Intel’s CPU List affected by Meltdown and Spectre

We talk about Meltdown and Spectre Here and Here.

In this article we’re reporting the Intel’s CPU list affected by Meltdown and Spectre.

Speculative Execution and Indirect Branch Prediction Side Channel Analysis Method


Intel ID: INTEL-SA-00088
Product family: Systems with Speculative Execution
Impact of vulnerability: Information Disclosure
Severity rating: Important
Original release: Jan 03, 2018
Last revised: Jan 03, 2018
Summary:Today a team of security researchers disclosed several software analysis methods that, when used for malicious purposes, have the potential to improperly gather sensitive data from many types of computing devices with many different vendors’ processors and operating systems.

Intel is committed to product and customer security and to responsible disclosure. We worked closely with many other technology companies, including AMD, ARM Holdings and several operating system vendors, to develop an industry-wide approach to mitigate this issue promptly and constructively.

For facts about these new exploits, and steps you can take to help protect your systems and information please visit:

Description:Systems with microprocessors utilizing speculative execution and indirect branch prediction may allow unauthorized disclosure of information to an attacker with local user access via a side-channel analysis.

Affected products:For non-Intel based systems please contact your system manufacturer or microprocessor vendor (AMD, ARM, Qualcomm, etc.) for updates.

The following Intel-based platforms are impacted by this issue. Intel may modify this list at a later time. Please check with your system vendor or equipment manufacturer for more information regarding updates for your system.

  • Intel® Core™ i3 processor (45nm and 32nm)
  • Intel® Core™ i5 processor (45nm and 32nm)
  • Intel® Core™ i7 processor (45nm and 32nm)
  • Intel® Core™ M processor family (45nm and 32nm)
  • 2nd generation Intel® Core™ processors
  • 3rd generation Intel® Core™ processors
  • 4th generation Intel® Core™ processors
  • 5th generation Intel® Core™ processors
  • 6th generation Intel® Core™ processors
  • 7th generation Intel® Core™ processors
  • 8th generation Intel® Core™ processors
  • Intel® Core™ X-series Processor Family for Intel® X99 platforms
  • Intel® Core™ X-series Processor Family for Intel® X299 platforms
  • Intel® Xeon® processor 3400 series
  • Intel® Xeon® processor 3600 series
  • Intel® Xeon® processor 5500 series
  • Intel® Xeon® processor 5600 series
  • Intel® Xeon® processor 6500 series
  • Intel® Xeon® processor 7500 series
  • Intel® Xeon® Processor E3 Family
  • Intel® Xeon® Processor E3 v2 Family
  • Intel® Xeon® Processor E3 v3 Family
  • Intel® Xeon® Processor E3 v4 Family
  • Intel® Xeon® Processor E3 v5 Family
  • Intel® Xeon® Processor E3 v6 Family
  • Intel® Xeon® Processor E5 Family
  • Intel® Xeon® Processor E5 v2 Family
  • Intel® Xeon® Processor E5 v3 Family
  • Intel® Xeon® Processor E5 v4 Family
  • Intel® Xeon® Processor E7 Family
  • Intel® Xeon® Processor E7 v2 Family
  • Intel® Xeon® Processor E7 v3 Family
  • Intel® Xeon® Processor E7 v4 Family
  • Intel® Xeon® Processor Scalable Family
  • Intel® Xeon Phi™ Processor 3200, 5200, 7200 Series
  • Intel® Atom™ Processor C Series
  • Intel® Atom™ Processor E Series
  • Intel® Atom™ Processor A Series
  • Intel® Atom™ Processor x3 Series
  • Intel® Atom™ Processor Z Series
  • Intel® Celeron® Processor J Series
  • Intel® Celeron® Processor N Series
  • Intel® Pentium® Processor J Series
  • Intel® Pentium® Processor N Series


Recommendations:Intel has worked with operating system vendors, equipment manufacturers, and other ecosystem partners to develop software updates that can help protect systems from these methods. End users and systems administrators should check with their operating system vendors and apply any available updates as soon as practical.

