资讯
英特尔等CPU处理器发现高危漏洞
近日，有媒体报道英特尔的部分处理器存在“根本性的设计缺陷”，如果被攻击，可能会导致密码等敏感信息泄露。据介绍，利用这个缺陷，黑客可能通过“崩溃（Meltdown）”和“幽灵（Spectre）”两种方式攻击你的电脑。
根据目前公开的信息对此次漏洞进行了一定的分析，并出具了以下分析报告。
一、背景信息
CPU处理器内核的Meltdown漏洞（CNVD-2018-00303，对应CVE-2017-5754）和Spectre漏洞（CNVD-2018-00302和CNVD-2018-00304，对应CVE-2017-5715和CVE-2017-5753）。Meltdown和Spectre利用现代处理器中的关键漏洞。这些硬件错误允许程序窃取当前在计算机上处理的数据。虽然程序通常不允许从其他程序读取数据，但恶意程序可以利用“Meltdown”和“Spectre”来获取存储在其他正在运行的程序的内存中的秘密。这可能包括存储在密码管理器或浏览器中的密码，个人照片，电子邮件，即时消息甚至关键业务文档。
Meltdown和Spectre在个人电脑，移动设备和云中工作。根据云提供商的基础设施，可能会从其他客户那里窃取数据。
1、Meltdown
Meltdown打破了用户应用程序和操作系统之间最基本的隔离。这种攻击允许程序访问其他程序和操作系统的内存，也就是秘密。
如果您的计算机的处理器具有漏洞，并且运行着未打补丁的操作系统，则敏感信息将面临着泄露的风险。这种情况普遍适用于个人电脑以及云基础设施。幸运的是，有针对Meltdown的软件补丁。
2、Spectre
Spectre打破了不同应用程序之间的隔离。它允许攻击者欺骗遵循最佳实践(best practices)的无错程序(error-free programs)泄露其秘密。事实上，所述最佳实践的安全检查实际上会增加攻击面，并可能使应用程序更容易受到Spectre的影响
Spectre比Meltdown更难被利用，但是它也难以缓解。但是，可以通过软件补丁防止基于Specter的特定已知漏洞。
二、漏洞分析
1、关于这两个漏洞一些特点
·传统日志文件中不会留下任何痕迹；
·防病毒软件检测和阻止这种攻击，虽然理论上可行，但在实践中这是不太可能的。与通常的恶意软件不同，利用Meltdown和Spectre漏洞的程序很难与常规应用程序区分开来。但是，防病毒软件可以在发现恶意软件二进制文件后，通过比较二进制文件来检测使用该攻击的恶意软件；
·台式计算机，笔记本电脑和云计算机可能会受到Meltdown的影响。从技术上讲，每个执行无序执行的英特尔处理器都可能受到影响，自1995年以来，每个处理器都是有效的（2013年之前除英特尔安腾和英特尔凌动外）。对2011年发布的英特尔处理器型号测试成功的触发了Meltdown。目前，只验证英特尔处理器上的Meltdown。目前还不清楚ARM和AMD处理器是否也受到Meltdown的影响；
·两种攻击都使用边信道从访问的内存位置获取信息；
2、影响范围
几乎每个系统都受到Spectre的影响：台式机，笔记本电脑，云服务器以及智能手机。更具体地说，能够保持许多指令在缓存器中的所有现代处理器都可能是脆弱的。特别是，在Intel，AMD和ARM处理器上已经验证了存在Spectre。
Meltdown所影响的云提供商： 目前使用Intel CPU和Xen PV作为虚拟化的云提供商没有补丁。此外，没有真正硬件虚拟化，依赖于共享一个内核的容器的云提供商，例如Docker，LXC或OpenVZ也将被影响。
其实对个人用户、一般服务器用户目前不存在太多的实质影响。毕竟漏洞利用难度大，回报率不高；但对公有云等价值高的云设施威胁比较大。云服务提供商微软云、亚马逊、阿里云等都计划进行重启修复或者应用热补丁。
3、区别
Meltdown破坏了应用程序无法访问任意系统内存的机制。因此，应用程序可以访问系统内存。Spectre会欺骗其他应用程序访问其内存中的任意位置。
三、应急措施
关于补丁情况，1月3日部分Windows用户已经推送了补丁，但仍有大部分用户并未收到推送补丁，微软为了避免对客户设备产生负面影响，仅在2018年1月9日发布的Windows安全更新才提供给运行兼容防病毒软件的设备。
没有推送补丁的用户，可在官网受影响的机器更新对应操作系统的补丁即可。如无您的系统版本，可以通过更新对应影响软件的方式进行缓解，通过软件补丁防止基于Specter和meltdown的特定已知漏洞，除此之外暂时也无任何缓解措施。
Windows补丁及旗下产品软件补丁缓解措施：https://port
Linux补丁：https://git.
除此之外还有其他对应厂商安全建议及公告：
本文由 podipod软库网 作者：DevOps 发表，转载请注明来源！
DevOps
文章：676 画廊：4 视频：10 商品：19 积分：3577•人心所向乃天命所归•
相关文章
