Updates für AMD / Intel CPUs notwendig?

Der Kaby Lake auf Win 10 ist jedenfalls erst mal soweit gepatcht wie es geht.

Mein Core 2 Quad auf Win 7 macht mir allerdings noch Sorgen. Anscheinend meint M$, er braucht das Update nicht, jedenfalls wird es mir nicht angeboten. Außerdem habe ich Spekulationen im Netz gefunden, daß die alten Core 2 Prozessoren eventuell nicht für alle Angriffe verwundbar sind, da sie für jeden Core eigene Level-1-Code und -Data Caches haben. Die hatten ja (zum Glück?) noch kein Hyperthreading...

Bleibt erst mal nur Abwarten.

Mit Hyper-Threading hat die Lücke aber nix zu tun sondern mit Speculative Execution und das gibt's seit 1995. Somit ist sogut wie jeder Prozessor betroffen. Bei Meltdown fast nur Intel, bei Spectre so gut wie ALLE. Das Update habe ich heute angestoßen und es wurde problemlos installiert.
Das Update "verträgt" sich mit keinem anderen AV-Programm, es sei denn die Anbieter haben die Funktionalität per Registryflag sichergestellt. Die maximale Leistungseinbuße (30 %) dürfte sich auf Server-CPU's beschränken. Im normalen Gebrauch werden das so um die 2 % sein.

https://www.youtube.com/watch?v=ZkLjMm7Nu7s

Das KB4056892 wurde bei mir am 4.1.2018 installiert. Aber ich denke als "Wenigwissender", dass das erst der Anfang ist. Jetzt müssten doch noch Firmwares für die Prozessoren kommen? Ich habe hier einen Skylake.

Werden diese Firmwareupdates auch über WindowsUpdate angeboten? Werden sie vielleicht mit von Windows gelieferten System-Hardwaretreiber (Chipsettreiber) verteilt? Ich habe Treiberupdates über Windows deaktiviert, da ich Treiber für mein Motherboard über ASUS selber aktualisieren will. Das müsste ich in einem solchen Fall wohl wieder ändern/aktivieren.

Oder muss man sich bei Intel selber um (Firmware-) Updates kümmern?

Intel Firmware-Updates für Windows kommen von M$ in Form der Datei mcupdate_GenuineIntel.dll.

Man kann auch selbst Firmware-Updates einspielen, das erfordert aber tieferes Wissen, z. B.: https://www.heise.de/ct/ausgabe/201…ht-3133880.html (Leider kostenpflichtig für Nicht-ct-plus-Abonnenten)

Jedenfalls führt der aktuelle Spectre-Test auf einem Core-2-Prozessor nicht zum gewünschten Exploit, sondern endet in einem Access-Violation-Fault. :klasse: Das läßt mich auf jeden Fall schon mal besser schlafen...

Zitat von UliBär

Intel Firmware-Updates für Windows kommen von M$ in Form der Datei mcupdate_GenuineIntel.dll

Hast du dazu etwas Offizielles von Microsoft oder Intel gefunden? Ich finde nichts, außer dass Microsoft nach wie vor auf die Hersteller verweist:

Zitat

Q1: How can I tell whether I have the correct version of the CPU microcode?

A1: The microcode is delivered through a firmware update. Consult with the device manufacturer about the firmware version that has the appropriate update for your CPU.

Quelle: https://support.microsoft.com/en-us/help/407…nerabilities-in

Auf der Seite führt Microsoft seit ein paar Tagen auch ein Powershell Script an, mit dem sich überprüfen lässt, wie weit ein System gepatcht ist. In meinem Fall sieht das Ergebnis so aus:

Speculation control settings for CVE-2017-5715 [branch target injection]


Hardware support for branch target injection mitigation is present: False
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: False
Windows OS support for branch target injection mitigation is disabled by system policy: False
Windows OS support for branch target injection mitigation is disabled by absence of hardware support: True


Speculation control settings for CVE-2017-5754 [rogue data cache load]


Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True
Windows OS support for PCID performance optimization is enabled: False [not required for security]


Suggested actions


 * Install BIOS/firmware update provided by your device OEM that enables hardware support for the branch target injection mitigation.




