Intel CPU微架构数据采样(MDS)漏洞
宣布时间 2019-05-15
配景描述
漏洞列表
漏洞品级： 中危
漏洞名称： 微架构存储缓冲区数据采样（MSBDS），也被称为Fallout攻击
CVSS评分： 6.5
CVE ID ： CVE-2018-12127
漏洞品级： 中危
漏洞名称： 微架构负载端口数据采样（MLPDS），也被称为Zombieload或RIDL攻击
CVSS评分： 6.5
CVE ID ： CVE-2018-12130
漏洞品级： 中危
漏洞名称： 微架构填充缓冲区数据采样（MFBDS），RIDL类攻击
CVSS评分： 6.5
CVE ID ： CVE-2019-11091
漏洞品级： 低危
漏洞名称： 微架构不行缓存内存数据采样（MDSUM），RIDL类攻击
CVSS评分： 3.8
漏洞详情
通过利用Intel CPU微架构中的推测执行操作，MDS攻击可允许攻击者访问其它法式在CPU中处置的数据 。自2011年以来的Intel CPU几乎都受影响，包罗台式机、条记本及服务器的处置器 。Intel体现其最新产物可从硬件层面解决这些问题，包罗第8代和第9代Core处置器及第二代Xeon Scalable处置器 。对于其他受影响的产物，可通过微代码更新获得缓解 。
英特尔还体现对大多数PC而言，缓解措施对性能影响不大，但对数据中心负载而言，性能可能存在下降 。
ARM和AMD处置器似乎没有受到影响 。
受影响产物的完整列表可参考以下文件：
https://www.intel.com/content/dam/www/public/us/en/documents/corporate-information/SA00233-microcode-update-guidance_05132019.pdf
修复建议
Microsoft已宣布操作系统级更新，以解决四个MDS漏洞 。凭据Microsoft的MDS宁静建议，操作系统更新可用于Windows和Windows Server，也可用于SQL Server数据库 。Azure客户端已受到� ；�，因为Microsoft已接纳措施修补其云基础架构并减轻威胁 。
Apple
苹果今天宣布的macOS Mojave 10.14.5已经部署了对MDS攻击的缓解措施 。iOS设备不易受到MDS攻击，因此目前不需要特殊的缓解措施 。
Linux
碎片化的LINUX生态系统宣布补丁的速度缓慢 。在撰写本文时，只有Red Hat和Ubuntu宣布了修复补丁 。
谷歌今天宣布了一个资助页面，列出了每种产物的状态以及它如何受到DS攻击的影响 。凭据此页面，谷歌的云基础架构已经获得了适当的� ；� 。某些Google Cloud Platform客户可能需要检察某些设置，但G Suite和Google Apps客户无需执行任何操作 。Chrome操作系统已停用Chrome OS 74及后续版本的超线程功效 。谷歌体现，这可以防止MDS攻击 。Android用户不受影响 。谷歌体现，操作系统级此外缓解措施应能� ；hrome浏览器用户 。
Amazon
类似于谷歌和微软，亚马逊体现已经在云服务器上修补并应用缓解措施 。
参考链接
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00233.html
https://www.zdnet.com/article/intel-cpus-impacted-by-new-zombieload-side-channel-attack/
京公网安备11010802024551号