[安全公告]關(guān)于Intel處理器Meltdown和Spectre安全漏洞公告
尊敬的用戶：
北京時(shí)間2018年01月03日，Intel處理器芯片被爆出存在嚴(yán)重安全漏洞，該漏洞事件源于芯片硬件設(shè)計(jì)層面存在缺陷，可導(dǎo)致操作系統(tǒng)內(nèi)核信息泄露、應(yīng)用程序越權(quán)訪問(wèn)系統(tǒng)內(nèi)核數(shù)據(jù)等問(wèn)題。
漏洞背景：
現(xiàn)代處理器是通過(guò)在流水線各個(gè)階段同時(shí)執(zhí)行不同的任務(wù)來(lái)提高處理能力的。為了讓這個(gè)流水線機(jī)制更加高效，現(xiàn)代處理器又引入了分支預(yù)測(cè)和亂序執(zhí)行機(jī)制，從而更高效的進(jìn)行運(yùn)算。
其中，分支預(yù)測(cè)主要用于解決在跳轉(zhuǎn)分支完全確定前，通過(guò)預(yù)測(cè)執(zhí)行目標(biāo)地址的代碼來(lái)提高執(zhí)行效率。如果預(yù)測(cè)失敗，流水線會(huì)把預(yù)測(cè)錯(cuò)誤的代碼放棄并回滾狀態(tài)。
而亂序執(zhí)行則通過(guò)將代碼的執(zhí)行順序打亂來(lái)提高平行執(zhí)行能力。
這些處理器優(yōu)化技術(shù)對(duì)于現(xiàn)代處理器的性能提升有很大的幫助。但是近期安全研究者發(fā)現(xiàn)，現(xiàn)代處理器架構(gòu)的這些功能可能會(huì)導(dǎo)致安全風(fēng)險(xiǎn)，可以被攻擊者利用在特定情況下進(jìn)行攻擊。產(chǎn)生這些的根本原因是流水線對(duì)無(wú)效執(zhí)行狀態(tài)的恢復(fù)不完整，以及亂序執(zhí)行時(shí)對(duì)權(quán)限檢查不完整。這里也充分體現(xiàn)了安全設(shè)計(jì)和性能設(shè)計(jì)的沖突。
漏洞編號(hào)：
bounds check bypass (CVE-2017-5753)
branch target injection (CVE-2017-5715)
rogue data cache load (CVE-2017-5754)
漏洞描述：
根據(jù)披露的攻擊細(xì)節(jié)及詳細(xì)介紹分析，本次針對(duì)英特爾處理器漏洞有兩種攻擊方法，分別為Meltdown和Spectre。
其中，Meltdown主要涉及CVE-2017-5754，Spectre主要涉及CVE-2017-5753和CVE-2017-5715。
Meltdown漏洞CVE-2017-5754
應(yīng)該說(shuō)這三個(gè)漏洞中，Meltdown是最容易利用也是影響最大的。
本質(zhì)上這個(gè)漏洞是因?yàn)樘幚砥髟趤y序執(zhí)行時(shí)，沒(méi)有對(duì)跨特權(quán)的數(shù)據(jù)訪問(wèn)進(jìn)行限制。比如當(dāng)一個(gè)用戶態(tài)的程序訪問(wèn)內(nèi)核數(shù)據(jù)時(shí)，最終處理器是會(huì)觸發(fā)頁(yè)訪問(wèn)異常的，但是問(wèn)題出在，當(dāng)流水線上執(zhí)行時(shí)，對(duì)于觸發(fā)的頁(yè)異常進(jìn)行了抑制，在處理器真正觸發(fā)頁(yè)異常前，相應(yīng)的代碼還是會(huì)執(zhí)行，導(dǎo)致緩存依舊會(huì)發(fā)生變化。
Spectre漏洞CVE-2017-5753
該漏洞主要是通過(guò)低特權(quán)級(jí)別的代碼，調(diào)用高特權(quán)級(jí)別的代碼來(lái)實(shí)現(xiàn)攻擊。
由于為了性能加速，現(xiàn)代處理器會(huì)提前做分支預(yù)測(cè)，其后在流水線上誤判的預(yù)先執(zhí)行最終并不會(huì)實(shí)際執(zhí)行。但，也是由于性能的原因，流水線執(zhí)行結(jié)束后并沒(méi)有對(duì)所有預(yù)判執(zhí)行的現(xiàn)場(chǎng)做完全修復(fù)，從而導(dǎo)致在緩存中會(huì)留下執(zhí)行的痕跡，進(jìn)一步會(huì)導(dǎo)致低特權(quán)惡意軟件可能通過(guò)分支預(yù)測(cè)在緩存中留下的痕跡，在特定代碼情況下猜測(cè)出高特權(quán)的數(shù)據(jù)。
這個(gè)漏洞需要特定的代碼模式才能夠觸發(fā)，所以攻擊者必須要在高特權(quán)級(jí)別的代碼，比如操作系統(tǒng)內(nèi)核，虛擬化底層中找到特定模式的代碼用于利用，相對(duì)CVE-2017-5715而言，利用難度小。
Spectre漏洞CVE-2017-5715
對(duì)于漏洞CVE-2017-5753，攻擊者需要找到已經(jīng)存在的特定代碼模式來(lái)展開(kāi)攻擊。如果沒(méi)有現(xiàn)成的攻擊者用于展開(kāi)攻擊的代碼模式，攻擊者需要考慮如何制造出這些便于攻擊的代碼模式。漏洞CVE-2017-5715就是針對(duì)這個(gè)思路展開(kāi)的。
這里的攻擊目標(biāo)是分支目標(biāo)緩存。這是一個(gè)處理器內(nèi)部用于加速分支跳轉(zhuǎn)的內(nèi)部數(shù)據(jù)結(jié)構(gòu)，有特定的目標(biāo)預(yù)測(cè)算法。通過(guò)對(duì)這個(gè)算法的操縱可以讓攻擊者預(yù)填入惡意的跳轉(zhuǎn)地址，在流水線上，當(dāng)處理器到正確地址之前，讓處理器執(zhí)行特定的目標(biāo)代碼。當(dāng)然，隨著流水線的最后確認(rèn)，這些執(zhí)行也都會(huì)被廢棄，但是對(duì)于緩存的影響依然保留。
