|
|
51CTO旗下网站
|
|
移动端

英特尔再曝漏洞,影响2011年以来几乎所有的产品

据外媒报道,英特尔处理器再现严重漏洞,影响数百万台运行英特尔处理器的注册短信验证送体验金机。黑客可利用这一新漏洞获取英特尔处理器最近访问过的任何数据。

作者:AdlerI来源:Freebuf|2019-05-15 16:02

据外媒报道,英特尔处理器再现严重漏洞,影响数百万台运行英特尔处理器的注册短信验证送体验金机。黑客可利用这一新漏洞获取英特尔处理器最近访问过的任何数据。目前,英特尔已经发布漏洞补丁,并联合各注册短信验证送体验金机厂商分发、由用户安装、运行、生效。微软,谷歌,苹果和惠普已采取措施保护客户免受潜在攻击。

新漏洞暂无恶劣影响

新漏洞分别被命名为为ZombieLoad、RIDL(Rogue In-Flight Data Load)和Fallout。如同2018年初英特尔爆出的Meltdown和Spectre漏洞一样,这些新漏洞主要利用的也是处理器的推测执行(speculative execution)进程,进行侧信道攻击。

这些攻击方法在PC端和云环境中都能生效,导致不同的应用程序、操作系统虚拟机和可信执行环境泄露敏感信息,包括密码、网站内容、磁盘加密密钥和浏览器历史记录等。安全专家已经证明,即使用户使用虚拟机和Tor浏览器上网,黑客也可以利用ZombieLoad获取用户的浏览记录。而Fallout则主要用于确定操作系统的内存位置,导致攻击后果更严重。

值得注意的是,如果想要成功利用这些漏洞,需要依赖在目标设备中原本存在的恶意软件。但是,部分情况下,也可以通过JS代码和恶意网站进行远程利用。

专家提醒称,普通的安全软件很难检测到这些攻击,且这些漏洞的利用过程不会在日志文件中留下记录。不过,目前也没有证据表明黑客已经对这些漏洞进行了恶意利用。

英特尔针对不同产品发布补丁

英特尔表示,这些漏洞最早由其内部研究人员与合作伙伴发现,随后很多研究人员或机构也发现了这些漏洞。来自密歇根大学、伍斯特理工学院、格拉茨科技大学、imec-DistriNet、KU Leuven、阿德莱德大学、微软、VUSec组织、Bitdefender甲骨文和奇虎360的研究人员都得到了英特尔的致谢。有研究报告表明,英特尔从2018年6月份开始就陆续接到相关漏洞的报道。

英特尔将这系列漏洞统一归类为微架构数据采样(Microarchitectural Data Sampling )漏洞,其中有三个CVSS评级为中级,而一个CVSS评级为低级。这系列漏洞分别为:

CVE-2018-12126:存储缓冲区数据采样(MSBDS)

CVE-2018-12127:加载端口数据采样(MLPDS)

CVE-2018-12130:填充缓冲区数据采样(MFBDS)

CVE-2019-11091:对不可缓存内存的数据采样(MDSUM)

英特尔表示:

在特定情况下,MDS系列漏洞使得恶意进程能够从同一 CPU 核心上运行的另一个进程中读取数据(涉及在 CPU 内核中使用的缓冲区)。因为数据不会在进程切换时被清除,恶意进程可以推测性地从所述缓冲区中采样数据、知晓其中的内容、从同一 CPU 内核上执行的另一个进程中读取数据。

其中,2011年及以后的产品都有可能受到这些漏洞影响。第8代和第9代核心处理器以及第二代Xeon可扩展处理器等新产品可以在硬件层面解决这些漏洞。 其他一些可能受影响的产品已经收到或即将接收微代码更新,以缓解影响。 英特尔公布了一份处理器列表,列出了即将发布更新和不更新的产品列表

待修复的产品(部分)

不在修复计划中的产品(部分)

英特尔表示,对于大多数PC而言,更新补丁对性能的影响都很小,但最终结果还是与数据中心工作负载有关。

专家表示,ARM和AMD处理器不受到影响。 微软、谷歌、苹果、XenProject和Linux都发布了针对这些漏洞的分析文章和建议。其他研究机构或研究人员也发布了多篇相关研究论文,并为每种攻击方法建立了专门的网站。漏洞PoC演示视频以及帮助用户检查系统是否易受攻击的工具也都已经发布,感兴趣的读者可以点击链接了解详情。

【编辑推荐】

  1. 高通近40款芯片被曝出泄密漏洞!波及数十亿部手机
  2. 高通近40款芯片被曝出泄密漏洞!波及数十亿部手机
  3. 英特尔芯片再现ZombieLoad漏洞
  4. 预警:微软有高危远程代码执行漏洞
  5. 创纪录的漏洞攻击引发全球企业开户免费送彩金38元安全创新
【责任编辑:武晓燕 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

订阅专栏+兴博汇注册送38元

我的运维日志系统构建之路

我的运维日志系统构建之路

数据驱动运维
共18章 | 我叫于小炳

202人订阅学习

CentOS文件服务的最佳实战

CentOS文件服务的最佳实战

涨薪跳槽必备技能
共15章 | 追风蚂蚁

90人订阅学习

小白网工宝典

小白网工宝典

一次搞定思科华为
共15章 | 思科小牛

508人订阅学习

读 书 +兴博汇注册送38元

Linux命令、编辑器与Shell编程

本书是目前所能找到的最实用、最全面的Linux指南和参考手册,也是唯一一本提供以下全部内容的书籍: 更好更实用的示例覆盖了实际工作中需...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊

51CTO服务号

51CTO播客

博聚网