Sulla base delle conoscenze attuali, la probabilità di minaccia è estremamente bassa per i prodotti Konica Minolta. 1. Panoramica (citazione da Cert.org) Le implementazioni hardware della CPU sono vulnerabili agli attacchi sui canali secondari della cache. Queste vulnerabilità sono dette Meltdown e Spectre. Sia Spectre che Meltdown sfruttano la capacità di estrarre informazioni da istruzioni eseguite su una CPU utilizzando la cache della CPU come canale secondario. Questi attacchi sono descritti in dettaglio da Google Project Zero, dall'Institute of Applied Information Processing and Communications (IAIK) presso l'Università tecnica di Graz (TU Graz) e Anders Fogh. I problemi sono organizzati in tre varianti:
2. Punteggio di gravità di queste vulnerabilità secondo il CVSS v3, Common Vulnerability Scoring System
Nota: per informazioni sul CVSS, consultare il sito Web first.org. Poiché il punteggio CVSS può essere aggiornato occasionalmente, controllarne lo stato più recente sul sito Web del CVE. Inoltre, il punteggio CVSS può essere diverso per ogni agenzia di sicurezza. 3. Rischio per le unità MFP Al momento la vulnerabilità sussiste solo quando viene avviato un programma dannoso sul dispositivo di destinazione. Se eseguito, il programma può accedere ai dati archiviati in memoria che dovrebbero normalmente essere protetti dal sistema (la memoria dell'area del kernel del sistema operativo, la memoria di ogni processo e di ogni macchina virtuale). È importante sapere che i dati della memoria non possono essere esposti da remoto su una rete esterna. Diverse unità MFP Konica Minolta contengono processori ARM o Intel, che potrebbero essere soggetti alle vulnerabilità Meltdown e Spectre. Perché un utente malintenzionato sfrutti questa vulnerabilità nelle unità MFP, dovrà eseguire un programma dannoso sulla macchina di destinazione manomettendone il firmware interno. Le unità MFP Konica Minolta hanno ottenuto la certificazione di sicurezza ISO 15408 dei criteri comuni. Il firmware con certificazione ISO 15408 è firmato digitalmente da Konica Minolta. Prima di installare il firmware aggiornato sull'unità MFP, il tecnico autorizzato può verificare la firma digitale di Konica Minolta per garantire l'integrità dei dati. Inoltre, le unità MFP con certificazione ISO 15408 contengono una funzione di verifica del firmware. Quando si riscrive il firmware dell'unità principale, viene eseguito un controllo dei valori hash, per verificare se i dati del firmware sono stati manomessi o meno. Se i valori hash non corrispondono, verrà emesso un avviso e il firmware non sarà riscritto. Inoltre, quando è abilitata la modalità di protezione avanzata, i controlli dei valori hash vengono eseguiti ogni volta che l'alimentazione principale viene accesa. Se i valori hash non corrispondono, verrà emesso un avviso e bloccato l'avvio dell'unità MFP principale. Grazie a questi meccanismi a prova di guasti, è estremamente difficile per un utente malintenzionato incorporare il codice di sfruttamento nell'unità MFP ed eseguirlo. Per questi motivi, KMI al momento non prevede di rilasciare il firmware aggiornato per Spectre o Meltdown, proprio a causa del rischio molto basso di attacco delle nostre unità MFP da parte di questa vulnerabilità. 4. Per controller PP, Fiery e Creo Poiché i controller EFI Fiery e Creo contengono anche CPU Intel, sono interessati dalla vulnerabilità Meltdown. EFI ha annunciato il suo stato sul proprio sito Web pubblico e tramite un bollettino per i partner, mostrato qui di seguito.
Attualmente, Creo non ha pubblicato commenti sull'argomento, ma nel prossimo futuro fornirà una patch software.
5. Prodotti MFP che contengono i processori interessati Office color: (C458/C558/C658), (C659/C759) Office B&W: (458e/558e/658e), (758/808/958) Questi prodotti per ufficio contengono il processore ARM Cortex-A15.
Prodotti PP; tutti i prodotti PP contengono i processori Intel interessati. 6. Informazioni sul fornitore della CPU ARM: Vulnerabilità dei processori speculativi per il meccanismo di durata della cache a livello del canale secondario Intel: Esecuzione speculativa e metodo di analisi per la previsione indiretta del ramo tramite canale secondario 7. Riferimenti Nota sulla vulnerabilità CERT/CC VU#584653 Hardware della CPU vulnerabile ad attacchi da canali secondari NIST National Vulnerability Database
Dettaglio su CVE-2017-5753 Dettaglio su CVE-2017-5715 Dettaglio su CVE-2017-5754
Meltdown e Spectre