Laptop-Denial-of-Service über Musik: Der R&B-Song der 1980er mit CVE!

Sie haben wahrscheinlich den alten Witz gehört: „Humor im öffentlichen Dienst? Das ist nicht zum Lachen!“

Aber die Sache mit solchen düsteren Pauschalurteilen ist, dass es nur eines einzigen Gegenbeispiels bedarf, um sie zu widerlegen.

Etwas kann nicht universell wahr sein, wenn es auch nur für einen einzigen Moment falsch ist.

Wäre es also nicht schön, wenn der öffentliche Dienst ab und zu optimistisch sein könnte…

…in der Tat so optimistisch wie die eingängige Tanznummer von Janet Jackson Rhythmus-Nation, erschienen 1989 (ja, das ist wirklich schon so lange her)?

[Eingebetteten Inhalt]

Dies war die Ära von Schulterpolstern, MTV, Big-Budget-Tanzvideos und der Art von lyrischer Musikalität, die in Ihren Ohren und in Ihrem Gesicht auftaucht und die sogar das zeitgenössische automatische Transkriptionssystem von YouTube manchmal einfach so wiedergibt:

  Bass, Bass, Bass, Bass ♪ (Upbeat R&B-Musik) ♪ Dance-Beat, Dance-Beat

Nun, als Microsoft-Superlogger Raymond Chen wies letzte Woche darauf hin, genau dieser Song war offenbar Anfang der 2000er Jahre an einer erstaunlichen Systemabsturz-Schwachstelle beteiligt.

Laut Chen beschwerte sich ein großer Laptop-Hersteller der damaligen Zeit (er sagte nicht, welcher) darüber, dass Windows zum Absturz neigte, wenn bestimmte Musik über den Laptop-Lautsprecher abgespielt wurde.

Die Abstürze waren anscheinend nicht auf den Laptop beschränkt, auf dem das Lied abgespielt wurde, sondern konnten auch auf Laptops in der Nähe provoziert werden, die der „Sicherheitslücke auslösenden“ Musik ausgesetzt waren, und sogar auf Laptops anderer Anbieter.

Resonanz als schädlich angesehen

Anscheinend war dies die endgültige Schlussfolgerung Rhythmus-Nation zufällig Beats in der richtigen Tonhöhe enthielt, die im richtigen Tempo wiederholt wurden, was ein Phänomen hervorrief, das als bekannt ist Resonanz in den Laptop-Laufwerken des Tages.

Grob gesagt führte diese Resonanz dazu, dass die natürlichen Vibrationen in den Festplattengeräten (die damals wirklich Festplatten enthielten, die aus Stahl oder Glas bestanden und sich mit 5400 U / min drehten) bis zu dem Punkt verstärkt und übertrieben wurden, dass sie abstürzten und Windows zum Absturz brachten XP zusammen mit ihnen.

Resonanz ist, wie Sie vielleicht wissen, der Name für das Phänomen, durch das Sänger Weingläser zerbrechen können, indem sie die richtige Note lange genug erzeugen, um das Glas in Stücke zu vibrieren.

Sobald sie die Frequenz der Note, die sie singen, auf die natürliche Frequenz eingestellt haben, mit der das Glas gerne vibriert, erhöht ihr Gesang kontinuierlich die Amplitude der Vibration, bis es zu viel für das Glas ist.

Es ist auch das, was Sie beim Schwung schnell Höhe und Schwung aufbauen lässt.

Wenn Sie Ihre Tritte oder Stöße zufällig timen, verstärken sie manchmal Ihre Bewegung, indem sie in Harmonie mit dem Schwung agieren, aber zu anderen Zeiten arbeiten sie gegen den Schwung und verlangsamen Sie stattdessen, sodass Sie unbefriedigend herumrütteln.

Aber wenn Sie Ihre Energiezufuhr zeitlich so einstellen, dass sie immer genau mit der Frequenz des Schwungs übereinstimmt, erhöhen Sie die Energiemenge im System ständig, und somit nehmen Ihre Schaukeln an Amplitude zu und Sie gewinnen schnell an Höhe.

