英特尔：过去5年CPU漏洞全修复 下代产品全免疫

普通电脑芯片的漏洞
源自：科技日报

---

　　美国加州大学河滨分校和宾厄姆顿大学的研究者，发现英特尔Haswell中央处理器（CPU）组件中存在安全漏洞，会引发黑客的恶意攻击。

YnYx-fykpysa2237323.jpg  保存到相册

上传时间: 2017-9-1 22:35

文件大小: 84.13 KB

下载次数: 120

点击文件名下载图片

 

　　该团队研究集中在底层硬件和计算机体系结构上，其研究成果对于引入新的漏洞以及支持更安全的软件方面将发挥重要作用。
　　这一漏洞可以让黑客通过控制CPU分支预测单元，攻入“地址空间配置随机载入”（ASLR）的漏洞，就可以控制个人电脑，以及企业和政府的计算机。
　　研究人员在上发表论文，提供了几种预防黑客利用这一漏洞实施攻击的解决方案。研究团队也确立了一种通过攻击分支预测器硬件来禁用和绕过ASLR的方法来应对攻击。
　　研究人员认为，与过去相比，今天黑客攻击更加高效和直接。根据研究，这种攻击可能对于类似基于虚拟机（KVM）的虚拟化系统也有效。芯片的弱点不仅出现在英特尔处理器的Linux系统中，其它系统像Windows和Android也可能出现同样的漏洞。

源自：澎湃新闻

---

原文标题：权威发布丨上海市网信办就处理器内核高危漏洞发出预警：各关键信息基础设施单位要采取应对措施

　　1月4日，国家信息安全漏洞共享平台（CNVD）收录了CPU处理器内核的Meltdown漏洞（CNVD-2018-00303）和Spectre漏洞（CNVD-2018-00302和CNVD-2018-00304）。利用上述漏洞，攻击者可以绕过内存访问的安全隔离机制，使用恶意程序来获取操作系统和其他程序的被保护数据，造成内存敏感信息泄露。CNVD对该漏洞的综合评级为“高危”。
　　1月5日上午，上海市网信办向本市各关键信息基础设施主管和运营单位发出预警通报，要求各单位启动网络安全应急预案，并采取应对措施。
　　上海市网信办提醒广大互联网用户注意：从目前了解情况来看，1995年以来大部分量产的处理器均有可能受上述漏洞的影响，且涉及大部分通用操作系统。包括以英特尔为主，ARM、AMD等大部分主流处理器芯片；Windows、Linux、macOS、Android等主流操作系统都受上述漏洞的影响，尤其以英特尔的芯片受上述漏洞影响最为严重。相应的，采用这些芯片和操作系统的公有云服务提供商，私有云、电子政务云等基础设施，广大终端用户，都有可能遭遇利用上述漏洞机理发起的组合攻击。特别需要强调的是，上述漏洞对云计算基础设施的影响是尤为严重的。
　　应急处置措施：
　　从市网信办所掌握的情况来，该漏洞几乎覆盖本市全部连接互联网的关键信息基础设施。市网信办接到漏洞通报后立即启动应急预案，已向本市各关键信息基础设施主管和运营单位发出预警通报，要求各单位启动网络安全应急预案，并采取以下应对措施：
　　一是密切跟踪该漏洞的最新情况，及时评估漏洞对本单位系统的影响。
　　二是对芯片厂商、操作系统厂商和安全厂商等发布的补丁及时跟踪测试，在做好全面审慎的评估工作基础上，制定修复工作计划，及时安装。
　　目前，操作系统厂商已经发布补丁更新，如Linux，Apple和Android，微软也已发布补丁更新。CNVD建议用户及时下载补丁进行更新，参考链接：
　　Linux：http://appleinsider.com/articles/18/01/03/apple-has-already-partially-implemented-fix-in-macos-for-kpti-intel-cpu-security-flaw
　　Android：https://source.android.com/security/bulletin/2018-01-01
　　Microsoft：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
　　Amazon：https://aws.amazon.com/de/security/security-bulletins/AWS-2018-013
　　ARM：https://developer.arm.com/support/security-update
　　Google：https://googleprojectzero.blogspot.co.at/2018/01/reading-privileged-memory-with-side.html
　　Intel：https://newsroom.intel.com/news/intel-responds-to-security-research-findings
　　Red Hat：https://access.redhat.com/security/vulnerabilities/speculativeexecution
　　Nvidia：https://forums.geforce.com/default/topic/1033210/nvidias-response-to-speculative-side-channels-cve-2017-5753-cve-2017-5715-and-cve-2017-5754
　　Xen：https://xenbits.xen.org/xsa/advisory-254.html
　　三是进一步加强关键信息基础设施网络安全防护工作，加强网络安全防护和威胁情报收集工作，发生网络安全事件及时向市网信办报告。
　　上海市网信办将持续关注该漏洞的发展情况并酌情采取进一步的应对措施。

源自：“网信上海”微信公号

</p>