這兩天包括英特爾等主要CPU大廠相繼爆出重大處理器漏洞,恐造成機敏資料外洩,而引發軒然大波。美國電腦網路危機處理中心CERT今日(1/4)更罕見大動作發出漏洞通告,並提出警告,認為此漏洞將可能導致旁路攻擊(side channel attackse),帶來重大安全風險,甚至更建議用戶最好全部換掉受影響的CPU,改用其他沒有安全風險的CPU,只不過,目前絕大部分CPU廠牌都受到此漏洞波及,一時之間,也很難找到其他能用來代替且未受影響的CPU可用。

根據美國CERT中心的說明,這次出現的CPU漏洞,主要是由於CPU架構設計缺陷所造成的,可能導致出現Meltdown 與 Spectre這兩個漏洞的旁路攻擊,將讓有心人士可以取得用戶權限在處理器內來植入惡意程式,而影響到這些有漏洞CPU的裝置安全,例如可以讀取其他受到保護的內核記憶體存取的資訊,或是繞過KASLR(Kernel Address Space Layout Randomization )將記憶體內內核程式位置隨機化的保護機制。

CERT也列出目前經查證已確定受影響的CPU廠牌和主要OS廠商,包括了Intel、ARM、AMD、Apple、Google、Linux Kernel、Microsoft,以及Mozilla。並且持續更新當中。

負責揭露這起CPU重大漏洞的Google Project Zero也點名英特爾、AMD、ARM處理器產品都受到影響。不過截至目前,只有ARM已在官網上列出受漏洞影響的處理器產品。ARM在稍早回應提到,受到特定漏洞及攻擊手法影響的CPU系列,包括了Cortex R7、R8、A8、A9、A15、A17、A57、A72、A73、A75。這些處理器通常被用在智慧手機、平板電腦或其他類似手持式裝置上。因為受影響的產品線眾多,目前也正在更新修補中。

英特爾則澄清,這次的處理器漏洞並沒有媒體報導的那麼嚴重,雖然可能有導致部分機敏資料外洩的風險,但用戶裝置保存的數據,並不會因此遭到惡意破壞、修改或刪除。

至於AMD則是堅持能免於這波處理器漏洞的攻擊,因為採用和其他家不同的架構設計,預設就不允許記憶體參照,可防止較低權限模式存取較高權限的資料,而造成記憶體分頁錯誤。甚至認為在特定條件下,自家CPU遭到漏洞攻擊的風險趨近於零。


Advertisement

更多 iThome相關內容