BTIHardwarePresent             : False
BTIWindowsSupportPresent       : True
BTIWindowsSupportEnabled       : False
BTIDisabledBySystemPolicy      : False
BTIDisabledByNoHardwareSupport : True
KVAShadowRequired              : True
KVAShadowWindowsSupportPresent : True
KVAShadowWindowsSupportEnabled : True
KVAShadowPcidEnabled           : False

Man sieht, dass zwar der Patch von Microsoft installiert, aber wegen des fehlenden Firmware Updates für CVE-2017-5715 noch nicht und für CVE-2017-5754 noch nicht komplett aktiviert ist.

Das wird das Ergebnis bei ca. 50 % der Hardware weltweit sein. :shock:

Wir können nur warten und hoffen, dass entweder der Mainboardhersteller oder Microsoft Updates zur Verfügung stellt obwohl nach der Größenordnung des Problems zu urteilen dürfte es schwer sein, seitens Microsoft einen Fix zu erstellen also die Seite des MB-Providers im Auge behalten und die News verfolgen. Die Gefahr für den Privatrechner ist ja (noch) nicht so groß. Bei Rechenzentren und Cloudservern sieht das Ganze anders aus. :traurig:

Zitat von Darklord666

Das wird das Ergebnis bei ca. 50 % der Hardware weltweit sein. :shock:

Da Spectre nicht nur Intel sondern auch AMD und die ARMs betrifft, schätze ich, dass es noch weit mehr sind. Nebenbei, ich finde es bemerkenswert, wie gut die anderen bisher im Vergleich zu Intel in der Presse davonkommen. Das erinnert mich ein bisschen an den Dieselskandal.

Zitat von Darklord666

Die Gefahr für den Privatrechner ist ja (noch) nicht so groß. Bei Rechenzentren und Cloudservern sieht das Ganze anders aus. :traurig:

Da sprichst du einen guten Punkt an. Mir scheint, die Tragweite ist bei der breiten Masse noch gar nicht angekommen. Dabei benutzt fast jeder einen Clouddienst.
Die meisten Webseiten liegen bei irgendeinem Hoster. Dahinter stecken oft aber keine dedizierten Server sondern nur virtualisierte Server. Der einzelne Kunde und auch der Hoster wissen gar nicht, was andere Kunden auf demselben physikalischen Server treiben. Als Kunde weißt du nicht einmal, wer die anderen auf demselben Server sind.
Wenn einer von denen erfolgreich angegriffen wird, kann der Angreifer auch den Speicher der anderen VMs lesen. Deshalb sind allen voran Amazon, Google und auch Microsoft so alarmiert.
Ob die vielen kleinen Anbieter auch so zügig reagieren oder überhaupt reagieren können? Zweifel sind sicher erlaubt.

Zitat von Casali

Hast du dazu etwas Offizielles von Microsoft oder Intel gefunden? Ich finde nichts, außer dass Microsoft nach wie vor auf die Hersteller verweist:
(...)

Ich hoffe, ich darf hier einen Auszug aus dem oben verlinkten c't-Artikel posten
Quelle: https://www.heise.de/ct/ausgabe/201…ht-3133880.html

Zitat

Windows-Nachlader

Auch Windows lädt bei Bedarf Microcode-Updates nach. Es verwendet dafür keine ungeschützte Textdateien, sondern signierte DLLs namens MCupdate-GenuineIntel.dll für Intel und MCupdate_AuthenticAMD.dll für AMD. Hier kann man nichts ändern oder nachtragen – dann weigert sich Windows zu booten. Gelegentlich legt Microsoft den Updates neue Versionen bei und passt zuweilen auch das Ladeprogramm mcupdate.dll an.

Wir haben zudem ein kleines Windows-Kommandozeilen-Tool namens Showmc erstellt (nicht mehr in Turbo Pascal, sondern schon in Delphi …), das die Standard-Header der in der MCupdate-DLL enthaltenen Microcodes ausliest und anzeigt. Die neueren, weniger interessanten Extended Header, die am Ende angehängt sind, ignoriert es.

