在Intel CPU中再次驚現8個新的幽靈漏洞

據報道，一組安全研究人員又在英特爾CPU中共發現八個新的「Spectre-class」漏洞，這些漏洞同樣至少影響到一小部分ARM處理器，並可能影響AMD處理器架構。

這些被稱為Specter-NextGeneration或Specter-NG的漏洞的部分細節，首先被德國計算機雜誌Heise的記者報道出來，該報稱英特爾已將其中四個新漏洞風險進行分類為「高風險」，其餘四個風險分類為「中風險」。

據報道，新的CPU缺陷源於造成原先的Spectre缺陷的相同問題設計，該報告同時聲稱，新發現的其中一個缺陷是允許攻擊者可以訪問虛擬機（VM），輕鬆地定位主機系統，使其可能比原先爆出的幽靈漏洞更具威脅性。「它可能會攻擊運行在同一台伺服器上的其他客戶的虛擬機，安全數據傳輸的密碼和密鑰是雲計算系統中備受追捧的目標，並且嚴重受到這一缺陷的威脅，上述的Specter-NG漏洞可以很容易地用於系統邊界的攻擊，將威脅潛力提升到一個新的水平。雲服務提供商如亞馬遜或Cloudflare的客戶可能受到的影響尤為嚴重。」如果查看今年早些時候報道的Spectre漏洞，可以知道其依賴於對處理器推測執行引擎的旁路攻擊，從而允許惡意程序讀取密碼，加密密鑰或敏感信息等敏感信息，包括內核的。

從德國網站報道看，沒有表明已經向英特爾報告這些漏洞的安全研究人員（或團隊/公司）的具體名字，但暗示谷歌Project Zero的一名安全研究人員是其中一個漏洞的發現者。同時該網站聲稱，谷歌安全研究人員在近88天前向晶元製造商報告了這一漏洞。從時間推算表明研究人員可能是在5月7日前後發現至少其中的一個漏洞細節，Windows每個星期二補丁發布的前一天，屆時90天披露窗口將被關閉，負責任的向供應商披露Specter NG漏洞肯定是值得肯定一種好的做法，另一個方面發現了新系列的Spectre級漏洞的研究人員似乎正在避免他們的名字早早暴露。可能是為了防止類似於面臨的媒體批評CTS實驗室公布了專門的網站，漂亮的圖片和視頻，透露了AMD缺陷的部分細節。

英特爾對Spectre-NG缺陷的回應

當向英特爾詢問新的研究結果時，該晶元製造商巨頭提供了以下模稜兩可的一個聲明，既不能確認也不否認存在Specter-NG漏洞：「保護我們客戶的數據並確保我們產品的安全性是我們的關鍵優先事項，我們通常與客戶，合作夥伴，其他晶元製造商和研究人員密切合作，以了解和緩解所發現的任何問題，其中一部分涉及預留CVE數字塊。我們深信披露的價值，並會在我們確定緩解措施時分享有關任何潛在問題的更多細節。作為最佳做法，我們將繼續鼓勵每個人保持系統的最新狀態。」

從報道看，Specter-NG漏洞影響英特爾CPU，並且部分跡象表明，至少某些ARM處理器也受到這些問題缺陷的影響，對AMD處理器的影響尚未得到證實。據德國網站稱，英特爾已經承認了新的Spectre-NG漏洞缺陷，並計劃在5月份發布一個安全補丁，並計劃在8月份發布其他安全補丁。

微軟還計劃通過在未來幾個月內發布Windows更新的安全補丁來解決這些問題。目前尚不清楚，如果應用新的補丁程序，是否會再次面臨易受攻擊和影響設備性能的問題，就像今年早些時候發生的原始的Spectre和Meltdown漏洞補丁一樣。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！