For non-Intel based systems please contact your system manufacturer or microprocessor vendor (AMD, ARM, Qualcomm, etc.) for updates.

Please check with your system vendor or equipment manufacturer for more information regarding your system.

Other variants of this side-channel analysis are being addressed by Operating System and Software Vendors.  For more details see:

–         CVE-2017-5753

–         CVE-2017-5754

Acknowledgements:Intel would like to thank Jann Horn with Google Project Zero for his original report and for working with the industry on coordinated disclosure.

Intel would also like to thank the following researchers for working with us on coordinated disclosure.

  • Moritz Lipp, Michael Schwarz, Daniel Gruss, Stefan Mangard from Graz University of Technology
  • Paul Kocher, Daniel Genkin from University of Pennsylvania and University of Maryland, Mike Hamburg from Rambus, Cryptography Research Division and Yuval Yarom from  University of Adelaide and Data61.

Thomas Prescher and Werner Haas from Cyberus Technology, Germa

Revision history:

Initial Release
Update Links
CVE Name:  CVE-2017-5715

Meltdown and Spectre CPU flaws for Windows 2003

Microsoft releases Windows patches

Yesterday evening, Microsoft released Windows patches — Security-only Updates, Cumulative Updates, and Delta Updates — for a wide array of Window versions, from Win7 onward. See the Update Catalog for details. (Thx, @Crysta). Note that the patches are listed with a “Last Updated” date of Jan. 4, not Jan. 3, the nominal release date. The Win7 and 8.1 patches are Security Only (the kind you have to install manually). I’ve been assured that the Win7 and 8.1 Monthly Rollups will come out next week on Patch Tuesday.

The Win10 patch for Fall Creators Update, version 1709, contains other security fixes besides those related to Meltdown. The other Win10 patches appear to be Meltdown-only. Those of you running the beta version of Win10 1803, in the Insider Program, have already received the patches.

BUT… you won’t get any patches installed unless and until your antivirus software sets a specific registry key. (It now appears as if the value of the key doesn’t matter; just the presence of the registry entry turns on Meltdown protection. Thx, @abbodi86, @MrBrian.) If you’re running third-party antivirus, it has to be updated before the Meltdown patch installer will run. It looks as if there are known problems with bluescreens for some antivirus products.

There are also cumulative updates for Internet Explorer 11 in various versions of Win7 and 8.1 listed in the Update Catalog. The fixes for Win10, and for Edge, are inside the respective Win10 cumulative updates. Microsoft has also released fixes for SQL Server 2016 and 2017.

Note that the Windows Server patches are not enabled by default. Those of you who want to turn on Meltdown protection have to change the registry. (Thx @GossiTheDog)

Question: Does Microsoft will release patches for olders operating systems like Windows Server 2003, Windows Server 2000?

Answer: Maybe No. Windows XP and Server 2003 don’t yet have patches. As you know these operating system are out of support. No word on whether Microsoft will release those sooner or later.

Operating system version Update KB
Windows Server, version 1709 (Server Core Installation) 4056892
Windows Server 2016 4056890
Windows Server 2012 R2 4056898
Windows Server 2012 Not available
Windows Server 2008 R2 4056897
Windows Server 2008 Not available

Kevin Beaumont, @GossiTheDog, is maintaining a list of antivirus products and their Meltdown-related problems. On Google Docs, of course.

Related Articles: Windows, Meltdown and Spectre | Meltdown and Spectre CPU flaws | Widenet Meltdown and Spectre CPU Blog

Shellshock, una nuova vulnerabilità. Forse ancora più grave di Heartbleed

Articolo Originale

Il bug della shell Bash

Nel corso della giornata di ieri è stata portata all’attenzione del pubblico la scoperta di un bug molto pericoloso per tutti i sistemi operativi Unix-based: si tratta di Shellshock o Bash-bug, una vulnerabilità presente in realtà da lungo tempo e che permette, se opportunamente sfruttata da un attaccante, di eseguire codice arbitrario non appena la shell viene invocata, lasciando così aperta la possibilità di portare un’ampia varietà di attacchi. I sistemi Windows non sono toccati dal problema.

