英特尔处理器再曝三个漏洞,凶险过Spectre
分类:科技云 热度:

商圣科技08月17日消息:

据路透社报道,芯片制造商英特尔(Intel)于8月14日披露其部分微处理器存在3个新漏洞,黑客可能可因而取得计算机内存数据。英特尔表示,这次的漏洞属于“L1终端故障” (L1 Terminal Fault,L1TF),发现它的研究人员则称之为“Foreshadow”。

受到影响的产品包括2015年以来发布的酷睿(Core)以及至强(Xeon)处理器,以下为英特尔官网公布的受影响处理器清单:

 

 

英特尔已与合作伙伴通气,AMD表示我没事

英特尔公司在博文中表示:“我们尚未获悉这些方法是否被利用,不过这也进一步强调了所有人都需要遵守安全准则。”

主要云服务供应商都已发表安全公告(AWS,Google Cloud,Azure 等)。

AMD,像往常一样自信,直接表示他们的处理器不受L1TF攻击方式的影响:

“与上次(Meltdown)的情况一样,我们认为由于AMD的硬件分页架构保护,我们的处理器不容易受到名为Foreshadow或Foreshadow-NG的新型执行攻击变体影响。我们建议客户在其采用运行AMD EPYC处理器的数据中心(包括虚拟化环境)中,不要在相关平台中解压或运行与Foreshadow相关的软件。”

值得注意的是,最新的漏洞L1TF 或 Foreshadow 是一种预测执行攻击,类似今年一月披露的 Meltdown 漏洞,允许攻击者从 PC 或第三方云窃取敏感信息。Foreshadow 有两个版本,第一种设计提取英特尔的软件保护扩展(Software Guard Extensions, SGX) 安全区保护的数据,第二种 Next Generation (NG)影响虚拟机(VM),虚拟机管理器程序,操作系统内核内存,系统管理模式内存,Foreshadow-NG 潜在可被用于读取 L1 缓存中的任何信息,读取运行在同一处理器其它线程上的虚拟机中储存的信息(因为超线程共享 L1 缓存),包括密码及密钥,将可能会影响许多企业用户。

最简单的解决方法显然是关闭超线程,但这无疑会带来巨大的性能开销。

英特尔表示,已与各个行业合作伙伴分享 L1 终端故障的侧通道攻击途径,官网也放出了漏洞修复指南:CVE-2018-3615、CVE-2018-3620、CVE-2018-3646 

今年补丁满天飞

在今年初,有安全研究人员披露了英特尔及 AMD 计算芯片存在可能被窃取数据的漏洞Spectre(幽灵)和Meltdown(熔毁),而目前被发现与 Spectre类似漏洞已多达 8 个。英特尔表示,虽然还没有发现这些漏洞被实际应用的案例,但公司已着手发布安全性更新。

当时的英特尔CEO科再奇还表态,将从芯片层面增强安全,同时将在硬件层面防御这些漏洞。

因为这是与此前 Spectre 漏洞相似的问题,估计同样会影响 Core 及 Xeon 系列等泛用的处理器。不过英特尔也强调,在今年初发布的微代码更新(MCU)也同样可以作为解决方案的基础。且就如同 3 月时所宣布,这些问题在下一代的处理器上已不会发生,只要进行安全更新,将能大幅降低消费者和企业用户的风险,且对处理器的性能影响不大。

英特尔承认,的确在某些特定状况下,安全更新会对特定工作负载的性能或资源利用率造成影响,但公司也将会针对不同客户的需求来推出多种解决方案,让客户自行做选择。英特尔会持续致力于对产品的安全保障,并继续维护更新。不过此前才刚有消息指出,英特尔将停止旧款产品的Spectre 漏洞支持。

目前有消息指出,微软与 Linux 都将开发自己的补丁,Mac 及 iOS 预计也会陆续推出更新。

英特尔芯片一直无法攻克在10纳米工艺技术上的硬性问题,并导致下一代芯片加工工艺出现多次延迟,鉴于此,高盛已将英特尔的股票评级直接从中性降为卖出。在新漏洞消息公布后,高盛又对英特尔下调评级,令其股价又再度下跌 1%。目前英特尔已用高危等级来处理新发现的漏洞。

另研究人员亦在早前发现,三星电子Galaxy S7受Meltdown影响,恐被黑客攻击。



转载请注明: http://www.ygpy.net/kjy/2018/0816/1750.html
上一篇:Adobe修复了最新补丁更新中的关键代码执行缺陷 下一篇:最新WordPress高危漏洞 可能会使无数的WordPress被攻击
猜你喜欢
各种观点
热门排行
精彩图文