В начале января исследователи Google Project Zero и независимые команды раскрыли две уязвимости в архитектуре современных процессоров – Meltdown (CVE-2017-5754) и Spectre (CVE-2017-5753, CVE-2017-5715). Они затрагивают чипы Intel, AMD и ARM, выпускавшиеся последние двадцать лет. Это не баг конкретной прошивки, а изъян механизма спекулятивного выполнения команд – приёма, которым процессоры ускоряют работу. Для корпоративной и государственной инфраструктуры это означает одно: уязвимы практически все серверы, рабочие станции и облачные платформы одновременно.

Что именно ломается

Спекулятивное выполнение позволяет процессору заранее считать данные, которые могут понадобиться. Meltdown стирает границу между памятью приложения и памятью ядра ОС – вредоносный процесс читает данные, к которым доступа быть не должно: пароли, ключи, токены сессий. Spectre сложнее: он заставляет легитимные программы выдавать содержимое своей памяти и работает в том числе через JavaScript в браузере.

Для облачных и виртуализированных сред риск острее всего. На одном физическом хосте крутятся виртуальные машины разных арендаторов. Meltdown в худшем сценарии позволяет одной VM подсмотреть память соседней. Если вы держите ИС в публичном облаке или строите частное на гипервизорах – это ваша зона ответственности, а не только провайдера.

Чем это грозит бизнесу и госсектору

Угроза не теоретическая. Эксплойт не требует физического доступа и не оставляет следов в обычных логах – он читает память, а не меняет файлы. Под ударом всё, что хранит секреты в оперативной памяти: контроллеры доменов, СУБД, серверы приложений, шлюзы.

Для операторов значимых объектов критической информационной инфраструктуры вопрос приобретает регуляторный вес. С вступлением в силу 187-ФЗ о безопасности КИИ обязанность выявлять и устранять уязвимости на значимых объектах перестала быть рекомендацией. Meltdown и Spectre – ровно тот случай, когда инвентаризация парка и оценка применимости угрозы должны пройти в приоритетном порядке.

Что делать прямо сейчас

Патчи уже выходят, но действовать нужно системно.

  • Обновите ОС и гипервизоры. Microsoft, Linux-дистрибутивы и VMware выпустили исправления. Для Meltdown ключевой механизм – изоляция таблиц страниц ядра (KPTI/KAISER).
  • Накатите микрокод и обновления BIOS/UEFI. Защита от Spectre требует обновления микрокода процессора от вендора платформы. Без него часть патчей ОС не активируется.
  • Проверьте совместимость антивируса. Ряд защитных решений блокирует установку патчей Windows из-за обращений к памяти ядра – без корректного флага в реестре обновление не придёт.
  • Заложите просадку производительности. На нагрузках с интенсивным вводом-выводом и частыми системными вызовами замедление достигает 5–30%. Для нагруженных СУБД и виртуальных ферм спланируйте запас по ресурсам.

Последний пункт особенно болезнен для систем, чувствительных к латентности, – высоконагруженных баз и конвейеров эксплуатации ML-моделей, где каждый системный вызов на счету. Здесь патчи стоит сначала прогнать на стенде и замерить деградацию.

История с Meltdown и Spectre закрывает тот год тревожной нотой: уязвимость нашлась не в коде, а в самом железе. Универсального быстрого решения нет – есть дисциплина обновлений и контроль конфигураций. Если нет ресурса прогнать патчинг по всему парку без простоя продуктива, задача сводится к планомерному сопровождению ИТ-инфраструктуры: инвентаризация, тестовый контур, поэтапное обновление с замером производительности.