微軟發布Spectre v2修補程序

繼去年秋天預告之後，微軟終於宣布發布包含Spectre變種2修補工具Retpoline的Windows 10功能更新KB 4482887，不過只有布署最新更新1809及以後版本的計算機得以受益。

Google的安全團隊Project Zero去年一月發現3個CPU推測執行旁路攻擊漏洞變種：CVE-2017-5753和CVE-2017-5715（稱之為Spectre v1及v2）及CVE -2017-5754為（稱為Meltdown）。其中又以Spectre v2最為棘手，修補往往會拖慢系統性能，唯獨Google開發出來的Retpoline除外。

Google承諾分享給其他廠商。去年一年來，Google已經將Retpoline布署到其Linux伺服器，以及其他版本Linux操作系統軟體，包括Red Hat、SUSE、Ubuntu及Oracle Linux 6、7中。去年10月工程師Alex Ionescu首先發現19H1開發測試版已經啟動Retpoline，隨後微軟工程師Mehmet Iyigun坦承此事，表示該Spectre v2修補程序對系統性能影響降至「噪音水準」（noise-level）。 Google宣稱對其伺服器只有1.5%的性能影響。

他在最新的博客中指出，在Windows 10用戶端設備上，Retpoline目前是默認關閉的，但微軟已經反向移植（backport）必要的OS修改來支持Retpoline，以便用於1809版Windows 10及以後更新版中，並經由3月1日的KB4482887更新發布。由於布署和變更的複雜性，目前只能在Windows 10最新更新版1809（和即將推出的19H1）中啟動這個修補程序，但Iyigun指出未來幾個月內，微軟將陸續通過雲計算來階段性布署Retpoline。

不過一些用戶安裝KB 4482887後，會在某些用戶引發IE 11驗證問題。當兩人以上使用同一個帳戶在同一台Windows Server同時登錄，包括創建RDP鏈接或登錄終端伺服器時會出現緩存降至零、鍵盤捷徑不靈、無法順利載入網頁、帳密輸入對話盒與文件下載問題等徵狀。微軟目前正在解決該問題，並於日後發布更新。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！