IT之家 6 月 16 日消息，英特爾和微軟發(fā)布了有關(guān)影響英特爾酷睿處理器的新 CPU 漏洞列表的最新安全公告。
據(jù)介紹，這些安全漏洞與 CPU 的內(nèi)存映射 I / O (MMIO) 有關(guān)，因此統(tǒng)稱(chēng)為“MMIO 陳舊數(shù)據(jù)漏洞”。如果攻擊者成功利用系統(tǒng)漏洞，就可以隨意讀取受感染系統(tǒng)上的信息。
微軟在其安全公告中描述道：
成功利用這些漏洞的攻擊者可能能夠跨信任邊界讀取特權(quán)數(shù)據(jù)。在共享環(huán)境中（允許在這些資源中存在正確的云服務(wù)配置）可能會(huì)利用這些漏洞的漏洞攻擊者可能跨域訪(fǎng)問(wèn)權(quán)限數(shù)據(jù)。在非瀏覽場(chǎng)景中的這些獨(dú)立上，攻擊者必須先訪(fǎng)問(wèn)系統(tǒng)或能夠在目標(biāo)系統(tǒng)中運(yùn)行特殊經(jīng)編設(shè)計(jì)的應(yīng)用程序，利用系統(tǒng)漏洞。
這些漏洞被稱(chēng)為：
CVE-2022-21123 - 共享緩沖區(qū)數(shù)據(jù)讀取 (SBDR)?
CVE-2022-21125 - 共享緩沖區(qū)數(shù)據(jù)采樣 (SBDS)
CVE-2022-21127 - 特殊寄存器緩沖區(qū)數(shù)據(jù)采樣更新（SRBDS 更新）
CVE-2022-21166 - 設(shè)備寄存器部分寫(xiě)入 (DRPW)
簡(jiǎn)單來(lái)說(shuō)，MMIO 使用處理器的物理內(nèi)存地址空間來(lái)訪(fǎng)問(wèn)像內(nèi)存組件一樣響應(yīng)的 I / O 設(shè)備。英特爾在其安全公告 INTEL-SA-00615 中更描述了如何來(lái)利用該漏洞：
處理器 MMIO 陳舊數(shù)據(jù)漏洞是一類(lèi)可以暴露數(shù)據(jù)的內(nèi)存映射 I / O (MMIO) 漏洞。當(dāng)處理器內(nèi)核讀取或?qū)懭?MMIO 時(shí)，通常使用不可緩存或?qū)懭虢M合的內(nèi)存類(lèi)型完成，并通過(guò) uncore 進(jìn)行路由，uncore 是 CPU 中由物理處理器內(nèi)核共享的邏輯部分，可提供多種公共服務(wù). 惡意訪(fǎng)問(wèn)者可能使用非核心緩沖區(qū)和映射寄存器從同一物理核心內(nèi)或跨核心的不同硬件線(xiàn)程泄漏信息。
[...] 這些漏洞涉及導(dǎo)致陳舊數(shù)據(jù)被直接讀取到架構(gòu)、軟件可見(jiàn)狀態(tài)或從緩沖區(qū)或寄存器中采樣的操作。在某些攻擊場(chǎng)景中，這些陳舊的數(shù)據(jù)可能駐留在微架構(gòu)緩沖區(qū)中。在其他攻擊場(chǎng)景中，惡意行為者或混淆的代理代碼可能會(huì)從微架構(gòu)位置（例如填充緩沖區(qū)）傳播數(shù)據(jù)。
根據(jù)微軟的說(shuō)法，以下 Windows 版本受到影響：
Windows 11
Windows 10
Windows 8.1
Windows Server 2022
Windows Server 2019
Windows Server 2016
IT之家了解到，Linux 已經(jīng)針對(duì) MMIO Stale Data 漏洞進(jìn)行了修補(bǔ)。
目前來(lái)看，具體的性能影響能力因芯片商的硬件生成和實(shí)施而異。對(duì)于某些消費(fèi)者設(shè)備，對(duì)性能的影響可能并不明顯。一些客戶(hù)可能無(wú)法制造超線(xiàn)程（SMT）全面解決處理器 MMIO 帶來(lái)的風(fēng)險(xiǎn)。已測(cè)試中，微軟在這些性能緩解方面的決定產(chǎn)生了影響。在某些超線(xiàn)程后，這種影響顯著。微軟突出其軟件和服務(wù)的性質(zhì)，并執(zhí)行了緩解策略，以便更有效地執(zhí)行緩解策略。在某些情況下，系統(tǒng)默認(rèn)不緩解措施，以便用戶(hù)和管理員在啟用決定措施之前將繼續(xù)對(duì)影響和危險(xiǎn)性能進(jìn)行評(píng)估。我們與硬件供應(yīng)商合作，為維護(hù)高等級(jí)安全性的同時(shí)提高性能。
下圖給出了受影響的 CPU 列表及其各自的緩解措施：
受影響的 CPU 型號(hào)的完整列表可以在英特爾官網(wǎng)找到，包括但不限于 Haswell、Broadwell、Cherryview、Skylake、Ice Lake、Cascade Lake、Cooper Lake、Apollo Lake、Gemini Lake、Tiger Lake、Kaby Lake、Coffee Lake、Whiskey Lake、Comet Lake、Rocket Lake、Jasper Lake (Tremont)、Alder Lake (Golden Cove, Gracemont）等等。
廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。