Abbiamo già avuto modo di osservare come la vulnerabilità sia molto semplice da sfruttare, appoggiandosi ad esempio a software e programmi già presenti sul sistema bersaglio e che fanno normalmente uso della shell per compiere le proprie operazioni. Tra il pomeriggio e la notte la situazione si è evoluta, e purtroppo le notizie attualmente in circolazione non sono per nulla buone, indicando come la vulnerabilità sia attivamente sfruttata da malintenzionati e come molte patch della prima ora si stiano rivelando inefficaci.

E’ fortemente probabile che i principali bersagli saranno server web e dispositivi di rete, con le applicazioni web PHP-based che saranno particolarmente vulnerabili. Ma il problema non è limitato solamente a computer, server o dispositivi di rete: i nuovi “smart devices” e più in generale tutto ciò che si può ascrivere all’universo “Internet of Things” possono rivelarsi vulnerabili specie sul lungo periodo, dal momento che spesso il rilascio di patch per questo genere di dispositivi avviene lentamente. Insomma, i sistemi suscettibili agli attacchi che possono sfruttare Shellshock sono veramente numerosi e come David Jacoby di Kaspersky Lab ha spiegato, la “reale portata del problema ancora non è chiara”.

Il ricercatore di sicurezza Robert David Graham di Errata Security ha già provato ad eseguire un IP scan di portata limitata, individuando circa 3000 sistemi vulnerabili prima che lo scan andasse in crash. Graham ha sottolineato come fossero particolarmente a rischio i webserver embedded su porte non convenzionali.

Il problema, però, è che lo script realizzato da Graham a scopi di test è stato utilizzato da anonimi malintenzionati come base per realizzare un worm per scaricare malware. Il worm è già stato ribattezzato “Thanks, Rob” per rendere credito, in modo canzonatorio, al ricercatore di Errata Security. Usando la stessa tecnica, quindi, è già stato possibile innescare un meccanismo per il quale un sistema bersaglio viene attaccato sfruttando Shellshock, infettato ed indotto ad effettuare a sua volta uno scan per ricercare nuovi bersagli che a loro volta ripeteranno l’operazione. E’ facile comprendere, come la cosa possa velocemente sfuggire di mano.

Dati questi presupposti, il rischio è che si verifichi una situazione simile a quanto causato nel 2003 da SQL Slammer, un worm che, propagandosi ad effetto domino in 12 minuti, ha portato ad un pesante rallentamento del traffico su Internet. La differenza sostanziale, però, risiede nel fatto che SQL Slammer faceva uso solo di alcune porte specifiche, mente la vulnerabilità Shellshock può essere sfruttata con qualsiasi porta (il test eseguito da Graham ha usato, per esempio, la porta 80). Il worm SQL Slammer fu inoltre rilasciato dall’autore nel corso di un venerdì, per altro con un qualche genere di avvertimento. Un worm come “Thanks, Rob”, invece, può essere creato da chiunque abbia un minimo di dimestichezza ed essere diffuso quindi senza alcun avvertimento.

Intanto alcuni provider di servizi Internet confermano che la vulnerabilità Shellshock è attivamente sfruttata. CloudFlare, un network di distribuzione di contenuti, ha già disposto una serie di regole per il firewall web-app allo scopo di proteggere i sistemi, ma alcuni hacker hanno già tentato numerosi attacchi utilizzando il worm. “Abbiamo visto attaccanti tentare di sottrarre file di password, scaricare malware nelle macchine, ottenere accesso remoto e via dicendo. Un attacco ha anche portato all’apertura/chiusura di un drive CD/DVD di un server” ha dichiarato John Graham-Cumming di Cloudflare.

