Sicherheitslücken in CPUs von Intel/AMD/anderen (Microcode+App+OS fixes notwendig)

[harpo]

@Megalodon: Vielen Dank übrigens für den Link zum Linux-Check-Programm! Sowas hat mir noch gefehlt.

Und das Ergebnis, welches mir dieses ausspuckt: Gegen Meltdown sicher (gab ja auch Kernelupdate hierfür). Für den Patch gegen Spectre habe ich zwar den nötigen Microcode (unter Linux), aber der Kernel unterstützt die nötigen Funktionen noch nicht (sowohl Variant1 als auch 2).

Das ist Klasse! Unter Linux wäre es Hardware-seitig möglich, es fehlt aber (noch) der Kernelpatch gegen Spectre. Unter Windows gibt es den Kernelpatch, aber da ist es Hardware-seitig nicht möglich, weil Lenovo einfach das falsche BIOS-Update für das T460p geliefert hat und es eine Woche später noch nicht korrigiert bekommen hat! Noch nicht einmal irgendwo angemerkt, sondern offeriert das falsche Update immer noch als Lösung! Unglaublich...

Für Ubuntu gibt es allerdings schon ein weiteres Kernelupdate für die Spectre-Varianten in der Mache.

 

[zwieblum]

Das "Testprogramm" für Linux ist nett, aber es ist kein Test auf bestehende Lücken. Der Nachweis, dass ein bestimmter Kernelpatch eingepflegt wurde, ist kein Beweis für die Nichtexistenz der zu beseitigenden Lücke.

Das da ist ein echtes Testprogramm für Meltdown: https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
So was würde ich auch für Spectr suchen, hab' aber noch keines gefunden :/

 

[Volvo-Berti]

Es sind jetzt wirklich Sandy Bridge Geräte wie X220 mit anvisierter Patch-Verfügbarkeit Ende Februar in der Lenovo Liste.
Sehr gut!

https://support.lenovo.com/de/de/solutions/len-18282

prima Sache. im Büro gibts für einen M800, einen M83 und einen M700 auch (bald) was, aber leider nicht für das T410. das ist ja noch ein bischen älter als mein X220.

 

[cuco]

Krass!! Sollte das stimmen, würde es sich wohl kaum noch lohnen, den ca. 6-fachen Preis (Annahme: gleiche Speicherkapazität wie HDD) für eine SSD zu bezahlen. Hat diese enorme Geschwindigkeitseinbuße jemand auf seinem System beobachten können?

Warum sollte es sich dann nicht mehr lohnen, eine SSD zu kaufen? Ja, 50% Einbußen sind heftig. Sehr heftig. Die getestete SSD kommt damit aber immer noch auf etwa 500-1000x so viele IOPS wie eine HDD.

 

[zwieblum]

So liebe Leute, jetzt ein echtes Testprogramm für Meltdown & Spectr unter Linux: https://github.com/raphaelsc/meltdown-exploit - leider nur für amd64, aber mei .. und erfreuliche Ergebnisse für meine T60/T61/X61

 

[moronoxyd]

So liebe Leute, jetzt ein echtes Testprogramm für Meltdown & Spectr unter Linux: https://github.com/raphaelsc/meltdown-exploit - leider nur für amd64, aber mei .. und erfreuliche Ergebnisse für meine T60/T61/X61

Hmm, die Github Seite spricht auf den ersten Blick nur von Meltdown. Und alles andere würde mich auch wundern, weil es für die CPUs in den T6x/R6x wohl keine Microcode-Patches mehr geben wird, und die andere Spectre-Variante in jedem einzelnen angreifbaren Programm einzeln gefixt werden muss.

 

[Jakobus]

.. und erfreuliche Ergebnisse für meine T60/T61/X61 ...

CPUs vor i-5 1st.G sollen doch laut intel gar nicht betroffen sein. Oder habe ich da was falsch verstanden?

 

[harpo]

Hmm, die Github Seite spricht auf den ersten Blick nur von Meltdown.