Dafür schaut es in die Registry hinein, wo festgehalten ist, welche Version vor dem Windows-Start aktiv war und welche Windows womöglich nachgeladen hat. Showmc kann auch Binärdateien, so wie sie in der Datenbank von UBU enthalten sind, anzeigen und bei Bedarf in Textform analog zu Intels microcode.dat ausgeben. Oder man lässt sich mit showmc microcode.dat den Inhalt von Intels Textdatei übersichtlich auflisten. Wenn man ein unkomprimiertes BIOS eines Boards als Datei hat, kann man auch das dem Programm vorwerfen. Es sucht dann alle darin befindlichen MCUs auf, zeigt deren Header an und überprüft die Prüfsumme.

Für einen Windows-Kerneltreiber ist das reine Nachladen von Microcode-Updates mithilfe der MSRs 0x48d (Intel) oder 0xc0010020 (AMD) kein größeres Problem, hierfür reichen bereits wenige Zeilen Code. Allerdings sind die erwähnten flankierenden Maßnahmen nötig, die allerhand Expertise und interne Kenntnisse des Betriebssystems erfordern.

,,,

Alles anzeigen

Die Microcode-Patches bekommt M$ dann aber direkt von Intel geliefert und baut daraus signierte DLLs.

Das showmc Programm findet man unter dem oben angegebenen Link bei der c't-Software.
Da das ein systemimmanenter Bestandteil von Windows ist, wird darüber bestimmt absichtlich nicht so viel geschrieben. :-??

PS: Gerade ist das Update für den Core 2 Quad auf Windows 7 eingetrudelt und installiert.
Hut ab M$, heute ist doch gar nicht offizieller Patchday! :klasse:

Ich habe meine Frage nicht gut genug formuliert. Ich wollte eigentlich wissen, ob du etwas gefunden hast, woraus hervorgeht, dass die Firmware Updates überhaupt durch Microsoft verteilt werden. Microsoft selbst verweist ja bisher auf die Hersteller. Dazu, dass sie einen Patch von Intel erhalten und ihn dann verteilen, habe ich noch nichts finden können.

Wenn es am Ende nicht automatisch erfolgen sollte sondern jeder selbst bei seinem Hersteller nach dem richtigen Patch für seine CPU und sein BIOS suchen muss, dann kann ich mir denken, wie das ausgehen wird. Man muss nur ein paar Wochen in diesem Forum lesen, um eine Idee zu bekommen, wie viele Systeme es da draußen gibt, die seit Jahren keinen Patch mehr bekommen haben. Ich fürchte, sehr viele Privatrechnern würde den Patch nicht bekommen, wenn er nicht automatisch kommen wird.

Genaues kann ich dazu auch nicht finden, aber ich erinnere mich noch genau, als mein Rechner 2007 brandneu mit dem (damals noch) Core 2 Duo war und ich unter XP ziemlich oft Bluescreens hatte. Damals™ war das Microcode-Update in der hal.dll für den C2D in XP eher da, als das BIOS-Update von ASUStek. Die neuesten Microcodes gibt es ja bei den Herstellern frei zum herunterladen. Da ein einwandfreier Betrieb von XP ohne das Update nicht gewährleistet war, hat M$ kurzerhand die aktuellen Microcodes eingespielt und alles war gut.

Das Problem ist ja nur, die Microcodes beim Booten zu laden. Das kann bereits über das BIOS erfolgen oder (wie bei Linux und Windows) auch erst kurz bevor das Betriebssystem geladen wird. Ich bekomme seit 2009 keine BIOS-Updates mehr vom Hersteller, habe aber trotzdem die aktuellen Microcodes für den C2Quad von 2010 im BIOS. Das mußte ich aber selbst machen und mir die Tools im Internet zusammensuchen, ein eigenes BIOS backen und dann ins Board brennen. Das ist nicht ohne und kann auch heftig nach hinten losgehen.

Es gibt übrigens noch einen anderen eleganten Weg, Microcodes in Windows nachzuladen, und zwar mit einem Treiber von VMWare: https://labs.vmware.com/flings/vmware-…e-update-driver

Zitat von Casali

Ich habe meine Frage nicht gut genug formuliert. Ich wollte eigentlich wissen, ob du etwas gefunden hast, woraus hervorgeht, dass die Firmware Updates überhaupt durch Microsoft verteilt werden. Microsoft selbst verweist ja bisher auf die Hersteller. Dazu, dass sie einen Patch von Intel erhalten und ihn dann verteilen, habe ich noch nichts finden können.

