Новая уязвимость процессоров Intel действует обратно Meltdown

Новая уязвимость процессоров Intel действует обратно Meltdown

Новая уязвимость процессоров Intel действует обратно Meltdown

Команда специалистов из различных университетов совместно с сотрудниками Bitdefender рассказали о новой уязвимости, затрагивающей процессоры Intel. Проблема получила имя Load Value Injection (LVI), она открывает ряд потенциальных атак на CPU.

Несмотря на то, что LVI можно использовать в атаках лишь теоретически, Intel решил выпустить обновление прошивки, задача которого — снизить риски.

Помимо этого, корпорация обещает разобраться с LVI на аппаратном уровне, но это будет реализовано только в процессорах следующего поколения.

Чтобы понять, что собой представляет LVI, достаточно представить старую и хорошо всем знакомую уязвимость Meltdown, которую обнаружили в январе 2018 года. Так вот, LVI — это противоположность Meltdown с технической точки зрения.

Если с помощью Meltdown атакующий мог прочитать данные приложений из памяти процессора, то LVI позволяет внедрить код непосредственно в CPU. Специалисты разложили LVI на четыре простых шага, представив следующую инфографику:

В настоящее время наличие LVI подтверждено лишь в процессорах Intel, однако эксперты не исключают, что эта проблема безопасности затрагивает и AMD с ARM.

Исследователи также выяснили, что в теории возможна и удалённая эксплуатация LVI. Для этого атакующему нужно заманить жертву на специальный сайт, который задействует вредоносный код JavaScript.

Днём ранее мы писали о новой уязвимости, затрагивающей процессоры от AMD, выпущенные в период с 2011 по 2019 год.

Kate Mobile перестал работать с VK: лимита API хватило на полтора дня

Популярный альтернативный Android-клиент Kate Mobile лишился доступа к сервисам «ВКонтакте». О прекращении работы сообщили разработчики приложения. По их версии, новые условия VK API фактически поставили крест на неофициальных клиентах.

С 7 сентября соцсеть ввела ежемесячные ограничения на количество запросов и анонсировала платный доступ к API для сторонних сервисов.

Команда Kate Mobile утверждает, что заранее запросила у VK стоимость и порядок оплаты, но ответа так и не получила.

Верифицированным партнёрам выделяется до 100 млн запросов ежемесячно. Выглядит солидно, пока к приложению не подключается его реальная аудитория: по расчётам разработчиков, пользователи Kate Mobile израсходовали такой объём примерно за полтора дня.

Спасти ситуацию оптимизацией тоже не получится. Приложение может чаще обращаться к локальному кешу и реже загружать данные с серверов, однако отправку сообщений закешировать невозможно. Один только метод messages.send, по оценке команды, создаёт вдвое больше запросов, чем допускает новый лимит.

Разработчики считают, что речь идёт не столько о монетизации API, сколько о выдавливании альтернативных клиентов. Публичной позиции «ВКонтакте» по ситуации в приведённых материалах нет.

Пользователи Kate Mobile встретили отключение без восторга. В комментариях они благодарят команду за многолетнюю поддержку, называют происходящее концом эпохи и жалуются, что официальный клиент VK перегружен функциями и рекламой.

RSS: Новости на портале Anti-Malware.ru