Fragen? Antworten! Siehe auch: Alternativlos
Die Maßnahmen, die sie da gerade durchführen, um das zu bekämpfen, sind potentiell mit sehr großen Performanceeinbußen verbunden (weil pro Syscall-Kontextwechsel ein TLB-Flush notwendig wäre).
Ich mache mir keine Sorgen. ASLR ist eh kein Schutz sondern nur eine Mitigation, d.h. es verhindert keine Sicherheitslücken, es macht sie nur schwerer auszunutzen. Ein Sicherheitskonzept, dessen Sicherheit auf ASLR basiert, ist also eh wertlos. Das schaltet man an, weil es da ist und nichts kostet.
Wir werden mal sehen müssen, wie stark die Performanceeinbußen in der Praxis sind. Die werden am Schlimmsten bei Workloads mit vielen Syscalls sein, d.h. Netzwerkservices und sonstige I/O-intensive Geschichten. Und natürlich Virtualisierung, klar. Aber wer das macht, erwartet ja eh keine gute Performance.
Ich mache mir da jetzt jedenfalls keine schlaflosen Nächte deswegen. Andere Maßnahmen wie Seccomp-Sandboxing und W^X sind viel wichtiger als ASLR. Und eigentlich war ASLR ja auch bloß eine weitere Ausrede dafür, unsere Software weiterhin nicht ordentlich zu auditieren. Wir haben ja ASLR!1!! Ich sehe das also sogar verhalten optimistisch. Vielleicht fangen die Leute jetzt mal an, auf Security zu achten. Wenn die Mitigations öffentlichkeitswirksam wegbrechen.
Update: Es sieht so aus, als sei das mehr als ASLR-Bypass, als könne man so vom User Space aus Kernel Memory lesen. AMD ist nicht betroffen, wie es aussieht.
Ist das schlimm? Ja, ist es. Der Kernel hat beispielsweise der Buffer Cache im Speicher, und da könnten Inhalte aus irgendwelchen Dateien stehen, die der User sonst nicht lesen könnte, ich sage mal Krypto-Schlüssel oder so. Oder vielleicht die letzten Tastendrücke, und so könnte man die Passphrase auslesen. Das ist ein Riesenproblem. Das ist schlimm genug, dass Intel ein Recall droht, wenn wir sie da jetzt nicht um irgendwelchen Performance-killenden Maßnahmen drumherummogeln lassen.
Update: Das erinnert inhaltlich stark an das "Ach du Kacke"-Paper vom August.
Update: Hier ist ein Blogpost über Intel-CPU-Bugs von Anfang 2016 als Kontext.