Achtung! Vivaldi 1.13.1008.40 ist angreifbar!

ice8

Vielen Dank, hat alles funktioniert

Zwar erscheint bei den o. g. Links die leere Seite, aber "vivaldi://flags/" und dann nach den Falgs suchen hilft.

luetage

@gwen-dragon Danke für die Anleitung, sie ist jedoch nicht klar. Wenn du Link enable oder disable drückst, wird der gegenteilige Zustand erreicht. Jedoch ist bei mir der shared array buffer auf default gesetzt. Soll der nun auf disabled oder enabled gesetzt werden?

Die Anleitung würde mehr Sinn machen, wenn du den gewünschten End-Zustand angeben könntest für beide flags. enabled/disabled, nicht was da schon steht oder gesetzt ist. Danke.

Ich gehe jetzt einmal davon aus, das die erste Flag auf disabled, die zweite auf enabled gesetzt werden sollte.

luetage

Nachdem ich beide Flaggen nach Anleitung gesetzt habe, ist der Browser immer noch verwundbar, scheint keine Lösung zu sein.

matt2kay

i5-2430m, Win 10 x64, Vivaldi 1.13.1008 x64

Laut Test ebenfalls vulnerable. (Opera auch, Chrome & Waterfox sicher)

Generell zeigt Vivaldi's Chromium Strategie derzeit ihre Defizite. Spectre und Meldown verdeutlichen es umso mehr. Das ein kompletter rewrite von 1.12 auf 1.13 mehrere Wochen dauert, geschenkt, bei einem <40 Kopf großen Team absolut nachvollziehbar. Zum Dauerzustand darf das allerdings nicht werden!

Z.B. ist das Chromium build der aktuellen 1.13.1008.40 nach wie vor identisch mit der ersten 1.13. vom 22. November. Sprich 62.0.3202.97.

Vivaldi muss einen Weg finden entweder große Chromium Version schneller zu adaptieren oder zumindestens eine Art 'first responder patches' bereit zu stellen, die kritische Sicherheitslücken innerhalb weniger Tage schließen.

Workarounds via vivaldi://flags sind sicherlich für Leser dieses Forums eine temporäre Lösung, allerdings für 90% der user base unpraktikabel.

luetage

Danke für die Bestätigung. Habe diese Einstellungen gewählt, Browser ist dennoch verwundbar.

luetage

@gwen-dragon Glaub' ich dir und sollte auch keine Kritik sein. Hängt wahrscheinlich noch von anderen Faktoren ab.

Alexs

Es gibt für Linux-Anwender ein Script welches die Schwachstellen auf Spectre und Meltdown überprüft.

https://www.cyberciti.biz/faq/check-linux-server-for-spectre-meltdown-vulnerability/
https://github.com/speed47/spectre-meltdown-checker

Das Script am besten in /tmp abspeichern und als root ausführen.

jagdishF

@gwen-dragon
ja, der Browser ist sicher - aber in meinem Fall auch unstabil.
Nach Abstürzen und gefrorene Tabs hab ich die flags wieder zurückgesetzt. Jetzt läuft wieder alles perfekt.

mib2berlin

Hallo, kann sich jemand mal das script aus Alexs post ansehen, der etwas von C bzw. script Programmierung versteht?
Das ist etwas zu Komplex für mich und ich würde es ungern als root laufen lassen.

Danke, mib

Alexs

@mib2berlin Du kannst ja auch als User über die drei – hoffentlich schon verfügbaren – Dateien auslesen ob dagegen schon was unternommen wurde.

cat /sys/devices/system/cpu/vulnerabilities/meltdown
cat /sys/devices/system/cpu/vulnerabilities/spectre_v1
cat /sys/devices/system/cpu/vulnerabilities/spectre_v2

Bei mir mit Kernel 4.14.13

cat /sys/devices/system/cpu/vulnerabilities/meltdown
Mitigation: PTI

cat /sys/devices/system/cpu/vulnerabilities/spectre_v1
Vulnerable

cat /sys/devices/system/cpu/vulnerabilities/spectre_v2
Vulnerable: Minimal generic ASM retpoline

Ab Wochenende sollte Linux 4.15 kommen, allerdings benötige ich bis dahin einen aktualisierten Compiler (gcc 7.3) den es bei Debian aber noch nicht gibt.

Mehr Info zu Linux 4.15: https://heise.de/-3900646
und GCC 7.3 http://www.pro-linux.de/news/1/25508/

derDay

macht es eigentlich Sinn, die Flags #enable-site-per-process und #shared-array-buffer wieder auf Standard zu setzen, wenn man den neuesten Snapshot installiert hat?
Der Check auf http://xlab.tencent.com/special/spectre/spectre_check.html gibt mir mit Defaultwerten ebenfalls grün

ice8

Liste mit betroffenen Prozessoren/Smartphones/...

https://www.techarp.com/guides/complete-meltdown-spectre-cpu-list/

luetage

@gwen-dragon Vivaldi ist immer noch verwundbar in meinem Fall auf 1.14, denke nicht dass die "Lücke" vollständig geschlossen wurde.

ice8

@gwen-dragon said in Achtung! Vivaldi 1.13.1008.40 ist angreifbar!:

Die Spectre-Lücke ist aber jetzt seit 1.13.1008.44 gefixt!

Ja ich weiß, das ist die Liste mit Prozessoren, die hat mit Vivladi nix zu tun. Sorry, dass ich das Thema wieder "uppe".

Liste ist nützlich, falls jemand auf eine Idee kommt, einen neuen Prozessor/Smartphone/Workstation/... zu kaufen (und nicht auch irgendwelche buggy Patches zu hoffen) (Intel hat schon angekündigt, dass die herausgegebenen Patches buggy sind, und man warten muss). Dort kann man prüfen, ob der Prozessor, den man kaufen möchte grundsätzlich angreifbar ist.

IMHO mit keinem Patch wird man die Lücke im Prozessor (als Hardware) je vollständig schließen können. Man wird bestimmt irgendwelche Wege finden diese Patches zu umgehen/auszuschalten/... Der einzige sichere Weg wird der neue Prozessor sein. Ich denke, dass spätestens in 5 Jahren kaum jemand einen Prozessor aus der Liste im PC haben möchte.

Wenn diese Kacke bis zu den Verkäufern durchgedrungen ist, so Mitte bis Ende 2018, wird jeder Prozessor als sicher angepriesen. Alles was bis jetzt produziert wurde und irgendwo lagert, muss doch verkauft werden. Großabnehmer werden schlau genug sein, den Mist nicht zu kaufen. Und jeder sicherheitsbewusster Mensch wird irgendeine objektive Stelle brauchen um sich zu beraten, z. B. so eine Liste.

Wenn jemand ne bessere Liste hat, würde ich brauchen