|
2018年1月3日，安全专家披露了一个由CPU “预测执行” 导致的严重安全漏洞，熔毁（Meltdown）漏洞和幽灵（Spectre）漏洞。通过对漏洞的分析，亚信安全网络监测实验室发现：攻击者可利用该漏洞访问系统的内存信息，从而获取在系统内存中存储的一些敏感信息，如密码、加密密钥或其他应用程序中的机密信息。目前，微软已发布紧急补丁程序KB4056892，用来解决Windows 10系统中存在的漏洞问题。针对其他系统版本，微软将在1月9日按计划发布补丁程序予以解决。
漏洞名称 熔毁（Meltdown） 该漏洞影响过去十年intel所生产的处理器，可以使攻击者获得应用程序（App）和操作系统（OS）所使用计算机内存的访问特权。 漏洞信息 | 漏洞编号 | CVE-2017-5754 | | 威胁等级 | 高 |
相关链接 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5754 漏洞名称 幽灵（Specter） 该漏洞影响到Intel、Advanced Micro Devices（AMD）和Advanced RISC Machine（ARM）的处理器。攻击者可以利用该漏洞，窃取储存于内存中的内核/缓存文件或数据中的隐私信息，例如凭证（密码、登录密钥等）。 漏洞信息 | 漏洞编号 | CVE-2017-5753 CVE-2017-5715 | | 威胁等级 | 高 |
相关链接 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5753 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5715 关于熔毁、幽灵漏洞你需要知道
处理器中广泛存在着名为“推测性执行”的性能优化方案，CPU通过该方案可以预测将会访问的程序代码和数据，并且通过预先排队这些内容，使处理器可以更快地执行应用程序。但是，这种技术允许访问正常隔离的数据，从而导致允许攻击者触发可以访问隐私数据的漏洞。
自1995年以来构建的英特尔处理器受熔毁（Meltdown）漏洞影响，而幽灵（Spectre）漏洞则影响运行在Intel，AMD和ARM处理器上的设备。熔毁漏洞会导致数据访问特权提升，而幽灵漏洞则会导致越权访问存储在应用程序内存空间中的敏感数据。
更深远的潜在影响：使用存在漏洞的处理器的PC，笔记本电脑和智能手机都可能会使用户身处未经授权的访问和信息窃取的风险中。基于这些处理器的云计算，虚拟环境，多用户服务器（数据中心和企业环境）也将受影响。 亚信安全教你如何修复
针对这两组漏洞，各家芯片厂商，操作系统厂商，浏览器厂商，以及云服务厂商，都积极采取措施，发布安全公告，并及时推出缓解措施和修复补丁。 01 芯片厂商 1.1 Intel Intel已经确认自身CPU中存在相关问题，并正与包括AMD、ARM和多家操作系统厂商在内的许多其他科技公司紧密合作，制定行业范围的方法，以便及时和建设性地解决这些漏洞。另外Intel认为有些媒体里面的报道并不准确，这些问题不仅仅Intel，其他厂商的CPU中也存在相关问题。这些问题的修复对性能的影响和具体的工作场景相关，对一般用户而言，影响并不显著，而且随着时间的推移这些影响都会得到缓解。 Intel已经提供软件和固件更新以解决这些漏洞，预计下周末之前会修复最近5年中90%的CPU。Intel的安全公告如下： https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr https://newsroom.intel.com/news/intel-responds-to-security-research-findings/ https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/ https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html
1.2 ARM ARM确认大部分处理器不受漏洞影响，但给出了一个受影响的处理器列表。ARM认为，利用这些漏洞进行攻击需要在本地运行恶意软件，用户及时更新软件和不点击来历不明的链接会降低攻击风险。针对Linux上的程序，ARM提供了新编译器，可用新编译器重新编译。另外发布了Linux ARM内核补丁，用于修补漏洞，相关页面如下：
1.3 AMD AMD针对每个漏洞做了回复，第一个漏洞由软件、操作系统厂商发布补丁解决，性能影响非常轻微，其他两个漏洞由于AMD CPU特殊的架构，都不受影响。具体如下：
02 操作系统 2.1 Windows 微软已经发布了安全通告，修复了IE、Edge、Windows内核中相关问题，并针对普通用户、服务器用户、云用户各自给出了防护指南。
