פגם גדול נוסף התגלה כמעט בכל המעבדים של אינטל ששוחררו מאז 2011, עם סוג חדש של נקודות תורפה שהתגלו שיכולות לאפשר גניבת מידע רגיש מהמעבד, בסוגיה המשולה לפיאסקו Meltdown ו-Spectre.
מספר חוקרים שמצאו את הפגמים בשבב Meltdown ו-Spectre, שהשפיעו על כמעט כל מכשירי iOS ו-macOS, מצאו פגמים נוספים במעבדים של אינטל. הפגיעויות השתמשו בבעיות בדרך שבה מעבדים תוכננו כדי לאפשר לתוקפים לרכוש נתונים המאוחסנים באופן זמני על המעבד, כולל נתוני משתמש רגישים המשמשים למשימות.
כמה מאותם חוקרים פירטו התקפת ערוץ צדדי חדש בשם "ZombieLoad," שעלול למשוך את אותו טריק של ניצול פגמי עיצוב במעבד של אינטל,דוחות TechCrunch.
שׁוֹנֶההתמוטטות וספקטר, הבעיה טמונה רק במעבדי אינטל, מה שמותיר שבבי AMD ו-ARM לא מושפעים. המשמעות היא שרק מחשבי מק שיצאו מאז 2011 נמצאים בסיכון לבעיה, ומכשירי אייפון, אייפד ואחרים המשתמשים במעבדים מסדרת A הם בסדר.
ZombieLoad נקראת על שם "עומס הזומבים" ששימש בהתקפה, כלומר כמות גדולה של נתונים שסופקו למעבד שאינם יכולים לעבד כראוי. כאשר נתקלים בבעיה, המעבד מתייחס למיקרוקוד שלו כדי למנוע התרסקות.
בעוד שבמקרים רגילים אפליקציות יכולות לראות רק את הנתונים שלהן, הפגם אומר שהנתונים יכולים לעבור לאפליקציות אחרות, ובמקרה של ZombieLoad, ידלפו את כל הנתונים שנטענו לליבה של המעבד. לא ברור אם ניצולים זמינים בטבע, אבל הם לא יהיו התקפות "drive-by" ויצטרכו להסתמך על תוכנות מקודדות בזדון כדי למנף אותן.
סרטון התקפת הוכחה למושג מראה כיצד ניתן לנצל את הפגם לניטור אתרים שקורבן קורא. זה אפשרי גם למרות מאמצים רגילים לטשטש את הפעילות, כולל שימוש בדפדפן Tor ממוקד הפרטיות הפועל בתוך מכונה וירטואלית.
מכיוון שמכונות וירטואליות יכולות להיות מושפעות, המשמעות היא שהבעיה חלה גם על משתמשים ארגוניים המארחים מופעים וירטואליים מרובים בשרתים. לתוקף תהיה הזדמנות לרכוש נתונים ממכונות וירטואליות פעילות רבות בו-זמנית במקרים כאלה, מה שהופך אותו למסוכן.
תיקון של אינטל למיקרוקוד יתקן את הבעיה, וינקה מאגרים כך שלא ניתן יהיה לקרוא נתונים. טלאי מיקרוקוד נוצרו עבור שבבי Intel Xeon, Broadwell, Sandy Bridge, Skylake ו-Haswell, אך גם מעבדים הכוללים Kaby Lake, Coffee Lake, Whiskey Lake ו-Cascade Lake, וכל גרסאות Atom ו-Knights, מושפעים.
לאפל ישכבר תוקןהבעיה ב-Safari ללא פגיעה ביצועים מדידה בשחרורו של macOS Mojave 10.14.5 ביום שני. הפחתה של 40 אחוז בביצועים עשויה להיעשות על ידי מי שיבחר ליישם אתהקלה מלאה, מכיוון שהוא כרוך בהשבתה של היפר-שרשור, אם כי רוב המשתמשים עשויים לרצות להימנע מיציאה למסלול זה.
"לתיקון Mojave מיום שני יש הגנות חזקות לפגיעויות MDS. אם משתמשים מרגישים שהם נמצאים בסיכון גבוה להתקפות קשורות, אפשרנו את היכולת לבטל את ההיפר-threading בסך הכל ב-Mojave, Sierra או High Sierra ", אמר מקור בתאגיד אפל שאינו מורשה לדבר בשם החברהAppleInsider. "אין ניצול 'בטבע' בשלב זה עבור macOS, ואנחנו לא מצפים לאלה."
אפל אכן מייעצת שיש כמה דגמים שאינם מסוגלים לכלול את התיקונים בגלל היעדר עדכוני מיקרוקוד של אינטל. רשימת דגמי ה-Mac שאינם נתמכים מורכבת ברובה מדגמי MacBook, MacBook Air, MacBook Pro, iMac, Mac Pro ו-Mac mini שיצאו בין 2009 ל-2010.
