CPU漏洞引爆全球危机,北京元鼎持续为您提供解决方案

日期:2018-01-09      来源:otpub.com      作者:王国彬      编辑:otpub      点击:493次

近日国家信息安全漏洞共享平台(CNVD)收录了CPU处理器内核的Meltdown漏洞(CNVD-2018-00303,对应CVE-2017-5754)和Spectre漏洞(CNVD-2018-00302和CNVD-2018-00304,对应CVE-2017-5715和CVE-2017-5753)。利用上述漏洞,攻击者可以绕过内存访问的安全隔离机制,使用恶意程序来获取操作系统和其他程序的被保护数据,造成内存敏感信息泄露。


一、漏洞情况分析


现代的计算机处理器芯片通常使用“预测执行”(Speculative Execution)和“分支预测”(Indirect Branch Prediction)技术实现对处理器计算资源的最大化利用。但由于这两种技术在实现上存在安全缺陷,无法通过正确判断将低权限的应用程序访存与内核高权限的访问分开,使得攻击者可以绕过内存访问的安全隔离边界,在内核中读取操作系统和其他程序的内存数据,造成敏感信息泄露,根据获取到的数据,可能会导致用户的数据隐私泄露、登陆凭证被攻击者窃取。


具体的漏洞攻击场景如下:


1)单台物理主机:低权限的攻击者利用漏洞,可访问本地操作系统的内核空间,进一步实现提权或命令执行等操作。

2)云服务虚拟机:攻击者利用漏洞可以绕过虚拟机的隔离防护机制,访问其他租户的内存数据,导致其他云租户的敏感信息泄漏。

3)网页浏览器:利用浏览器的即时编译器(Just-In-Time Compiler)特性,执行恶意代码,读取浏览器内存数据,导致用户账号、密码、邮箱、cookie等信息泄漏。

CPU漏洞

二、漏洞危害


本次披露的漏洞影响Intel自1995年之后生产的所有CPU,同时受影响的还有AMD、ARM等存在“预测执行”等能力的CPU,在这些CPU架构之上的Android、iOS、Linux及Windows等主流操作系统均受影响。

CPU漏洞

两种类型的攻击均可能导致攻击者获取敏感信息,也可以导致ASLR等漏洞缓解机制的失效,辅助进行其他远程代码执行漏洞的利用。但如果攻击者想要利用这些漏洞,需要在被攻击主机上执行相关CPU指令,如诱使浏览器打开恶意网页通过JavaScript远程执行,或者直接通过低权限在操作系统上执行代码。


三、漏洞检测


inter 检测工具:

https://downloadcenter.intel.com/zh-cn/download/27150?v=t&_ga=2.179118050.711716512.1515486374-847634720.1515486374


windows检测方法:

https://support.microsoft.com/en-us/help/4073119/protect-against-speculative-execution-side-channel-vulnerabilities-in


深信服检测工具:

windows:http://sec.sangfor.com.cn/download?file=spectreattack.exe

linux:http://sec.sangfor.com.cn/download?file=spectreattack


360检测工具:http://down.360safe.com/cpuleak_scan.exe


四、解决方案


CPU、操作系统、浏览器厂商解决方案

此次CPU漏洞事件修复难度较高,需要CPU厂商、操作系统厂商等共同协作进行修复,目前部分CPU厂商、操作系统厂商、浏览器厂商采取了措施来解决该问题。

目前,操作系统厂商通过在其产品内核引入内核页面隔离(KPTI)技术来修复Meltdown和Spectre漏洞。CNVD建议用户密切关注操作系统、虚拟机、浏览器等产品官方网站发布的安全公告,并及时下载补丁进行更新。


各厂商的修复情况和参考链接如下:


微软:已为windows 10已供修复包,并对windows 7和windows 8进行在线更新(https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities)。浏览器安全补丁已发布(https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002);


苹果:IOS 11.2和macOS10.13.2及tvOS 11.2中加入了保护措施;


谷歌:已于2017年12月向各手机厂商发布了安全补丁包,并发布安全公告(https://source.android.com/security/bulletin/2018-01-01)。1月23日发布的Chrome64浏览器将包含相应的保护机制(https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html);


RedHat:已发布补丁(https://access.redhat.com/security/vulnerabilities/speculativeexecution?sc_cid=701f2000000tsLNAAY);


Ubuntu:已提供修复补丁(https://insights.ubuntu.com/2018/01/04/ubuntu-updates-for-the-meltdown-spectre-vulnerabilities/);


SUSE:已陆续发布补丁(https://www.suse.com/support/kb/doc/?id=7022512);


Mozilla Firefox:官方新版本已更新(https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/);


XEN:已发布安全公告(https://xenbits.xen.org/xsa/advisory-254.html);


QEMU:已发布安全公告(https://www.qemu.org/2018/01/04/spectre/),非官方安全补丁(https://lists.nongnu.org/archive/html/qemu-devel/2018-01/msg00811.html);


Vmware:发布安全公告及补丁(https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html);


Citrix XenServer:发布安全补丁(https://support.citrix.com/article/CTX231390);


亚马逊:已提供修复补丁(https://amazonaws-china.com/cn/security/security-bulletins/AWS-2018-013/);


阿里云:将于2018年1月12日凌晨进行热升级,个别用户可能需要手动重启;


腾讯云:将于2018年1月10日凌晨进行热升级,个别用户可能需要手动重启。

关键字:CPU漏洞网络安全

本站所载作品版权归作者及原出处共同所有。凡本网注明“来源:OTPUB”的所有作品、文章,版权均属于本站,转载、摘编或利用其它方式使用上述作品,应注明“来源:OTPUB” 或 “摘自:OTPUB”。

上一篇: 网络安全漏洞发展的最新趋势 下一篇: 【直播预告】Splunk Meetup火热...