FirmwareBleed: большинство вендоров не могут бороться с уязвимостями CPU

FirmwareBleed: большинство вендоров не могут бороться с уязвимостями CPU

FirmwareBleed: большинство вендоров не могут бороться с уязвимостями CPU

Атаки спекулятивного выполнения продолжают оставаться серьезной угрозой для современных процессоров. Новое исследование специалистов по кибербезопасности показало, что отрасль пока не может грамотно следовать рекомендациям AMD и Intel по защите от таких атак, что создает риски для цепочек поставок софта.

Исследователи из Binarly назвали проблему FirmwareBleed, она связана с утечками информации из-за постоянного расширения поверхности атаки на корпорации. Причиной может быть как некорректная установка патчей, так и частичное их использование.

«За счет таких кибератак злоумышленники могут добраться до контента из привилегированной памяти (включая области, защищенные технологиями виртуализации). Таким образом, атакующий может извлечь конфиденциальные данные из процессов, запущенных на том же CPU», — пишут эксперты в отчете.

Здесь стоит упомянуть обнаруженный недавно вектор атаки Retbleed, выявленный специалистами ETH Zurich. Он работает за счет эксплуатации механизма защиты “retpoline”, который и был создан для отражения атак спекулятивного выполнения.

«Исследование FirmwareBleed показало, что отрасль не готова корректно следовать инструкциям по защите от атак спекулятивного выполнения, даже если доступен технический способ нивелировать уязвимость», — объясняет Алекс Матросов из Binarly в беседе с Hacker News.

 

В общей сложности Binarly обнаружила 32 прошивки от HP, 59 от Dell и 248 от Lenovo, в которых не были учтены патчи. Это, по мнению специалистов, создает риски для цепочки поставок.

В WhatsApp Web готовят групповые голосовые и видеозвонки

WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России) готовит интересное обновление для веб-версии мессенджера. В WhatsApp Web появится поддержка групповых голосовых и видеозвонков, благодаря чему пользователи смогут участвовать в звонках независимо от того, с какого устройства они подключаются — смартфона, десктопного приложения или просто браузера.

Функция, согласно WABetaInfo, пока находится в активной разработке и ещё недоступна даже в бета-версии, но первые детали уже известны.

По сути, WhatsApp стремится сделать веб-клиент максимально близким по возможностям к мобильным и десктопным приложениям — чтобы при необходимости можно было обойтись без установки отдельного клиента.

Как следует из последних изменений в WhatsApp Web, компания дорабатывает базовую поддержку звонков и расширяет её на групповые чаты. Это означает, что пользователи смогут запускать голосовые и видеозвонки прямо из группового диалога в браузере, без перехода на смартфон.

Поддержка групповых звонков в веб-версии упоминалась ещё в прошлом году, но тогда она находилась на самой ранней стадии. Сейчас WhatsApp явно продвинулся дальше и доводит функциональность до финального состояния.

Ожидается, что WhatsApp Web будет поддерживать до 32 участников в групповом звонке, как и мобильные версии. Однако окончательные ограничения компания пока не подтвердила. Не исключено, что на старте лимит будет ниже — например, 8 или 16 человек — с последующим расширением.

На этом WhatsApp не останавливается. Вместе с групповыми звонками в веб-версии готовятся и другие полезные функции:

  • создание ссылок на звонки прямо из интерфейса чата — для голосовых или видеозвонков;
  • планирование звонков как для личных, так и для групповых чатов.

Запланированный звонок будет иметь название, описание и примерное время начала и окончания. При этом речь идёт не об автоматическом запуске — WhatsApp просто заранее уведомит участников, чтобы они знали, когда ожидается созвон.

Точной даты запуска пока нет. Все перечисленные функции — групповые звонки, ссылки и планирование — находятся в разработке и появятся в одном из будущих обновлений WhatsApp Web.

Напомним, на днях мы также писали, что WhatsApp тестирует функцию проверки приватности статусов. В свежей бета-версии мессенджера для Android (2.26.2.9), доступной через программу Google Play Beta, у части пользователей появилась возможность посмотреть, с какими настройками приватности был опубликован конкретный статус.

RSS: Новости на портале Anti-Malware.ru