微软普通用户： https://support.microsoft.com/help/4073119 服务器用户： https://support.microsoft.com/help/4072698 云用户： https://support.microsoft.com/help/4073235 微软安全通告： https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2.2 Linux Linux内核开发者Thomas Gleixner在2017年12月在Linux内核邮件列表中就新的KAISER隔离补丁发布了说明。目前有人怀疑这批补丁可能正是为了解决Linux系统当中的Metldown与Spectre 漏洞。具体如下：
2.3 RedHat 红帽公司已经发布一项建议，其中列出受到影响的产品及其当前状态。建议内容表明：对于正在运行受影响版本产品的红帽客户，强烈建议用户尽快根据指导清单进行更新。所有受影响产品都应安装修复补丁，借以缓解CVE-2017-5753 (变种1)与 CVE-2017-5754 (变种3)漏洞。CVE-2017-5715 (变种2)可通过本地以及虚拟访客边界两种方式被加以利用。具体如下：
2.4 安卓 Android团队于2018年1月更新了安全通告：CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754为已经得到公开披露的一系列与处理器内推测执行相关的漏洞。Android尚未发现任何在基于ARM的Android设备之上重现上述漏洞以进行的未授权信息泄露行为。为了提供额外的保护措施，本公告当中包含的CVE-2017-13218更新减少了对高精度定时器的访问，旨在限制旁路攻击（例如CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754）所有已知变种对ARM处理器的影响。具体如下： 03 浏览器
利用漏洞在浏览器中进行攻击依赖于新特性SharedArrayBuffer和用于高精度时间计算的函数performance.now。各个浏览器表示都采取了以下两个缓解措施：
加上这两个缓解措施后，JS版本的漏洞PoC代码将无法触发。 3.1 MicrosoftEdge 微软已经发布了浏览器补丁：
3.2 FireFox Mozilla从FireFox 57版本开始采取了这两个缓解措施：
3.3 Chrome 谷歌从Chrome 64版本开始采取了这两个缓解措施：
04 云服务厂商 4.1 Amazon Amazon方面已经发布一项安全公告，指出：此项安全漏洞广泛存在于过去20年推出的英特尔、AMD以及ARM等各类现代处理器架构当中，影响范围涵盖服务器、台式机以及移动设备。Amazon EC2体系中除极少数实例外，其余皆受到严格保护。剩余部分的修复工作将在接下来数小时内完成，并附有相关实例维护通知。虽然AWS所执行的更新能够切实保护底层基础设施，但为了充分解决此次问题，客户还应对实例中的操作系统进行修复。目前Amazon Linux更新已经开始发布，具体如下：
4.2 阿里云 为解决处理器芯片的安全问题，阿里云将在北京时间2018年1月12日凌晨1点进行虚拟化底层的升级更新。届时，阿里云将采用热升级的方式，绝大多数客户不会受到影响。但个别客户可能需要手动重启，阿里云建议客户提前准备运营预案及数据备份。
4.3 腾讯云 腾讯云将于北京时间2018年1月10日凌晨01:00-05:00通过热升级技术对硬件平台和虚拟化平台进行后端修复，期间客户业务不会受到影响。对于极少量不支持热升级方式的，腾讯云另行安排时间手动重启修复，这部分服务器腾讯云安全团队将会另行进行通知，协商升级时间。
注意：由于漏洞是芯片底层设计上的缺陷导致的，修复起来会非常复杂，同时难以完美修复。从目前的情况来看，漏洞很难通过CPU微码修复，更多是依赖于OS级的修复程序。
修复程序本身也存在诸多问题。以Windows10为例，微软于北京时间1月4号凌晨紧急发布了1月份系统安全更新，但补丁存在明显的性能和兼容性的问题： 出于兼容性考虑，WindowsUpdate并不会在所有的电脑环境中进行自动更新，而是在其认为软件比较兼容的情况下才会进行自动更新。另外，对于有需要更新的用户，可以通过下载微软相关补丁包，进行手动运行修复安全威胁。对于需要自动更新的用户，只有设置了注册表键值（ALLOW REGKEY）才可以自动更新微软发布的补丁程序。
手动部署和创建ALLOWREGKEY，内容如下： RegKey="HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" ValueName ="cadca5fe-87d3-4b96-b7fb-a231484277cc" Type="REG_DWORD" Data="0x00000000"
建议用户在自己的环境小范围测试更新，确认没有问题再批量更新。
| 
发表于 2018-1-16 12:04:28
收藏
|