关于Intel CPU处理器内核存在Meltdown和Spectre漏洞处理意见-上海群蚁信息科技有限公司

关于Intel CPU处理器内核存在Meltdown和Spectre漏洞处理意见

changingit 2020-06-12 次

近日，安全研究人员报告了Meltdown和Spectre两个漏洞，Intel、ARM、AMD等CPU产品纷纷遭受影响，一旦BUG被理用，将造成用户敏感资料的泄露，带来严重后果。

安全公告编号：CNTA-2018-0001

1⽉4⽇，国家信息安全漏洞共享平台（CNVD）收录了CPU处理器内核的Meltdown 漏洞（CNVD-2018-00303，对应CVE-2017-5754）和Spectre 漏洞（CNVD-2018-00302和CNVD-2018-00304，对应CVE-2017-5715和CVE-2017-5753）。利⽤上述漏洞，攻击者可以绕过内存访问的安全隔离机制，使⽤恶意程序来获取操作系统和其他程序的被保护数据，造成内存敏感信息泄露。⽬前漏洞的利⽤细节尚未公布。

⼀、漏洞情况分析

现代的计算机处理器芯⽚通常使⽤“推测执⾏”（speculative execution）和“分⽀预测”（Indirect Branch Prediction）技术实现对处理器计算资源的最⼤化利⽤。但由于这两种技术在实现上存在安全缺陷，⽆法通过正确判断将低权限的应⽤程序访存与内核⾼权限的访问分开，使得攻击者可以绕过内存访问的安全隔离边界，在内核中读取操作系统和其他程序的内存数据，造成敏感信息泄露。具体如下：

1）Meltdown漏洞的利⽤破坏了⽤⼾程序和操作系统之间的基本隔离，允许攻击者未授权访问其他程序和操作系统的内存，获取其他程序和操作系统的敏感信息。

2）Spectre漏洞的利⽤破坏了不同应⽤程序之间的安全隔离，允许攻击者借助于⽆错程序（error-free）来获取敏感信息。CNVD对该漏洞的综合评级为“⾼危”。

⼆、漏洞影响范围

该漏洞存在于英特尔（Intel）x86-64的硬件中，在1995年以后⽣产的Intel处理器芯⽚都可能受到影响。同时AMD、Qualcomm、ARM处理器也受到影响。同时使⽤上述处理器芯⽚的操作系统（Windows、Linux、Mac OS、Android）和云计算平台也受此漏洞影响。

涉及到的服务器为主的CPU为：

这些CPU的配置在虚拟化平台、服务器数据中心平台的使用率非常高，集中在E5、E7的主流配置都波及。

其中，最早可以追溯到2009年的45nm老酷睿i7，看来所谓的1995年之后所有处理器都被波及，是夸张了。

按照Intel的官方承诺，近期Intel发布的更新预计将覆盖过去5年内推出的90%以上的处理器产品，至于更早的，则还需要几周的时间才能完全惠及到。

按照国内某知名杀软的研究结论，攻击者可以通过CPU数据缓存侧信道攻击的方式进行利用，实现越权读取高权限保护的内存信息(例如内核布局信息泄漏、云服务器隔离保护绕过、浏览器密码信息泄露等)。

漏洞影响严重且非常广泛，同时考虑到该类型漏洞属于CPU设计逻辑缺陷，很难进行修复，目前各大系统厂商在通过升级补丁形式进行修复，主要方法是KPTI("内核页表隔离")分离用户空间和内核空间的页表，但是可能会造成系统性能的损耗，目前的对比测试性能降低最少5%。

结合上述公告信息及各官方的公告情况：

VMware的公告：

https://www.vmware.com/security/advisories/VMSA-2018-0002.html

可以滥用CPU数据高速缓存时序来有效地泄漏错误推测的CPU执行的信息，从而导致（最坏的情况下）在各种情况下跨越本地安全边界的任意虚拟存储器读取漏洞。（推测性执行是所有现代处理器中使用的自动和固有CPU性能优化。）ESXi，Workstation和Fusion容易受到此漏洞导致的边界检查旁路和分支目标注入问题的影响。

利用结果可能允许从一台虚拟机向运行在同一台主机上的另一台虚拟机进行信息泄露。下表列出的补救措施适用于边界检查旁路和分支目标注射问题的已知变体。