Ja jsem o tom, ze zacal padat Kaby Lake informoval jiz 6.1. Psal jsem o tom myslim, jak tady do diskuze, tak na cnko a na dalsi weby. Vsude mi bylo nadavano, ze to neumim, ze je problem mezi zidli a klavesnici a tak dale. Takze by se ti inteligenti co ty nesmysly psali, mohli ted chytit za hlavu a dat si facku.

Problém je hlavně v tom, že Ti idioti to nejsou schopní in-house otestovat. Tohle co předvádějí je amatérismus hodný garážovky krátce po založení. Celé to působí jako bastl spíchnutý horkou jehlou, ne něco, co se řeší na úrovni už půl roku.

ne... umí to už ten původní... vím to z vlastní zkušenosti...

Ani Lynnfield nepadá, ale to asi může ještě záviset na kombinaci bůhvíčeho dalšího. Zajímavé je, že na Ryzena se mi žádná "nová" aktualizace nenabídla ve Win10; zapnul jsem ten počítač až po tom, co ten původní patch stáhli pro AMD procesory (zřejmě pro všechny?!?). Samozřejmě jsem nastavil wupdate abych mohl vybrat, kdy se to stáhne a nainstaluje. Ale i tak zatím ticho po pěšině.

Musis ty zaplaty nejdriv nainstalovat, pak to padat zacne.

Meli, ale v ramci uspor zruseno. Prej to Indove otestujou zadarmo, ale nerekli, ze to bude testovat cely svet.

Já bych to viděl ještě jinak - už nějaká redakce uchopila 10 HW různých kompů a provedla alespoň základní měření (syntetika i pár her) PŘED a PO aplikování patchů, aby krom teorií ukázala alespoň drobný nástřel reality?

Ne, počkat - nechte mě hádat... je to moc práce, že?
Taky jsem kdysi psal a díky tomu vím, že pro některé redaktory byl BIG problém otestovat byť pět grafik, takže chápu. Ale rýpanec si dovolím - vzhledem k pozdější praxi, kdy jsem opravil víc počítačů, než většina redaktorů vůbec viděla, mám pro tyto sdělení - "Pánové, testování je práce zdlouhavá, OTRAVNÁ, ale nikoli ODBORNÁ" :))))

Akokolvek si to dobre napisal... nesuhlasim.

"Zatím je to tak, že to patchování a celý ten humbuk kolem dělá víc škody, než ta zranitelnost aktuálně představuje."

Opravim to slovenskou verziou:
Zatial je to tak, ze firmy s miliardovymi ziskami pol roka ziadny humbuk nerobili! Nerobili ani poriadne testovanie (nie instrukcii a aplikacii, ale aspon funkcnosti patchu a stability systemu)!
NAMIESTO toho "planovane" predavali akcie, predavali svoje vyrobky a sluzby, a az ked hrozilo, ze tu chybu zverejnia, tak zlepili totalny odpad hodny garazovych firiem a NECHALI vyzrat ten humbuk svojim zakaznikom. Ako ludom, tak aj firmam.

Tu vobec nejde o to, ci to TERAZ niekto zneuziva, ale ze TO MOZE zneuzivat. Odbornici implementuju sifrovanie, podpisy, sietove zabezpecenia, sietovu neutralitu, aby mohli zarucit nejaku tu bezpecnost a nejake nadradene korporatne firmy si z celeho sveta robia DOBRY DEN. Len vdaka tomu... ze mozu!

Myslienka je rovnaka ako bezpecnost vs zbrane. Ved kto normalny by sa zamykal, ked rozumny clovek nekradne, nestriela, nepacha zlo. A aj tak sa vsetci zamykame komplikovanymi bezpecnostnymi zamkami a pritom sa zbranami aj tak da dostat cez tie dvere. Ak by tu nebola ziadna zodpovednost za svoje ciny, tak by to tu bolo ako na divokom zapade, alebo v starodavnom mafianskom talianskom prostredi. A o tomto je spravanie firmy INTEL a MICROSOFT - su ako ta MAFIA ktora hovori ludom... platte ale necakajte od nas, ze vas tie zbrane nezabiju.

Cisto z moralnych dovodov by ste mali vsetci robit humbuk na tieto dve firmy!