Ein geübter Swingineer (auf einer richtig konstruierten, gut montierten „Solid-Arm“-Schaukel, bei der der Sitz nicht durch flexible Seile oder Ketten mit dem Drehpunkt verbunden ist – versuchen Sie das nicht im Park!) kann einen Schwung schicken mit wenigen Pumpstößen in einem 360-Grad-Bogen über die Spitze …

…und indem sie ihre Pumpen absichtlich außerhalb der Reihenfolge takten, um der Bewegung der Schaukel entgegenzuwirken, können sie sie genauso schnell wieder vollständig zum Stillstand bringen.

Proof-of-Concept

Wir vermuten, dass es wahrscheinlich noch viele andere populäre Songs gab, die diese Festplattenresonanz bis zum Scheitern provozieren konnten, aber Rhythmus-Nation war der Proof-of-Concept, der zeigte, dass diese Schwachstelle aktiv ausgenutzt werden konnte.

Chen berichtet, dass der Hersteller des Laptops einen Frequenzfilter in das Audiosystem des Laptops eingebaut hat, um die Frequenzbänder zu entfernen, die dazu neigen, das Problem zu erzeugen, wodurch der Klang hörbar unverändert, aber akustisch harmlos bleibt.

Indem die Frequenzen ständig gefiltert wurden, anstatt zu versuchen, Janet Jacksons Lied speziell zu erkennen, wurde diese elektronische Gegenmaßnahme zu einem allgemeinen und proaktiven Cybersicherheits-Fix, nicht nur zu einem Patch, der für eine Melodie spezifisch ist.

Nun, um auf das Thema Humor im öffentlichen Dienst zurückzukommen…

…es stellt sich heraus, dass jemand bei MITRE in den USA, wo die CVE-Bugnummern koordiniert werden, diesem Problem eine zugewiesen hat offizielle Fehlernummer, wie folgt:

CVE-2022-38392:  Denial of Service (Gerätestörung und Systemabsturz):

Eine bestimmte OEM-Festplatte mit 5400 U/min, wie sie etwa 2005 mit Laptop-PCs ausgeliefert wurde, ermöglicht Angreifern in physischer Nähe, einen Denial-of-Service (Gerätefehlfunktion und Systemabsturz) über einen Resonanzfrequenzangriff mit dem Audiosignal aus dem Musikvideo von Rhythm Nation zu verursachen .

Selbst in einer Welt, in der Solid State Drives (SSDs, oft noch als Festplatten, obwohl sie keine kreisförmigen Teile haben, geschweige denn rotierende) weit verbreitet sind, können Sie immer noch Old-School-Festplatten mit beweglichen Teilen kaufen, die normalerweise mit 5400 U / min, 7200 U / min und sogar 10,000 U / min laufen.

Old-School-Festplatten bieten im Allgemeinen eine viel höhere Kapazität zu einem viel niedrigeren Preis als SSDs, aber sie sind heutzutage selten in Laptops der Business-Klasse zu finden, weil sie langsamer sind, im Allgemeinen mehr Strom benötigen und nicht so stoßfest sind. Beweis wie ihre transistorisierten Cousins.

Was ist zu tun?

Ob SSDs wiederum anfällig für Musik sind, die sich auf andere Frequenzbereiche oder Amplituden konzentriert, können wir nicht sagen.

Während R&B in den frühen 2000er Jahren vielleicht die Achillesferse von Speichergeräten mit rotierenden Medien war, könnte sich vielleicht lautere, aber tiefer gestimmte, matschige „Codierungsmusik“ der alten Schule letztendlich als zu viel für volldigitale Solid-State-Laptop-Speicher erweisen ?

Wir erwarten keine Fans von Bands wie z Melvins, Schlaf, Monolord und dergleichen unnötige experimentelle Risiken mit ihren eigenen Laptops eingehen.

Aber wenn jemand irgendwelche Heavy-Duty-Riffs kennt, die sich in Exploits verwandeln lassen …

---

[Eingebetteten Inhalt]

[Eingebetteten Inhalt]

[Eingebetteten Inhalt]

… sie können für CVE-Nummern in Frage kommen, obwohl wir keine Ahnung haben, wo Schwachstellen dieser Art in die passen würden MITRE ATT & CK Tools, Tipps und Verfahren Rahmen.

Vorschläge bitte in die Kommentare!

---