Een kwetsbaarheid in Intel-processoren doet virtuele machines crashen. Intel heeft inmiddels een fix uitgerold.
In een blog doet Google de kwetsbaarheid CVE-2023-23583 uit de doeken, die ook de dreigend klinkende naam Reptar gekregen heeft. De kwetsbaarheid kan verschillende typen van Intel-processoren treffen, zowel laptop-, desktop- als serverprocessoren. Met een CVSS-score van 8.8 op tien gaat het hier om een ernstige kwetsbaarheid. Het gevaar schuilt vooral voor wie gebruikt maakt van virtuele machines.
De kwetsbaarheid maakt misbruik van de manier waarop processoren data verwerken. Een instructie wordt vaak gekoppeld aan een prefix, een stukje code dat vaak maar uit enkele tekens bestaat. Dat kleine stukje code heeft wel grote invloed op hoe de processor de instructie zal verwerken. Google ontdekte dat het prefix manipuleren ‘vreemd gedrag’ kan uitlokken op de processor.
Kortsluiting
De truc is om een ‘overbodig’ prefix aan te maken, een reeks tekens die nergens op slaat of conflicteert met een ander prefix. Normaal gezien zal een processor een overbodig prefix negeren, maar door de bug probeert de procesoor die toch te verwerken. Dit veroorzaakt een kortsluiting in de processor en doet de virtuele machine crashen.
Intel zag de bug aanvankelijk niet als een al te groot probleem en gaf de kwetsbaarheid maar een score van vijf op tien. Maar Google waarschuwt dat de kwetsbaarheid wel degelijk kan resulteren in dataverlies. De CVSS-score werd daarop met enkele punten bijgesteld. Het is onduidelijk in welke mate een privilege-escalatie kan worden uitgelokt
Volledig volgens het boekje heeft Google negentig dagen gewacht met het publiek maken van de kwetsbaarheid. Dit heeft Intel de tijd gegeven om fixes uit te rollen. Een microcode-update is beschikbaar voor zowel de Core-processoren in laptops en desktops als de Xeon-serverprocessoren. De patch zal via de fabrikant tot bij je apparaat komen.
lees ook
De vloek van Spectre: waarom blijft het AMD en Intel achtervolgen?
Intel heeft de laatste maanden zijn handen vol met het aanpakken van bugs. De Downfall-bug dreigt ook een echte neergang te worden voor Intel. De chipfabrikant hangt een rechtszaak boven het hoofd omdat het de kwetsbaarheid niet kon oplossen zonder de prestaties van chips aanzienlijk in te perken.