Baseret på vores nuværende viden er truslen sandsynligvis meget lille for Konica Minoltas produkter. 1. Oversigt (citeret fra Cert.org) CPU-hardwareimplementeringer er sårbare overfor cache-sidekanalangreb. Disse sårbarheder benævnes Meltdown og Spectre. Både Spectre og Meltdown udnytter muligheden for at udtrække oplysninger fra instruktioner, der er blevet eksekveret på en CPU, ved at bruge CPU-cachen som en sidekanal. Disse angreb er beskrevet i detaljer af Google Project Zero, Institute of Applied Information Processing and Communications (IAIK) på Graz University of Technology (TU Graz) og Anders Fogh.
Emnerne er inddelt i tre varianter:
2. Alvorlighedsscore for disse sårbarheder på CVSS v3, Common Vulnerability Scoring System
Bemærk: Se websitet first.org for at få en forklaring på CVSS. Da CVSS-scoren kan blive opdateret lejlighedsvist, skal du tjekke den seneste status på CVE's website. Derudover kan CVSS-scoren variere alt efter de forskellige sikkerhedsagenturer.
3. Risiko for MFP'er På nuværende tidspunkt opstår sårbarheden kun, hvis et ondsindet program eksekveres på destinationsenheden. Hvis det udføres, kan programmet få adgang til data, der er lagret i hukommelsen, der normalt er beskyttet af systemet (hukommelse i operativsystemets kerneområde, hukommelse for hver proces og hukommelse for hver virtuel maskine). Det er vigtigt at vide, at hukommelsesdata ikke kan eksponeres via fjernadgang til et eksternt netværk.
Flere af Konica Minoltas MFP'er indeholder ARM- eller Intel-processorer, der muligvis påvirkes af Meltdown- og Spectre-sårbarheden.
Hvis en hacker vil udnytte denne sårbarhed i MFP'er, skal vedkommende eksekvere et ondsindet program på destinationsmaskinen ved at manipulere med den interne firmware.
Konica Minoltas MFP'ere har opnået ISO 15408 Common Criteria-certificeringen. ISO 15408-certificeret firmware er digitalt signeret af Konica Minolta. Inden opdateret firmware installeres på MFP'en, kan den autoriserede servicetekniker verificere Konica Minoltas digitale signatur for at sikre dataintegriteten.
Derudover indeholder ISO 15408-certificerede MFP'er en firmwareverificering. Når hovedenhedens firmware omskrives, køres en kontrol af hashværdien for at se, om firmwaredataene er blevet ændret. Hvis kontrolværdier ikke stemmer overens, udstedes en alarm, og firmwaren omskrives ikke. Når den forstærkede sikkerhedstilstand er slået til, kontrolleres kontrolværdien desuden, hver gang strømmen slås til. Hvis kontrolværdierne ikke stemmer overens, udstedes en alarm, og start af hoved-MFP'en tillades ikke.
Takket være disse fejlsikre mekanismer er det yderst vanskeligt for en angriber at indlejre den ødelæggende kode i MFP'en og eksekvere den.
Derfor har KMI i øjeblikket ingen planer om at udgive opdateret firmware for Spectre eller Meltdown, da der er meget lav risiko for, at denne sårbarhed angriber vores MFP'ere.
4. For PP-controllere, Fiery og Creo
Da EFI Fiery- og Creo-controllere også indeholder Intel CPU'er, påvirkes de af Meltdown-sårbarheden. EFI annoncerede status på deres offentlige website og via en partnermeddelelse, som vist nedenfor.
På nuværende tidspunkt har Creo ingen bemærkninger til dette, men de leverer en softwareprogramrettelse i nærmeste fremtid.
5. MFP-produkter, der indeholder påvirkede processorer
Multifunktion med farve: (C458/C558/C658), (C659/C759) Multifunktion med sort/hvid: (458e/558e/658e), (758/808/958) Disse multifunktionsprodukter indeholder ARM Cortex-A15-processoren.
PP-produkter. Alle PP-produkter indeholder påvirkede Intel-processorer. 6. CPU-sælgers oplysninger ARM: Sårbarhed i spekulative processorer til cache timing-sidekanalsmekanisme Intel: Spekulativ eksekvering og indirekte forudsigelse af sti, sidekanalsanalysemetode 7. Referencer CERT/CC-sårbarhed, bemærk VU#584653 CPU-hardware sårbar overfor sidekanalangreb NIST National Vulnerability Database
Detaljer om CVE-2017-5753 Detaljer om CVE-2017-5715 Detaljer om CVE-2017-5754
Meltdown og Spectre