Microsoft rullede ud et par rettelser for Meltdown-sårbarheden, men det ser ud til, at de havde en dødelig fejl. Dette blev rapporteret af Alex Ionescu, en sikkerhedsforsker ved Crowdstrike cyber-sikkerhed. Ionescu tweetede, at kun Windows 10-programrettelser blev berørt.

Ældre versioner af Windows 10 er stadig udsat

Microsoft var stille over dette problem, men fik rettet den på Windows 10 april 2018 Update, som blev frigivet den 30. april.

” Welp, det viser sig, at Meltdown-programrettelser til Windows 10 havde en dødelig fejl: at kalde NtCallEnclave vendte tilbage til brugerpladsen med den fulde kerne-sidetabelkatalog, hvilket fuldstændigt undergraver afhjælpningen, ” twitrede Ionescu. Han sagde også, at ældre versioner af Windows 10 stadig kører med Meltdown-programrettelser, som ikke er blevet opdateret, hvilket udsætter dem for store risici.

Microsoft tog sig af en anden nødsituation

Microsoft udsendte en nødsikkerhedsopdatering, der ikke har noget at gøre med Meltdown-programrettelserne. Denne opdatering løser en fejl i biblioteket Windows Host Computer Service Shim, der gjorde det muligt for angribere eksternt at udføre kode på fejlbehæftede systemer. Virksomheden mærkede spørgsmålet som kritisk.

“ Der findes en sårbarhed med eksekvering af fjernkode, når Windows Host Compute Service Shim (hcsshim) -biblioteket ikke korrekt validerer input, mens der importeres et containerbillede. For at udnytte sårbarheden vil en angriber placere ondsindet kode i et specielt udformet containerbillede, som, hvis en godkendt administrator importeret (trukket), kunne forårsage en containeradministrationstjeneste, der bruger Host Compute Service Shim-biblioteket til at udføre ondsindet kode på Windows hos, ”Skrev Microsoft i den officielle note.

Microsoft rullede ud sine Meltdown- og Specter-programrettelser i januar, blot en dag efter, at sikkerhedseksperter fandt to fejl, der tillader angribere hentet data fra beskyttede områder i moderne processorer. Det var temmelig udfordrende for tech-giganten at rette op på disse mangler, men det frigav flere sikkerhedsopdateringer og hjalp også Intel med CPU-mikrokodeopdateringer.