深度解讀：什么是CPU漏洞呢？該怎么防護呢？

      近日，谷歌Project Zero安全團隊公布了兩組CPU特性漏洞，分別命名為Meltdown和Spectre，網(wǎng)絡安全防護中心于日前已關(guān)注此漏洞并發(fā)布漏洞預警?，F(xiàn)為大家深度解讀“影響全球的CPU漏洞”。

什么是Meltdown和Spectre？

Meltdown（熔斷）和Spectre（幽靈）是漏洞發(fā)現(xiàn)者對本次漏洞的兩種攻擊形式的命名，Meltdown包含一種攻擊變體，Spectre包含2種攻擊變體，分別為：

Meltdown：越權(quán)惡意數(shù)據(jù)緩存加載（CVE-2017-5754）

Spectre：繞過邊界檢查（CVE-2017-5753）和分支目標注入（CVE-2017-5715）

為了提高CPU處理性能，CPU引入亂序執(zhí)行(Out-of-Order Execution)和預測執(zhí)行(SpeculativePrediction)的特性，本次漏洞正是由于預測執(zhí)行特性的設計缺陷引發(fā)的芯片級漏洞，攻擊者可實現(xiàn)側(cè)信道（Side Channel）攻擊。

此次漏洞的危害是什么？

本次漏洞影響范圍非常廣泛，幾乎所有的個人電腦、獨立式服務器、云計算務器、各類智能手機、IoT設備、其他智能終端設備等都受到影響。漏洞是對內(nèi)存隔離機制的突破，可導致跨權(quán)限信息泄漏?？赡苡幸韵聨讉€攻擊場景及危害：

1、獨立式服務器：進程可能訪問到其他進程的內(nèi)存空間，低權(quán)限用戶可能訪問到本地操作系統(tǒng)底層的信息，內(nèi)核空間。

2、云計算服務器：通過漏洞訪問其他租戶的內(nèi)存數(shù)據(jù)，導致其他云租戶的敏感信息泄漏。

3、個人電腦/智能手機／智能終端設備：通過瀏覽器訪問惡意網(wǎng)站，導致受害者的賬號、密碼、郵箱、cookie等信息泄漏。

結(jié)合以上場景，此次漏洞受影響最大的是云計算服務提供商，對于獨立式服務器的利用需要有低權(quán)限用戶在服務器上執(zhí)行惡意代碼，對于普通用戶，則需要用戶在個人電腦、各類智能終端通過瀏覽器訪問惡意網(wǎng)頁。

這次漏洞的CPU廠商影響范圍有哪些？

Meldown漏洞影響幾乎所有的Intel CPU和部分的ARM CPU，而Spectre漏洞則影響所有的Intel CPU和AMD CPU及部分主流的ARM CPU。各大CPU廠商及US-CERT分別公布了受影響的：

Intel：公布了受影響的44個型號列表

https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

ARM：公布了受影響的10個型號列表

https://developer.arm.com/support/security-update

AMD：在安全通告中表示，繞過邊界檢查漏洞（CVE-2017-5753）風險低，可由軟件、操作系統(tǒng)廠商發(fā)布補丁解決，其余兩個漏洞由于AMD CPU的特殊架構(gòu)故并不受影響。

https://www.amd.com/en/corporate/speculative-execution

US-CERT：

https://www.us-cert.gov/ncas/alerts/TA18-004A

目前各廠家對該漏洞防護進展情況如何？

此次漏洞雖然屬于硬件層面漏洞，但是僅通過CPU廠商進行修復無法完全解決，需要各操作系統(tǒng)廠商、虛擬化廠商、軟硬件分銷商、瀏覽器廠商協(xié)作才能徹底修復漏洞。目前各大廠家正積極應對，部分廠家已經(jīng)提供了緩解措施及修復補丁：

1、芯片廠家：

Intel:已經(jīng)為絕大多數(shù)的處理器產(chǎn)品發(fā)布更新，并預計下周末可推出超過90%處理器產(chǎn)品的更新。https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/

ARM提供了新的編譯器供Linux上的程序重新編譯，并發(fā)布了Linux ARM內(nèi)核補丁用于修補漏洞。https://developer.arm.com/support/security-update

2、操作系統(tǒng)廠家：

微軟:微軟針對win10已經(jīng)提供修復包，并對win7、win8在線更新;https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities

蘋果：IOS 11.2和macOS 10.13.2及tvOS 11.2中加入了保護措施。

谷歌：Android團隊已于2017年12月向各手機廠商發(fā)布了安全補丁包，并在2018年1月更新了安全公告；https://source.android.com/security/bulletin/2018-01-01