Anche i dispositivi di rete di più alto livello potrebbero essere vulnerabili. Il ricercatore e giornalista Ashkan Soltani afferma infatti di aver già riscontrato un vettore di attacco molto pericoloso: una vulnerabilità Bash sul servizio Big IP di F5 Security, che funge da smart gatweay collocandosi tra le web app e gli utenti. La vulnerabilità ora è comunque limitata – dal momento che è necessario essere un utente F5 autenticato per poter rendere operativo l’attacco – ma indica la possibilità di portare attacchi molto più pericolosi, estendendo la portata del problema. Molti dei sistemi di rete di fascia alta sono costruiti su piattaforma Linux/Unix: una vulnerabilità in un apparato di rete chiave è molto più critica rispetto al computer di un singolo utente dal momento che permette di architettare operazioni di reindirizzamento e attacchi man-in-the-middle su scala massiva.

Come abbiamo osservato ieri, la pericolosità di Shellshock è ben superiore rispetto a quella di Heartbleed, un’altra vulnerabilità di ampia portata che è stata scoperta nel corso della primavera, per via della enorme facilità con cui può essere sfruttata a scopi dannosi.

Al momento in cui scriviamo sono già state distribuite patch per i sistemi operativi CentOS, Debian, Redhat e Ubuntu. Apple ha riconosciuto il problema, comunicando ufficialmente di essere al lavoro per realizzare una patch correttiva. La Mela ha inoltre indicato che “gli utenti Mac OS X non sono esposti allo sfruttamento remoto di Bash a meno che non abbiano configurato servizi Unix avanzati”, sebbene non precisi quali siano questi sistemi. Le varie community hanno però sollevato qualche dubbio sull’efficacia delle patch già rilasciate, che sembrano essere più un tentativo di prendere tempo prima di trovare una soluzione definitiva.

Quello che accadrà nel breve termine è una corsa tra staff IT e amministratori di sistemi/rete contro gli attaccanti che operano per diffondere malware. L’unico consiglio che si può dare ora è quello, per tutti gli utenti di sistemi Linux/Unix-based di aggiornare tutti i software all’ultima versione disponibile ed in particolare quei programmi che fanno uso di FTP o Telnet, in attesa che venga resa disponibile una soluzione definitiva al problema. Nel lungo termine, invece, è tutt’altro discorso: ripetiamo che non solo sistemi PC/server ma qualunque dispositivo connesso ad una rete e che operi una versione di Unix e che faccia uso di script shell (una scorciatoia molto comune) è vulnerabile. Si tratta di un numero sterminato di dispositivi, molti dei quali probabilmente abbandonati a loro stessi già da molto tempo o impossibili da aggiornare. Non è nemmeno da escludere, anzi è fortemente probabile, che nei prossimi giorni/settimane possano verificarsi vari problemi/attacchi causati da questa vulnerabilità.

Ulteriori dettagli tecnici su Shellshock sono disponibili in questo blog.

Internet, falla in OpenSSL: ‘Heartbleed’ mette a rischio password e carte di credito in due terzi dei siti web – Aggiornamenti

Google      –     Falla risolta. Raccomandato cambio password
Facebook  –     Falla risolta. Raccomandato cambio password
Instagram  –     Falla risolta. Raccomandato cambio password
YouTube    –     Falla risolta. Raccomandato cambio password
Yahoo!      –     Falla risolta. Raccomandato cambio password
Amazon    –     Non era vulnerabile
Wikipedia  –     Falla risolta. Raccomandato cambio password
LinkedIn     –   Non era vulnerabile
eBay     –         Non era vulnerabile
PayPal    –       Non era vulnerabile
Twitter    –      Non era vulnerabile
Chase     –       Non era vulnerabile
CNET     –        Non era vulnerabile
CBSSports   –   Non era vulnerabile
Blogspot    –    Falla risolta. Raccomandato cambio password
Bing     –         Falla risolta. Raccomandato cambio password
Live     –         Falla risolta. Raccomandato cambio password
Pinterest    –   In attesa di risposta
Tumblr    –     Falla risolta. Raccomandato cambio password
WordPress   – In attesa di risposta 
Imgur    –       In attesa di risposta
MSN     –       Falla risolta. Raccomandato cambio password
Microsoft    – Falla risolta. Raccomandato cambio password
Flickr    –     Falla risolta. Raccomandato cambio password
Blogger    –     Falla risolta. Raccomandato cambio password  –    Falla risolta. Raccomandato cambio password