Google在攻擊細(xì)節(jié)中給出了反推出KVM的模塊地址思路，但是這個(gè)攻擊對(duì)處理器的架構(gòu)以及內(nèi)部間接分支預(yù)測(cè)的算法有很強(qiáng)的依賴。相對(duì)而言，這個(gè)漏洞是最難利用的，需要一定的先決條件以及很多處理器內(nèi)部信息。
具體攻擊方式介紹如下：
Spectre:bounds check bypass (CVE-2017-5753)
Spectre:branch target injection (CVE-2017-5715)
Meltdown:rogue data cache load (CVE-2017-5754)
影響范圍：
該漏洞存在于Intel x86_64的硬件中，從1995年以后生產(chǎn)的Intel處理器芯片將都可能受到影響。同時(shí)AMD、ARM處理器也會(huì)受到影響。
漏洞風(fēng)險(xiǎn)：
從目前公開(kāi)的PoC測(cè)試程序來(lái)看，攻擊者需要獲取本地普通賬號(hào)權(quán)限后，再進(jìn)一步進(jìn)行提權(quán)操作，從而獲取更高權(quán)限越權(quán)獲取本地敏感信息，漏洞利用有一定的條件限制。
漏洞修復(fù)建議(或緩解措施)：
1.建議您按照安全最佳實(shí)踐做好安全加固和防護(hù)措施，防止被攻擊者利用；
2.目前發(fā)現(xiàn)Linux系統(tǒng)執(zhí)行修補(bǔ)后可能造成一定程度的性能影響。該漏洞只能通過(guò)本地提權(quán)操作才能獲取敏感信息，為了確保業(yè)務(wù)的穩(wěn)定性，請(qǐng)用戶根據(jù)自身業(yè)務(wù)情況決定是否需要升級(jí)修復(fù)漏洞。修補(bǔ)前請(qǐng)做好業(yè)務(wù)驗(yàn)證及必要的數(shù)據(jù)備份(可以采取備份等功能用來(lái)保存數(shù)據(jù)及虛機(jī)狀態(tài))；
3.本次漏洞建議用戶更新補(bǔ)丁以規(guī)避meltdown漏洞風(fēng)險(xiǎn)；
以下為更新補(bǔ)丁參考方式：
Linux:
1）CentOS:
yum update kernel –y
reboot
2）Ubuntu:
12.04:
apt-get update && apt-get dist-upgrade
update-grub
reboot
備注：更新補(bǔ)丁時(shí)，openssh選擇NO
14.04/16.04:
apt-get update
apt-get install linux-image-4.4.0-112-generic linux-image-extra-4.4.0-112-generic
update-grub
reboot
3）Debian:
6.0.10:
apt-get update && apt-get dist-upgrade
update-grub
reboot
7.8:
apt-get install linux-image-3.2.0-5-amd64
update-grub
reboot
備注：重啟后，選擇Linux 3.2.0-5-amd64內(nèi)核啟動(dòng)
7.8.10:
apt-get install linux-image-3.2.0-5-amd64
update-grub
reboot
Windows Server:
1）2008 R2:
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897
適用于箭頭云的漏洞補(bǔ)丁如下:
https://download.windowsupdate.com/d/msdownload/update/software/secu/2018/01/windows6.1-kb4056897-x64_2af35062f69ce80c4cd6eef030eda31ca5c109ed.msu
2）2012 R2:
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056898
適用于箭頭云的漏洞補(bǔ)丁如下:
https://download.windowsupdate.com/c/msdownload/update/software/secu/2018/01/windows8.1-kb4056898-v2-x64_754f420c1d505f4666437d06ac97175109631bf2.msu
3）2016 R2:
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890
適用于箭頭云的漏洞補(bǔ)丁如下:
https://download.windowsupdate.com/c/msdownload/update/software/secu/2018/01/windows10.0-kb4056890-x64_1d0f5115833be3d736caeba63c97cfa42cae8c47.msu
備注：由于windows發(fā)布更新跟云主機(jī)中的反病毒軟件們兼容性并不是很好，所以在用戶的云主機(jī)中windows update功能打開(kāi)的情況下，可能并不能自動(dòng)獲取到針對(duì)Meltdown和Spectre的更新包。建議用戶自行下載后，再手工安裝更新。
以上linux系統(tǒng)更新方式采用新增內(nèi)核啟動(dòng)方式，如出現(xiàn)意外情況，可以嘗試在開(kāi)機(jī)過(guò)程中通過(guò)云主機(jī)vnc界面進(jìn)入grub，選用老版本內(nèi)核進(jìn)入系統(tǒng)。
商品已成功加入購(gòu)物車