Wenn es am Ende nicht automatisch erfolgen sollte sondern jeder selbst bei seinem Hersteller nach dem richtigen Patch für seine CPU und sein BIOS suchen muss, dann kann ich mir denken, wie das ausgehen wird. Man muss nur ein paar Wochen in diesem Forum lesen, um eine Idee zu bekommen, wie viele Systeme es da draußen gibt, die seit Jahren keinen Patch mehr bekommen haben. Ich fürchte, sehr viele Privatrechnern würde den Patch nicht bekommen, wenn er nicht automatisch kommen wird.

Genau so wird es leider sein. :cry:

Zitat von Delgado

Aktuell:
NVidia hat neue Treiber für Grafikkarten bereit gestellt (390.65) zur Sicherung gegen Spectre 1.
Artikel ComputerBase: https://www.computerbase.de/2018-01/nvidia…-spectre-patch/

Download NVidia:
http://www.nvidia.de/Download/index.aspx?lang=de

Danke für den Hinweis.

Zitat von Darklord666

Genau so wird es leider sein. :cry:

Gerade gefunden: Lenovo verteilt bereits Updates: https://support.lenovo.com/de/de/solutions/len-18282

Wenn das jetzt wirklich über die Hersteller laufen sollte, wird es schwierig.

Inzwischen bin ich etwas weiter gekommen.
Von https://www.asus.com/Motherboards/M…pDesk_Download/ habe ich für mein Motherboard folgende 2 Updatedateien heruntergeladen und in dieser Reihenfolge installiert:

1:
[attachment=1]MAXIMUS VIII RANGER Chipset.jpg[/attachment]
2:
[attachment=0]MAXIMUS VIII RANGER MEUpdateTool.jpg[/attachment]
.
Ich hoffe, ich habe damit getan was ich tun kann

Zitat von bigpen

Ich hoffe, ich habe damit getan was ich tun kann

Die beiden Updates haben aber nichts mit Meltdown und Spectre zu tun.
Die Updates sind ja schon vom November 2017...und das Problem wurde erst jetzt öffentlich bekannt.

PS:
Man mag mich berichtigen sollte ich damit falsch liegen.

Ich hoffe doch.
Intel wusste schon länger um den Fehler.

Nein, das ist es noch nicht. Das kannst du bereits am Datum erkennen. Das eine Update betrifft den Chipset, das andere die Management Engine. Das hat mit Meltdown und Spectre nichts zu tun. Geschadet hat es auch nicht.

Ich würde einfach abwarten. Irgendeine der bekannten Seiten wird in den nächsten Tagen ganz gewiss darüber informieren, wie man an die Updates kommt.
Ich selbst werde auch dann noch ein paar Tage warten. Du hast sicher gelesen, dass selbst das Windows-Update nicht ganz reibungslos verlief.

Bei Heise gibt es ein paar Neuigkeiten:

Der Hinweis auf das PS-Script, das ich in #25 erwähnt habe, und einen Artikel, wonach Intel zunächst die Prozessoren ab 2013 patchen will. Laut dem Artikel ist bisher nicht einmal klar, ob Intel damit schon beiden Problem patcht oder nicht. Die Auswirkungen auf die Performance werden wohl individuell unterschiedlich sein.
https://www.heise.de/newsticker/mel…ng-3936956.html

bigpen: Falls du doch noch zweifelst, kannst du das PS-Scipt ja bei dir laufen lassen. Du wirst ähnliche Ergebnisse bekommen wie ich in #25. Dann siehst du selbst, dass die beiden Updates, die du eingespielt hast, diese beiden Problem nicht lösen.

Danke Casali für's #38.

Folgendes liegt mir immer noch auf dem Magen:

Zitat

Ich habe Treiberupdates über Windows deaktiviert, da ich Treiber für mein Motherboard über ASUS selber aktualisieren will. Das müsste ich in einem solchen Fall wohl wieder ändern/aktivieren.