首页 > 品牌 > 微软 > 谷歌,微软发现另一个Spectre, Meltdown漏洞
2018
05-22

谷歌,微软发现另一个Spectre, Meltdown漏洞

20180522A01

据外媒CNET消息,英特尔和微软周一披露了新发现的Spectre和Meltdown安全漏洞,使用该芯片的数亿台计算机和移动设备都会受到这一漏洞影响。

英特尔称这一漏洞变体为“Variant 4(变体4)”。据该公司称,尽管这一最新的变体与1月份首次披露的安全漏洞有许多相同之处,但其使用了不同的方法来提取敏感信息。

Spectre和Meltdown一直困扰着英特尔,Arm和AMD等公司,这些公司生产的芯片主要应用于电脑,笔记本电脑以及各种移动设备中,而这些芯片存在着一些安全漏洞。这些漏洞可以让攻击者读取CPU上的敏感信息,这一漏洞影响了过去二十年来数以亿计的芯片。虽然像英特尔,苹果和微软这样的公司已经发布了更新补丁来修补这些漏洞,但修复过程不如预期的那样顺利,有时更新补丁会导致电脑出现不可预知的问题。

黑客们经常会寻找可以让他们进行攻击的漏洞,例如,WannaCry勒索病毒,主要攻击那些未及时安装微软补丁的Windows电脑用户。

即使在英特尔和其他公司解决了第一次漏洞危机之后,研究人员预计该漏洞可能会出现新的变化。在今年一月,Arm首席执行官Simon Segars预测,像Specter这样的漏洞很可能会再次出现。周一发现的新漏洞是这些公司将面临持续安全问题的最新例子。

英特尔将“Variant 4”定义为中等风险,因为其利用Web浏览器的诸多漏洞已在最初的一组补丁中修复。新发现的漏洞变体使用了一种被称为“Speculative Store Bypass”的特性,它可以让处理器将敏感数据加载到潜在的不安全空间。

据美国US-CERT资讯机构表示,这一新漏洞会让攻击者读取CPU上较旧的内存值。

英特尔公司表示,目前暂未有黑客利用这个漏洞,并且在未来几周内发布了一个完整的漏洞修补程序。英特尔公司安全执行副总裁Leslie Culbertson在一篇文章中表示,英特尔已经开始为制造商和软件供应商提供更新补丁。

虽然该高管表示,英特尔不希望补丁程序影响计算机性能,但她承认,安装修复补丁后,经测试系统性能将降低2%-8%。根据英特尔的说法,此修补程序默认设置为关闭状态,供应商可以启用该修复程序。

在微软发布的安全公告中,该公司表示,潜在的攻击者可能利用浏览器中的JavaScript来执行攻击。

来自谷歌的Project Zero研究人员发现了第一组漏洞,他们在二月份首次向Intel,AMD和Arm报告了这一问题。该团队将其归类为中等严重性风险。

在Arm的白皮书中,该公司表示大多数处理器不受新变种漏洞的影响。Arm在一份声明中表示:“这一漏洞依赖于本地运行的恶意软件。”

AMD发布安全公告,警告用户保持系统更新,并称微软正在对AMD特定的修补程序进行测试.



来源:C114中国通信网     编辑:TXG


留下一个回复

你的email不会被公开。