BadRAM: Forschende entdecken neue Sicherheitslücke

Luca Wilke und Prof. Dr. Thomas Eisenbarth vom Institut für IT-Sicherheit der Universität zu Lübeck waren an der Entdeckung der Sicherheitslücke beteiligt. Foto: Tammo Polle / Universität zu Lübeck

Forscher*innen der Universität zu Lübeck, der University of Birmingham und der Katholieke Universiteit Leuven haben eine schwerwiegende Sicherheitslücke mit dem Namen BadRAM aufgedeckt. Diese Schwachstelle ermöglicht es Angreifenden, auf eigentlich geschützte Speicherbereiche zuzugreifen, was insbesondere Cloud-Anwendungen gefährdet.

Die Sicherheitslücke betrifft vor allem AMD SEV-SNP, eine sogenannte Trusted Execution Environments (“vertrauenswürdige Ausführungsumgebung”), die Nutzer*innen erlaubt, hochsensible Daten in der Cloud zu verarbeiten, ohne diese dem Cloud-Anbieter preiszugeben. BadRAM untergräbt jedoch genau diese Sicherheitsgarantie.

So funktioniert der Angriff: Die Forscher*innen nutzten einen kurzfristigen physischen Zugriff auf Speichermodule, um deren Metadaten – wie die Größe des Moduls – zu manipulieren. Wird ein solches manipuliertes Modul in einem System eingesetzt, entstehen sogenannte Speicher-Aliase. Diese Aliase ermöglichen es, bestehende Zugriffsrechte zu umgehen, sodass Angreifende unbefugt Daten lesen oder verändern können.

Die gute Nachricht: Es gibt bereits Abhilfemaßnahmen. Durch Anpassungen im Startvorgang von Computersystemen können manipulierte Speichermodule erkannt und deren Verwendung verhindert werden. Das System verweigert in solchen Fällen den Start.

Reaktion der Hersteller

Die Forschungsgruppe aus Lübeck, Birmingham und Leuven hat die Sicherheitslücke an AMD gemeldet, und das Unternehmen plant, die erwähnten Gegenmaßnahmen in zukünftigen Updates zu implementieren. Andere Hersteller, wie Intel, führen ähnliche Sicherheitschecks bereits durch.

Weitere Informationen (auch englischsprachig) erhalten Sie hier: http://badram.eu/

Kontakt für Rückfragen: Luca Wilke, Institute of IT Security, Universität zu Lübeck, Mail: l.wilke@uni-luebeck.de