關于(At)Intel CPU處理器内核存在(exist)Meltdown和(and)Spectre漏洞處理意見-上(superior)海群蟻信息科技有限公司

關于(At)Intel CPU處理器内核存在(exist)Meltdown和(and)Spectre漏洞處理意見

changingit 2020-06-12 次

近日，安全研究人(people)員報告了(Got it)Meltdown和(and)Spectre兩個(indivual)漏洞，Intel、ARM、AMD等CPU産品紛紛遭受影響，一(one)旦BUG被理用(use)，将造成用(use)戶敏感資料的(of)洩露，帶來(Come)嚴重後果。

安全公告編号：CNTA-2018-0001

1⽉4⽇，國(country)家信息安全漏洞共享平台（CNVD）收錄了(Got it)CPU處理器内核的(of)Meltdown 漏洞（CNVD-2018-00303，對應CVE-2017-5754）和(and)Spectre 漏洞（CNVD-2018-00302和(and)CNVD-2018-00304，對應CVE-2017-5715和(and)CVE-2017-5753）。利⽤上(superior)述漏洞，攻擊者可以(by)繞過内存訪問的(of)安全隔離機制，使⽤惡意程序來(Come)獲取操作(do)系統和(and)其他(he)程序的(of)被保護數據，造成内存敏感信息洩露。⽬前漏洞的(of)利⽤細節尚未公布。

⼀、漏洞情況分析

現代的(of)計算機處理器芯⽚通常使⽤“推測執⾏”（speculative execution）和(and)“分⽀預測”（Indirect Branch Prediction）技術實現對處理器計算資源的(of)最⼤化利⽤。但由于(At)這(this)兩種技術在(exist)實現上(superior)存在(exist)安全缺陷，⽆法通過正确判斷将低權限的(of)應⽤程序訪存與内核⾼權限的(of)訪問分開，使得攻擊者可以(by)繞過内存訪問的(of)安全隔離邊界，在(exist)内核中讀取操作(do)系統和(and)其他(he)程序的(of)内存數據，造成敏感信息洩露。具體如下：

1）Meltdown漏洞的(of)利⽤破壞了(Got it)⽤⼾程序和(and)操作(do)系統之間的(of)基本隔離，允許攻擊者未授權訪問其他(he)程序和(and)操作(do)系統的(of)内存，獲取其他(he)程序和(and)操作(do)系統的(of)敏感信息。

2）Spectre漏洞的(of)利⽤破壞了(Got it)不(No)同應⽤程序之間的(of)安全隔離，允許攻擊者借助于(At)⽆錯程序（error-free）來(Come)獲取敏感信息。CNVD對該漏洞的(of)綜合評級爲(for)“⾼危”。

⼆、漏洞影響範圍

該漏洞存在(exist)于(At)英特爾（Intel）x86-64的(of)硬件中，在(exist)1995年以(by)後⽣産的(of)Intel處理器芯⽚都可能受到(arrive)影響。同時(hour)AMD、Qualcomm、ARM處理器也受到(arrive)影響。同時(hour)使⽤上(superior)述處理器芯⽚的(of)操作(do)系統（Windows、Linux、Mac OS、Android）和(and)雲計算平台也受此漏洞影響。

涉及到(arrive)的(of)服務器爲(for)主的(of)CPU爲(for)：

這(this)些CPU的(of)配置在(exist)虛拟化平台、服務器數據中心平台的(of)使用(use)率非常高，集中在(exist)E5、E7的(of)主流配置都波及。

其中，最早可以(by)追溯到(arrive)2009年的(of)45nm老酷睿i7，看來(Come)所謂的(of)1995年之後所有處理器都被波及，是(yes)誇張了(Got it)。

按照Intel的(of)官方承諾，近期Intel發布的(of)更新預計将覆蓋過去5年内推出(out)的(of)90%以(by)上(superior)的(of)處理器産品，至于(At)更早的(of)，則還需要(want)幾周的(of)時(hour)間才能完全惠及到(arrive)。

按照國(country)内某知名殺軟的(of)研究結論，攻擊者可以(by)通過CPU數據緩存側信道攻擊的(of)方式進行利用(use)，實現越權讀取高權限保護的(of)内存信息(例如内核布局信息洩漏、雲服務器隔離保護繞過、浏覽器密碼信息洩露等)。

漏洞影響嚴重且非常廣泛，同時(hour)考慮到(arrive)該類型漏洞屬于(At)CPU設計邏輯缺陷，很難進行修複，目前各大(big)系統廠商在(exist)通過升級補丁形式進行修複，主要(want)方法是(yes)KPTI("内核頁表隔離")分離用(use)戶空間和(and)内核空間的(of)頁表，但是(yes)可能會造成系統性能的(of)損耗，目前的(of)對比測試性能降低最少5%。

結合上(superior)述公告信息及各官方的(of)公告情況：

VMware的(of)公告：

https://www.vmware.com/security/advisories/VMSA-2018-0002.html

可以(by)濫用(use)CPU數據高速緩存時(hour)序來(Come)有效地(land)洩漏錯誤推測的(of)CPU執行的(of)信息，從而導緻（最壞的(of)情況下）在(exist)各種情況下跨越本地(land)安全邊界的(of)任意虛拟存儲器讀取漏洞。（推測性執行是(yes)所有現代處理器中使用(use)的(of)自動和(and)固有CPU性能優化。）ESXi，Workstation和(and)Fusion容易受到(arrive)此漏洞導緻的(of)邊界檢查旁路和(and)分支目标注入問題的(of)影響。

利用(use)結果可能允許從一(one)台虛拟機向運行在(exist)同一(one)台主機上(superior)的(of)另一(one)台虛拟機進行信息洩露。下表列出(out)的(of)補救措施适用(use)于(At)邊界檢查旁路和(and)分支目标注射問題的(of)已知變體。

相關的(of)ESXi的(of)補丁：

相關的(of)參考KB：

VMware ESXi 6.5： http://kb.vmware.com/kb/2151099

VMware ESXi 6.0：http://kb.vmware.com/kb/2151132

VMware ESXi 5.5： http://kb.vmware.com/kb/2150876

VMware vSphere 5.5 6.0 6.5 的(of)補丁下載地(land)址：https://pan.baidu.com/s/1dFbatzF 密碼: 9uxq

另外，其他(he)系統的(of)安全解決方案如下：

Redhat：https://access.redhat.com/security/vulnerabilities/speculativeexecution

Suse： https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities/

Microsoft：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

Linux：http://appleinsider.com/articles/18/01/03/apple-has-alreadypartially-implemented-fix-in-macos-for-kpti-intel-cpu-security-flaw