Na základe súčasných poznatkov je pravdepodobnosť ohrozenia pre produkty Konica Minolta mimoriadne nízka.. 1. Prehľad (citované z Cert.org) Implementácie hardvéru procesorov sú ohrozené útokmi postranných kanálov vyrovnávacej pamäte. Tieto chyby zabezpečenia sú označované ako Meltdown a Spectre. Ako Spectre, tak aj Meltdown využíva možnosť extrahovať informácie z inštrukcií, ktoré boli vykonané v procesore s využitím vyrovnávacej pamäte procesora ako postranného kanálu. Tieto útoky podrobne popísal tím Google Project Zero, inštitút IAIK (Institute of Applied Information Processing and Communications) pôsobiaci na univerzite Graz University of Technology (TU Graz) a Anders Fogh.
Problémy sú rozdelené do 3 variantov:
2. Skóre závažnosti týchto chýb zabezpečenia podľa systému CVSS v3 (Common Vulnerability Scoring System)
Poznámka: Vysvetlenie systému CVSS nájdete na webe first.org. Vzhľadom na to, že skóre CVSS môže byť občas aktualizované, skontrolujte najnovší stav na webe CVE. Skóre CVSS sa navyše môže pre každú bezpečnostnú agentúru líšiť.
3. Riziko pre multifunkčné zariadenia V súčasnej dobe sa táto chyba zabezpečenia vyskytuje iba v prípade, že je v cieľovom zariadení spustený škodlivý program, ktorý potom môže pristupovať k dátam uloženým v pamäti, ktorá by normálne mala byť chránená systémom (pamäť oblasti jadra operačného systému, pamäť každého procesu a pamäť každého virtuálneho počítača). Je dôležité vedieť, že dáta z pamäte nemožno vzdialene sprístupniť externej sieti.
Niekoľko multifunkčných tlačiarní Konica Minolta obsahuje procesory ARM alebo Intel, ktoré môžu byť zraniteľné voči hrozbám Meltdown a Spectre.
Aby mohol útočník zneužiť túto chybu zabezpečenia v multifunkčných zariadeniach, je nutné spustiť škodlivý program v cieľovom zariadení neoprávneným zásahom do interného firmvéru.
Multifunkčné zariadenia Konica Minolta dostali certifikáciu zabezpečenia ISO 15408 Common Criteria Security. Firmware certifikovaný podľa normy ISO 15408 je digitálne podpísaný spoločnosťou Konica Minolta. Pred inštaláciou aktualizovaného firmvéru do multifunkčného zariadenia môže autorizovaný servisný technik overiť digitálny podpis spoločnosti Konica Minolta, aby bola zaistená integrita dát.
Okrem toho sú multifunkčné zariadenia s certifikáciou podľa normy ISO 15408 vybavené funkciou overenie firmvéru. Pri prepisovaní firmvéru hlavnej jednotky sa vykonáva kontrola hodnoty hash, ktorá umožňuje zistiť, či nebolo s dátami firmvéru neoprávnene manipulované. Ak sa hodnoty hash nezhodujú, je vydané upozornenie a firmware nie je prepísaný. Okrem toho, ak je zapnutý režim rozšíreného zabezpečenia, kontroly hodnôt hash sa vykonávajú pri každom zapnutí hlavného zdroja napájania. Ak sa hodnoty hash nezhodujú, je vydané upozornenie a spustenie hlavnej jednotky multifunkčného zariadenia je zakázané.
Vzhľadom na tieto mechancké zabezpečenia proti zlyhaniu je pre útočníka mimoriadne ťažké vložiť do multifunkčného zariadenia kód určený na zneužitie a spustiť ho.
Z týchto dôvodov spoločnosť Konica Minolta v súčasnosti neplánuje vydať aktualizovaný firmvér so zvýšenou ochranou proti hrozbám Spectre a Meltdown, pretože existuje len malé riziko, že by táto chyba zabezpečenia mohla viesť k útoku na multifunkčné zariadenie Konica Minolta.
4. Pre kontroléry, Fiery a Creo
Keďže kontroléry EFI Fiery a Creo tiež obsahujú procesory Intel, sú ohrozené chybou zabezpečenia proti hrozbe Meltdown. Spoločnosť EFI oznámila tento stav na svojom verejnom webe a prostredníctvom partnerského bulletinu, ako je uvedené nižšie.
V súčasnej dobe nemá spoločnosť Creo k tejto problematike žiadny verejný komentár, ale v blízkej budúcnosti poskytne opravu softvéru.
5. Multifunkčné zariadenia, ktoré obsahujú zraniteľné procesory
Farebné kancelárske zariadenia: (C458/C558/C658), (C659/C759) Čiernobiele kancelárske zariadenia: (458e/558e/658e), (758/808/958) Tieto kancelárske zariadenia obsahujú procesor ARM Cortex-A15.
PP zariadenia; Všetky PP zariadenia obsahujú ovplyvnené Intel procesory 6. Informácie od dodávateľa procesorov ARM: Vulnerability of Speculative Processors to Cache Timing Side-Channel Mechanism Intel: Speculative Execution and Indirect Branch Prediction Side Channel Analysis Method 7. Referencie CERT/CC Vulnerability Note VU#584653 Hardvér procesoru je ohrozený útočným postranným kanálom NIST Národná databáza zraniteľnosti
CVE-2017-5753 Detail CVE-2017-5715 Detail CVE-2017-5754 Detail
Meltdown a Spectre