Zurzeit existiert eine „Schwachstelle“ in praktisch allen komplexen, prozessorgesteuerten Geräten. Betroffen sind Geräte mit Intel-, AMD- und ARM- Prozessoren (Computer, Server, Mobilgeräte). Die „Schwachstelle“ liegt auf Prozessorebene und betrifft daher auch alle gängigen Betriebssysteme (Windows, Linux, Apple, Android).
Der Angriff basiert auf dem Aushebeln von Sicherheitsmechanismen, die verhindern das Programme beliebig auf den Arbeitsspeicher eines Gerätes zugreifen können. Speziell wird hier wohl auf die verworfenen Datenpakete zugegriffen (Speculative Execution). Durch den Zugriff auf die eigentlich geschützten Speicherbereiche anderer Programme oder des Betriebssystems können sensible Daten wie bsw. Passwörter ausgelesen werden.
Zurzeit gibt es noch keine konkreten Hinweise das die „Schwachstelle“ bereits für Angriffe ausgenutzt wird. Systembedingt lässt es sich aber auch nicht ausschließen. Verschiedene Sicherheitsforscher haben die „Schwachstelle“ bereits vor mindestens einem halben Jahr entdeckt und dies auch den Herstellern gemeldet. Zurzeit arbeiten die Hersteller der Hardware und Betriebssysteme an Updates, die die Nutzung der „Schwachstelle“ verhindern.
Technisch muss für einen Angriff eine entsprechende Software (Programm) auf dem Gerät installiert sein, wahrscheinlich ist ein Angriff auch via Javascript möglich, allerdings stellen die Browserhersteller bereits Sicherheitsupdates bereit. Gängige Antivirensoftware schützt nicht vor der Nutzung der „Schwachstelle“, könnte aber bei Bekanntwerden einer Schadsoftware über deren Signatur Angriffe verhindern. Empfohlen wird die bereitgestellten Updates der Hersteller einzuspielen bzw. auf diese zu warten und keine unbekannte Software zu installieren. Ein Austausch des Prozessors (CERN Empfehlung) halten wir für unrealistisch, auch weil zurzeit sämtliche verfügbaren Prozessoren betroffen sind.
Zu dieser Sicherheitswarnung pflegen wir einen Knowledge Base Beitrag, in dem wir weitere Informationen und Verweise zum Thema sammeln. Eine sehr gut gepflegte Informationsseite zu Meltdown und Spectre stellt die Universität Graz zur Verfügung.