يستفيد من تقنية جافا سكريبت ضمن المتصفحات لتنفيذ الهجمات، وكان الباحثون من Google Project Zero، الذين اكتشفوا ثغرات Spectre و Meltdown، قد قاموا بإبلاغ شركات Intel و AMD و Arm عن المشكلة في شهر فبراير/شباط، حيث تم تصنيف الثغرة على أنها ذات خطر متوسط الشدة.
تجدر الإشارة إلى قيام إنتل في الوقت الحالي بتهيئة معالجاتها للمستقبل، حيث تعيد الشركة تصميم تلك المعالجات للحماية ضد هجمات مثل Spectre أو variant 4، بحيث سوف يشمل الجيل الثاني من معالجات Xeon بمعمارية Cascade Lake على حماية مدمجة جديدة للأجهزة، إلى جانب حصول معالجات إنتل Core من الجيل الثامن، والتي من المفترض أن يتم شحنها في النصف الثاني من عام 2018، على نفس الحماية.
