首页 > 安全 > 网站安全 >

漏洞奖励计划初见成效!微软发现“幽灵”变体

2018-07-19

漏洞奖励计划初见成效!微软发现“幽灵”变体 近日,英特尔向两位安全研究人员支付了10万美元作为漏洞奖励计划的奖金。两人发现了著名的幽灵(Spectre)漏洞的新变体,漏洞的发现者——来自麻省理工的Vladimir Kiriansky和咨询

近日,英特尔向两位安全研究人员支付了10万美元作为漏洞奖励计划的奖金。两人发现了著名的幽灵(Spectre)漏洞的新变体,漏洞的发现者——来自麻省理工的Vladimir Kiriansky和咨询公司的Carl Waldspurger将会共享这份奖金。

作为“幽灵”的变种,他们将新的漏洞称作Spectre1.1(CVE-2017-5753),同时,他们还发现了另一个变种,将其称作Spectre1.2(CVE-2018-3693)。
早些时候,谷歌的Project Zero团队披露了幽灵漏洞(Spectre)的两个变种(CVE-2017-5753和CVE-2017-5715)的细节。
Spectre1.1可造成的攻击是利用当前大多数CPU都存在的功能:“预测执行引擎”,该攻击方式也被称作BCBS(Bounds Check Bypass Store)攻击,即边界检查绕过存储。与经典的缓冲区溢出攻击非常相似,该操作允许攻击者在本地执行任意命令代码,能够绕过本地的防护措施以直接访问敏感数据,包括存储的密码数据及加密密钥。
第二个变种是Spectre1.2,此漏洞的攻击取决于PTE的执行,其原理与Meltdown漏洞类似。

不会强制读写保护的处理器上,预测存储可以覆盖制度数据和代码指针,从而攻破保护沙盒。
ARM已经证实,他们的处理器受到了Spectre1.1漏洞的影响。同时微软、甲骨文(Oracle)、红帽(Redhat)等公司已相继发表安全通告,并表示正在研究漏洞的处理措施以及潜在的影响。
微软的研究人员表示,该漏洞理论上能够让攻击者得到完全的访问权限,可以得到系统内任何数据。并且,一旦漏洞出现在一些共享资源环境中(例如云服务器),则整个云服务都将受到影响。
此外,当前的大部分处理器和操作系统都受该漏洞的影响,包括英特尔、ARM、AMD等公司。同时除Windows以外的操作系统也同样受到了波及,如安卓、chrome、IOS、MacOS等。

英特尔已确定将在季度补丁中解决此漏洞的问题,同时建议用户遵循服务供应商的处理措施,尽快解决,以避免不必要的损失。

相关文章
最新文章
热点推荐