Stimmt. Beide Tools, die zwieblum verlinkt hat, testen anscheinend nur Meltdown. Und die Lücke ist ja rein über den Kernel gepatcht.

 

[Helios]

CPUs vor i-5 1st.G sollen doch laut intel gar nicht betroffen sein.

Ja, habe ich auch so verstanden. Betroffen von Spectre sind gemäss Intel alle "moderneren" CPUs. Intel meint damit wohl, wie du auch sagst, die Modelle ab der ersten Core-Generation.

Von Meltdown sind alle CPUs seit 1995 betroffen, mit Ausnahme der vor 2013 produzierten Itanium- und Atom-Modellen.

 

[moronoxyd]

Ja, habe ich auch so verstanden. Betroffen von Spectre sind gemäss Intel alle "moderneren" CPUs. Intel meint damit wohl, wie du auch sagst, die Modelle ab der ersten Core-Generation.

Mein Verständnis ist, daß Spectre auf Branch Prediction basiert, das Intel seit dem Pentium 4 (?) einsetzt.
Intel hat m.W. nicht gesagt, daß nur neuere Prozessoren betroffen sind, sondern daß für 90% der neueren Prozessoren in Kürze Patches zur Verfügung stehen. Das trifft keine Aussage darüber, ob ältere Prozessoren nicht betroffen, sondern klingt eher danach, daß Intel sich nicht die Mühe machen will, für ältere Prozessoren Patches zur Verfügung zu stellen.

 

[Volvo-Berti]

in vielen Texten las ich, das quasi alle CPU ab ca. 1995 betroffen seien bis auf ganz wenige Ausnahmen. die P4 gabs ab lt Wikipedia ab 2000.

 

[cuco]

Wikipedia muss nicht recht haben, aber diese Seite besagt, dass beide Lücken unter anderem auf Speculative Execution basieren, Spectre aber zusätzlich Branch prediction bzw. misprediction nutzt. Jetzt bin ich mir nicht ganz sicher, ob ich nun den Artikel über den Branch Predictor oder die Branch Predication als Quelle nehmen muss. Beide bezeichnen irgendwie so nahezu das gleiche - nach meinem Verständnis, irgendwo wird da aber wohl ein kleiner Denkfehler sein. Letzterer sagt auf jeden Fall, dass es diese Instruktionen schon seit Pentium Pro aus dem Jahre 1995 gibt. Welche CPUs aber Speculative Execution können, steht da nicht expliziter. Allerdings dürften nach meinem Verständnis eben keine Prozessoren, die nicht out-of-order arbeiten (können), diese Technik nutzen. Das wären dann schon mal die Itaniums. Und dann eben gibt es noch Atoms, bei denen diese Technik bewusst weggelassen wurde.

 

[Arcx]

Kann mir mal jemand bzgl. des Updates für das T440p helfen? Ich hab das Update bisher nicht gemacht - und das war ja offensichtlich auch besser so... Das Update wurde ja von Lenovo zurückgezogen, wie es auch auf der Übersichtsseite von Lenovo beschrieben wird. Jetzt gerade hat sich bei mir System Update gemeldet - es gäbe ein sehr wichtiges Update, ob ich das kurz einspielen wollen würde. Hab mal nachgeschaut was er mir da so anbietet.

Aha, ein BIOS-Update! Mal gucken, Version 2.46.1.12:

CHANGES IN THIS RELEASE
Version 2.46
[Important updates]
- Update includes a security fix.
- Enhancement to address CVE-2017-5715.
[...]

Die Übersichtsseite sagt weiter, dass das Update zurückgezogen wurde und die erwartete Verfügbarkeit der 31.03.2018 ist.

Was bietet mir System Update denn da jetzt für ein BIOS an? Das alte zurückgezogene? Das fänd ich dann doch äußerst schwach von Lenovo, wenn sie ein aufgrund von Fehlern zurückgezogenes Update als sehr wichtiges Update über System Update verteilen und das per Popup, ohne, dass ich aktiv mit System Update nach Updates gesucht hätte.....