RedHat：強烈建議用戶根據(jù)指導清單安裝對應修復補丁；https://access.redhat.com/security/vulnerabilities/speculativeexecution?sc_cid=701f2000000tsLNAAY

Ubuntu:已經(jīng)提供對應的修復補??；https://insights.ubuntu.com/2018/01/04/ubuntu-updates-for-the-meltdown-spectre-vulnerabilities/

SUSE：已陸續(xù)發(fā)布補?。篽ttps://www.suse.com/support/kb/doc/?id=7022512

3、虛擬化廠商

XEN：發(fā)布了安全公告，暫未出更新補??；https://xenbits.xen.org/xsa/advisory-254.html

QEMU：官方發(fā)布公告，非官方已發(fā)布安全補??；官方公告：https://www.qemu.org/2018/01/04/spectre/ 非官方安全補?。篽ttps://lists.nongnu.org/archive/html/qemu-devel/2018-01/msg00811.html

Vmware：發(fā)布安全公告及補?。籬ttps://www.vmware.com/us/security/advisories/VMSA-2018-0002.html

Citrix XenServer：發(fā)布安全補??；https://support.citrix.com/article/CTX231390

4、瀏覽器廠商：

微軟：已經(jīng)發(fā)布對應瀏覽器的安全補??；https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

Mozilla：firefox 57版本開始采取緩解措施；https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/

谷歌：在1月23日發(fā)布Chrome64將包含相應的保護機制；https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html

5、云計算服務廠商

亞馬遜：表示除極少數(shù)實例外，均已受到嚴格的保護，當仍建議用戶為對應的操作系統(tǒng)、軟件等安裝安全補丁；https://amazonaws-china.com/cn/security/security-bulletins/AWS-2018-013/

阿里云：將于2018年1月12日凌晨進行熱升級，個別用戶可能需要手動重啟；

騰訊云：將于2018年1月10日凌晨進行熱升級，個別用戶可能需要手動重啟；

備注：以上僅羅列部分廠家對此漏洞的跟進情況，同時可關(guān)注其他操作系統(tǒng)、瀏覽器等廠家的安全公告及安全補丁。

如何檢查是否受本次漏洞的影響？

目前安全研究人員已經(jīng)在GitHub社區(qū)中提供了漏洞驗證程序，可分別在Windows、Linux、Mac OS等操作系統(tǒng)環(huán)境下進行驗證。

檢測工具

Windows

https://github.com/ionescu007/SpecuCheck

Linux

https://github.com/raphaelsc/Am-I-affected-by-Meltdown

其他公開的檢測工具和POC代碼特征

https://github.com/Viralmaniar/In-Spectre-Meltdown

https://github.com/RealJTG/Meltdown

https://github.com/Eugnis/spectre-attack

https://github.com/feruxmax/meltdown

https://github.com/gkaindl/meltdown-poc

https://github.com/turbo/KPTI-PoC-Collection

https://github.com/dendisuhubdy/meltdown

https://github.com/HarsaroopDhillon/Meltdown

https://github.com/paboldin/meltdown-exploit

https://github.com/feruxmax/meltdown

https://github.com/corsix/meltdown-poc

https://github.com/ssstonebraker/meltdown_specre

https://github.com/cloudsriseup/Meltdown-Proof-of-Concept

https://github.com/sampuka/meltdown

https://github.com/douyamv/MeltdownTool

https://github.com/gentilkiwi/spectre_meltdown

https://github.com/willyb321/meltdown-spectre-poc-grabber

https://github.com/mniip/spectre-meltdown-poc

https://github.com/1nF0rmed/meltdownExploit

對于普通網(wǎng)民應該如何防范？

雖然漏洞影響極為廣泛，但對于普通網(wǎng)民不必過于恐慌。對于普通網(wǎng)民來說，需要用存在漏洞的瀏覽器帶有漏洞利用代碼的惡意網(wǎng)站才可導致用戶的個人隱私的泄漏。在此安全專家建議，普通網(wǎng)民養(yǎng)成良好的上網(wǎng)習慣，不要輕易瀏覽不信任的網(wǎng)站，不要輕易點擊陌生人發(fā)來的網(wǎng)頁鏈接，同時及時關(guān)注各操作系統(tǒng)廠家、瀏覽器廠商等的安全補丁，并及時升級，從而避免漏洞的影響。

 宇眾網(wǎng)絡，專業(yè)服務器商，yelaoxs.com