Categories: PolitikRegulierung

US-CERT erfuhr von Meltdown und Spectre erst aus den Medien

Intel hat das US-Computer Emergency Readiness Team (US-CERT) erst über die CPU-Sicherheitslücken Meltdown und Spectre informiert, nachdem erste Details durch einen Bericht von The Register durchgesickert waren. Das geht aus Briefen hervor, mit denen US-Technikfirmen auf Fragen von US-Abgeordneten geantwortet haben und die der Agentur Reuters vorliegen. Demnach informierte Intel die US-Regierung nicht, weil es keine Anzeichen dafür gab, dass die Schwachstellen von Cyberkriminellen ausgenutzt wurden.

Entdeckt wurden die drei Anfälligkeiten, von denen zwei auch Chips von AMD und ARM betreffen, unter anderem von Sicherheitsforschern von Google. Die Google-Mutter Alphabet erklärte in ihrem Brief, man habe Intel, AMD und ARM im Juni kontaktiert und über die Probleme informiert. Die Entscheidung, Vertreter der US-Regierung einzubeziehen, habe man den Chipherstellern überlassen, was gängige Praxis sei.

Darüber hinaus gab Google den Chipherstellern anfänglich nur die üblichen 90 Tage, um die Schwachstellen zu beseitigen. AMD zufolge wurde diese Frist zweimal verlängert: zuerst bis zum 3. Januar und dann bis zum 9. Januar – Microsofts regulärem Patchday. Vor allem die als Variante 2 bezeichnete Spectre-Lücke, die ein Microcode-Update erfordert, ist bei den meisten Nutzern weiterhin ungepatcht.

Die Abgeordneten kritisieren, dass das US-CERT nicht informiert wurde, obwohl die Anfälligkeiten auch eine Gefahr für kritische Infrastrukturen darstellen. Intel erklärte dazu, man habe eine mögliche Gefährdung kritischer Infrastrukturen nicht geprüft, weil man davon ausgegangen sei, dass Industriekontrollsysteme nicht betroffen seien. Man habe sich aber mit anderen Technikfirmen in Verbindung gesetzt, die die anfälligen Chips in ihren Produkten einsetzten.

Die Briefe wurden nicht nur an Intel und Google, sondern auch an Apple, AMD, ARM, Amazon und Microsoft verschickt. Der Softwarekonzern aus Redmond erklärte, er habe einige Wochen vor der für den 9. Januar geplanten Offenlegung die Details der Schwachstellen an verschiedene Anbieter von Antivirensoftware weitergeleitet. Sie wurden informiert, um mögliche Kompatibilitätsprobleme mit den von Microsoft entwickelten Windows-Patches zu beseitigen.

Das grundsätzliche Problem von Meltdown und Spectre ist, dass die zugrundeliegenden Sicherheitslücken nicht geschlossen werden können. Die derzeit verfügbaren Patches sind lediglich in der Lage, die bereits bekannten Angriffe abzuwehren. Erst kürzlich meldeten Forscher die Entdeckung neuer Angriffsvektoren. Sie schließen nicht aus, dass Intel einen weiteren Hardware-Fix bereitstellen muss, um auch diese Attacken zu verhindern. Nutzer müssen darüber hinaus wahrscheinlich bis 2019 warten, bis die ersten Prozessoren ohne Meltdown- und Spectre-Lücken in den Handel kommen.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Black Friday: Vorsicht vor schädlichen QR-Codes

Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.

1 Tag ago

Black Friday: Zahl der ominösen Shopping-Websites steigt

Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.

1 Tag ago

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

1 Tag ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

2 Tagen ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

2 Tagen ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

2 Tagen ago