인텔 CPU에서 새로운 Spectre-Class 취약점 (Spectre-NG) 8개 발견 돼

8 New Spectre-Class Vulnerabilities (Spectre-NG) Found in Intel CPUs

한 연구원 팀이 Intel CPI에서 새로운 “Spectre-class” 취약점 8개를 발견했다고 밝혔습니다. 이들은 소수의 ARM 프로세서와 AMD 프로세서의 아키텍처에도 영향을 미칠 수 있는 것으로 나타났습니다. 

Spectre-Next Generation 또는 Spectre-NG라 명명 된 이 취약점의 세부내용 중 일부분이 독일의 컴퓨터 잡지인 Heise의 저널리스트에게 유출 되어, 인텔이 새로운 취약점들 중 4개를 “매우 위험함”으로, 나머지 4개는 “보통”으로 분류했다고 밝혔습니다.

새로이 발견 된 이 CPU 취약점들은 오리지널 Spectre 결점을 발생 시킨 것과 동일한 설계상 문제로 인한 것이라 알려졌습니다. 하지만, 새로 발견 된 취약점들 중 하나는 가상 머신(VM)에 접근 권한을 가진 공격자들이 손쉽게 호스트 시스템을 공격할 수 있게 되어, 오리지널 Spectre 취약점보다 더욱 위협적입니다.

연구원들은 “또한, 동일한 서버에서 실행 되는 다른 고객의 VM도 공격할 수 있게 됩니다. 공격자들은 클라우드 시스템의 안전한 데이터 전송을 위한 패스워드와 비밀 키에 많은 관심을 갖고 있기 때문에, 이로 인해 클라우드 시스템이 매우 큰 위험에 처하게 되었습니다.”

“하지만, 앞서 언급한 Spectre-NG 취약점은 공격자들이 시스템의 경계를 넘어 쉽게 악용할 수 있기 때문에, 잠재적인 위협을 새로운 단계로 끌어올릴 수 있습니다. 아마존이나 Cloudflare와 같은 클라우드 서비스 제공자들은 물론이고, 그들의 고객들까지 부분적으로 영향을 받습니다.”고 밝혔습니다.

올해 초 발견 된 Spectre 취약점은 프로세서의 추측 실행 엔진(speculative execution engine)에서의 사이드 채널 공격에 의존하여 악성 프로그램이 패스워드, 암호화 키, 또한 커널을 포함한 민감정보들을 읽을 수 있게 됩니다.

독일의 잡지사는 이 취약점들을 발견한 연구원의 이름은 공개하지 않았지만, 이 취약점들 중 하나는 구글의 프로젝트 제로의 보안 연구원이 발견했다고 밝혔습니다.

이 사이트에서는 구글의 보안 연구원이 칩 제조사에 약 88일 전 문제를 제보했기 때문에, 연구원들은 구글의 90일 공개 정책이 끝나는 날인 5월 7일에 취약점들 중 하나의 세부사항이 공개될 수 있을 것으로 추측했습니다. 이는 패치 화요일 1일 전입니다.

Spectre-NG 결점에 관한 Intel의 대응

인텔에 이 새로운 취약점들에 대해 묻자, 인텔은 Spectre-NG 취약점의 존재를 인정하지도 거부하지도 않는 답변을 했습니다.

“우리는 고객의 데이터를 보호하고 제품의 보안을 지키는 것을 매우 중요하게 생각하고 있습니다. 식별 된 모든 문제를 이해하고 완화시키기 위해 고객들, 파트너들, 다른 칩 제조사들, 연구원들과 긴밀히 협력하며, CVE 번호를 미리 등록해 두는 일도 합니다.”

“우리는 계획적으로 공개하는 것이 가치 있다고 믿으며, 완화 과정이 완료 되면 잠재적인 모든 문제에 대한 추가 정보를 공개할 예정입니다. 최선의 방법으로, 우리는 모두가 시스템을 최신 버전으로 유지할 것을 권장합니다.”

Heise측에 Spectre-NG 취약점과 관련해 미리 등록 된 CVE 번호에 대해 묻자, 저널리스트는 이에 대한 어떠한 정보도 공개하기를 거절했습니다.

“해당 CVE 번호는 내용이 추가 되지 않은 상태입니다. 또한 이로 인해 이 문제의 출처에 더욱 큰 위험을 초래할 수 있으며, 우리는 이러한 상황을 원하지 않습니다. 따라서 우리는 당분간 이를 공개하지 않기로 결정했습니다.”

새로 나온 보안 패치를 대비하세요

Spectre-NG 취약점은 인텔 CPU에 영향을 미치며 일부 ARM 프로세서들에도 영향을 미친다는 것이 확인 되었으나, AMD 프로세서에 영향을 미치는지 여부는 아직까지 확인 되지 않았습니다.

해당 독일 사이트에 따르면, 인텔은 이미 새로운 Spectre-NG 취약점들을 인지하고 있으며 5월, 8월에 보안 패치를 공개할 계획입니다.

마이크로소프트도 수 개월 내에 윈도우 업데이트와 함께 보안 패치를 공개해 이 문제를 수정할 예정입니다.

하지만, 올해 초 오리지널 Spectre와 Meltdown 취약점 때처럼, 이 새로운 패치들이 취약한 기기의 성능에 어떤 영향을 미칠지는 아직까지 확인 되지 않았습니다.

출처 :

https://thehackernews.com/2018/05/intel-spectre- vulnerability.html