Naopak, dle meho nazoru se cely problem az priliz podcenuje. Zaplaty srazi produktivitu sestav o desitky procent. Mluvim o produktivite, tedy o praci a ne o hrach. nahodne restarty nas vraci do dob Windows 95, 95, ME. Alternativou je mit system potencialne otevreny komukoliv se spravnym kodem. Jeste vetsi problem je imho u chytrych telefonu, kde bych se obaval malwaru, odchytajicich sms bez opravneni. Platebni brany a virtualni penezenky. Mit v kryptomenach balik, celkem bych se bal lokalni penezenky, uvazoval bych o cold-storage popr. pokud bych je aktivne pouzival tak dedikovany stroj pouze pro tyto transakce. Vi nekdo jak to je s virtualizaci ? Predpokladam, ze diky zranitelnosti je mozne prelezt i pres ring-0 ? Oprava musi byt na urovni hypervizoru ? Ma naivni predstava je, ze jsou diky tomu zranitelne veskere cloudove sluzby ?

EDIT: tak jsem si u kamarada z jedne nejmenovane firmy overil, ze lze zranitelnost se tyka i virtualizovanych stroju. Pokud je nejaky host napaden, lze to vyuzit k napadeni celeho stroje.
Vec co nechapu je, ze HP prodava notebooky Spectre, jeste se tim bugem chlubi :D

> ad "není prostě možné, aby si na daném serveru někdo pustil kód, který by tu slabinu využíval, protože na těch serverech třeba běží jen databáze a nikdo tam nikdy nic jiného nespustí"

Tak třeba Microsoftí SQL databáze umožňují spouštět kód psaný v .NETu, takže těch se Meltdown a Spectre rozhodně týká (pokud mají tuhle fukčnost povolenou, defaultně je naštěstí vypnutá). Mě by ale ani nepřekvapilo, kdyby se u některých databází časem našel způsob, jak těch chyb zneužít i přes obyčejné SQL dotazy (server by musel být napsaný tak nešťastně, že by takový útok umožnil, ale principielně to možné je), přece jenom hackeři dokážou být pěkně vynalézaví :-)

Mas pravdu jen do te miry, dokud se v ramci V Oracle RDBMS nepusti JAVA kod - coz mozne je: https://stackoverflow.com/questions/5899726/creating-function-in-an-orac...

Mluvíte mi z duše pane kolego. Spousta exploitů včetně zde jmenovaných trápí různé servery co slouží divokému internetu (třeba obvykle k tomu účelu spouštějí různá děravá server-side skriptovací prostředí) nebo hostují VPSky ve kterých si pouští kdo chce co chce. Případně desktopy, na kterých se svobodně brouzdá v divokém internetu.

Něco úplně jiného jsou servery, na které se ani z dálky nikdo zvenčí přímo nedostane: nějaké dedicated SQLko kdesi hluboko v korporátní interní síti, stroje co řídí průmyslové výrobní linky, měření a regulaci v síťových odvětvích (energetika / voda apod.), nebo třeba HPC farmy pro vědecké výpočty.

Je spousta druhů nasazení, kde je legitimní chtít plný výkon, deterministické krátké latence, a stoprocentní stabilitu. Naštěstí většina těch strojů je odřízlých od internetu a automatické aktualizace mají každopádně vypnuté.

V momentě kdy se to mediálně profláklo, a všichni psali, že se to bude patchovat a co to přinese, pokřižoval jsem se a začal jsem pátrat, jak se těm patchům *vyhnout*. V Linuxu to jde (při kompilaci kernelu a zřejmě i za provozu), pod Windows jsem zatím žádný konkrétní návod neviděl. Jakože které updaty zakázat apod.

Taky jste z těch, co odchází k doktoru zdráv co?

Zásada 1 totiž stále platí : "Když to funguje, tak se v tom proboha nehrab"

Tady v tom případě to ale bohužel úplně neplatí. On je totiž problém, že to nefunguje. Kdyby to totiž fungovalo, nebyla by žádná záplata potřeba. To by se dalo říct téměř o všem, že to funguje, aspoň na první pohled. Uživateli všechno chodí plným výkonem, nic nepadá. Jenže v pozadí je známá díra, která umožní vstup útočníka do zařízení uživatele, využít jej nebo ochromit. I při většinou velice nízkém riziku zneužití je hloupé nechávat toto známé riziko otevřené. Nemluvím o uzavřených systémech, tam je možnost nepoužít záplaty, když je to ošéfované jiným způsobem.

Ano, může. Od dob NT4.0

Taky mám takovej neodbytnej pocit. Léta se mluví o tom, jak nakopnout zkomírající prodeje. Tohle jakoby se jim skvěle hodilo do krámu.

urcite to svou roli sehrava, odhalime zadni vratka tripismenkove agentury, vydame patch, ktery bude zpusobovat problemy, sice prijdeme o zadni vratka ale donutime plebs obmenit obstarozny HW za novy s novyma zadnima vratkama... win win situace, grafy zisku pujdou nahoru, tripismenkove agentury o vratka neprijdou, akorat plebs budou calovat...