 

[bob7]

gelöscht

 

[mcb]

Kann mir mal jemand bzgl. des Updates für das T440p helfen? Ich hab das Update bisher nicht gemacht - und das war ja offensichtlich auch besser so... Das Update wurde ja von Lenovo zurückgezogen, wie es auch auf der Übersichtsseite von Lenovo beschrieben wird. Jetzt gerade hat sich bei mir System Update gemeldet - es gäbe ein sehr wichtiges Update, ob ich das kurz einspielen wollen würde. Hab mal nachgeschaut was er mir da so anbietet.

Aha, ein BIOS-Update! Mal gucken, Version 2.46.1.12:



Die Übersichtsseite sagt weiter, dass das Update zurückgezogen wurde und die erwartete Verfügbarkeit der 31.03.2018 ist.

Was bietet mir System Update denn da jetzt für ein BIOS an? Das alte zurückgezogene? Das fänd ich dann doch äußerst schwach von Lenovo, wenn sie ein aufgrund von Fehlern zurückgezogenes Update als sehr wichtiges Update über System Update verteilen und das per Popup, ohne, dass ich aktiv mit System Update nach Updates gesucht hätte.....

Ja 2.46 ist das zurückgezogene vom 17.12.2017 - da ist der Micocode wohl nicht in Ordnung, (bzw. ist noch nicht 100% klar ob es der Microcode oder der Windowpatch ist), bei mir ist es leider drauf und man kann dann nichtmehr zurück schau mal hier im Threat ...

https://download.lenovo.com/pccbbs/mobiles/gjuj32us.txt

ThinkPad T440/T440s

20B6, 20B7, 20AQ, 20AR

Earlier update GJET96WW withdrawn by Intel *3; Target availability 3/31/2018

1/14/2018

Target availability TBD

1/14/2018

Das ist auch neu Edit Mist das ist der Grafiktreiber :facepalm:

 

[kelric]

Warum steht in der Liste denn eigentlich das T420 mit erwartetem Update drin, aber nicht das t420s ??

 

[Megalodon]

Auf heise bin ich heute über einen Artikel gestoßen, der eventuell interessant sein könnten, über Lösung über den Linuxkernel, wohl auch für Spectre.
Aber wie in dem Aritel auch vermerkt, herrscht zur Zeit sehr viel Chaos...

 

[Helios]

Auf heise bin ich heute über einen Artikel gestoßen, der eventuell interessant sein könnten, über Lösung über den Linuxkernel, wohl auch für Spectre.
Aber wie in dem Aritel auch vermerkt, herrscht zur Zeit sehr viel Chaos...

Ja, ist bekannt. Vermute jedoch stark, dass bei einem Workaround über den Kernel der Leistungseinbruch wesentlich stärker zum Vorschein kommt als bei einem Microcode-Update der CPU.

- - - Beitrag zusammengeführt - - -

Warum steht in der Liste denn eigentlich das T420 mit erwartetem Update drin, aber nicht das t420s ??

Schätze, wird noch kommen. Die Liste sollte derzeit nicht als vollständig betrachtet werden.

 

[harpo]

Vermute jedoch stark, dass bei einem Workaround über den Kernel der Leistungseinbruch wesentlich stärker zum Vorschein kommt als bei einem Microcode-Update der CPU.

Der Artikel behauptet genau das Gegenteil. Auch in einem anderen Artikel habe ich gelesen, dass Google eine Lösung entwickelt hätte bzw. weiter daran arbeitet, die weniger Leistungs-beeinträchtigend ist.

 

[Helios]

Dann wäre es toll, könnte jemand mal Geekbench 4 auf einem ungepatchen und danach auf dem gepatchen System laufen lassen. Die Resultate würden mich interessieren.

https://www.geekbench.com/download/



Der MS Patch für Windows beeinträchtigt die Leistung meines W520 zwar nur sehr gering, aber durchaus messbar mit Geekbench 4.2.0.