阿里云
1024开发者盛宴之Java专家问答专场
发表主题 回复主题
  • 7186阅读
  • 0回复

[安全漏洞公告专区]【安全漏洞公告】Intel处理器Meltdown和Spectre安全漏洞公告

级别: 论坛版主
发帖
240
云币
472
北京时间2018年01月03日,Intel处理器芯片被爆出存严重安全漏洞,该漏洞事件源于芯片硬件层面的设计BUG,可导致操作系统内核信息泄露、应用程序越权访问系统内核数据问题。漏洞披露前,阿里已与Intel同步关键安全信息,并持续就修复方案做验证。 %7 yQ0'P  
具体详情如下:                          
9B;WjXSe  
漏洞编号:   n*ShYsc  
CVE-2017-5753 J5F@<vi  
CVE-2017-5715 sbX7VfAR`  
CVE-2017-5754 8f[ztT0`g  
漏洞名称:   ) 3"!Q+  
Intel处理器存在严重芯片级漏洞 ,wM}h  
官方评级:   7S 8X)  
高危     52j3[in  
漏洞描述: G/FDD{y  
由于计算机处理器芯片在实现上存在安全缺陷,无法通过正确判断将低权限的应用程序访存与内核高权限的访问分开,使得攻击者可以绕过内存访问的安全隔离边界,在内核中读取操作系统和其他程序的内存数据,造成敏感信息泄露风险。 %AtT(G(n  
根据披露的攻击细节和阿里云技术团队的综合分析,本次针对英特尔处理器漏洞有两种攻击方法,分别为Meltdown和Spectre。Meltdown涉及CVE编号为CVE-2017-5754,而Spectre涉及CVE编号为CVE-2017-5715和2017-5753。 spm)X-[1  
具体攻击方式介绍如下: )D#}/3s  
+>1?ck  
漏洞影响范围: Rc{R^5B  
该漏洞存在于英特尔(Intel)x86-64的硬件中,本次受影响范围从1995年以后生产的Intel处理器芯片都可能受到影响。 GTTEg{  
同时AMD、Qualcomm、ARM处理器也受到影响。 U ^GVz%\  
漏洞风险: =bja\r{  
从目前公开的PoC测试来看,攻击者需要获取本地普通账号权限后,再进一步进行提权操作,从而获取更高权限越权获取本地敏感信息,漏洞利用有一定的条件。 xg7KU&  
漏洞修复建议(或缓解措施): S'qT+pP  
1.云平台修复 wMN{9Ce3j  
阿里云已经启动了云平台底层基础架构的漏洞修复更新,会根据批次依次修复,最迟于北京时间1月12日24点之前完成。该方案由于采用了热升级方式,正常情况下不会对客户业务带来影响。 ps:`rVQ7  
阿里云官方公告:https://help.aliyun.com/noticelist/articleid/20700730.html 4v _Hh<%  
2.租户修复 $V`1<>4  
  • 本次漏洞租户需要更新补丁以彻底规避该风险,阿里云目前持续跟踪各大操作系统发行版本厂商发布的补丁状态,并第一时间修复官方提供的操作系统镜像。
跟踪状态如下: r ~UDK]?V  
操作系统    
发行
版本
系统
架构
是否
响                
官方
补丁状态      
镜像修复状态  
镜像源
更新状态            
厂商官方安全公告 补丁更新方式
Microsoft Windows                             2008 R2               i386/X64                      已发布 未修复 已推送补丁https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution-s
1.建议用户打开Windows Update功能,然后点击“检查更新”按钮,根据业务情况下载安装相关安全补丁;
2.安装完毕后重启服务,检查系统运行情况。
3.您也可以手工下载补丁安装修复漏洞:
Windows Server Version 1709:
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892
Window Server 2016:
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890
Windows Server 2012 R2:
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056898
Windows Server 2008 R2:
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897
4.安装完补丁后重启服务器生效
注意: DpA)Vdj  
1.按目前Windows的安全补丁推送策略,若Windows操作系统未安装微软认证的安全软件,则Windows Server2008 R2、Windows Server2012 R2系统将不会收到此类补丁的动推送;若需安装此补丁,用户可根据下载地址自行下载安装。Windows Server 2016, Windows Server 1709不受此策略影响; '"\n,3h  
2.若需安装此补丁,用户可根据下载地址自行下载安装或者设置以下注册表以接收更新,点击查看详情 ; Z ]  G#:  
Key="HKEY_LOCAL_MACHINE" Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" Value="cadca5fe-87d3-4b96-b7fb-a231484277cc" Type="REG_DWORD” Data="0x00000000” gl`J(  
3.在安装补丁前,建议进行相关测试工作。同时,务必请做好数据备份和快照,防止出现意外情况。
Microsoft Windows2012 R2 X64已发布未修复 已推送补丁https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution-s   kiN,N]-V  
1.建议用户打开Windows Update功能,然后点击“检查更新”按钮,根据业务情况下载安装相关安全补丁; 9M7P|Q  
2.安装完毕后重启服务器,检查系统运行情况。 1;c>#20  
3.您也可以手工下载补丁安装修复漏洞: ,q#SAZ/N  
Windows Server Version 1709: 6Y\TVRR  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892 |hi,]D^Kc  
Window Server 2016: WxO+cB+?  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890 #"!ga)a%L  
Windows Server 2012 R2: }T\.;$f  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056898 ReM]I<WuY  
Windows Server 2008 R2: MK/8<i<.  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897 j0~c2  
4.安装完补丁后重启服务器生效 FGP^rTP)e  
注意:
# }}6JM  
1.按目前Windows的安全补丁推送策略,若Windows操作系统未安装微软认证的安全软件,则Windows Server2008 R2、Windows Server2012 R2系统将不会收到此类补丁的自动推送;若需安装此补丁,用户可根据下载地址自行下载安装。Windows Server 2016, Windows Server 1709不受此策略影响; p6BDhT(RS  
2.若需安装此补丁,用户可根据下载地址自行下载安装或者设置以下注册表以接收更新,点击查看详情 ; 6S n&; ap  
Key="HKEY_LOCAL_MACHINE" Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" Value="cadca5fe-87d3-4b96-b7fb-a231484277cc" Type="REG_DWORD” Data="0x00000000” \MmOI<Hd-  
3.在安装补丁前,建议进行相关测试工作。同时,务必请做好数据备份和快照,防止出现意外情况。
Microsoft Windows2016 R2 X64已发布未修复  已推送补丁https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution-s   T{^mh(3/"  
1.建议用户打开Windows Update功能,然后点击“检查更新”按钮,根据业务情况下载安装相关安全补丁; bfncO[Q,?  
2.安装完毕后重启服务器,检查系统运行情况。 |XG&[TI- "  
3.您也可以手工下载补丁安装修复漏洞: ,9I-3**W  
Windows Server Version 1709: wzxV)1jT  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892 yl@Nyu  
Window Server 2016: 4OJD_  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890 )7+z/y+[n  
Windows Server 2012 R2: zGz}.-F  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056898 ]u-bJ  
Windows Server 2008 R2: 3o>JJJ=]  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897 1twpOZ>  
4.安装完补丁后重启服务器生效。 iJoYxx  
注意: P`Now7! GW  
[font=&amp]在安装补丁前,建议进行相关测试工作。同时,务必请做好数据备份和快照,防止出现意外情况。
Microsoft WindowsVersion 1709 X64已发布未修复  已推送补丁https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution-s  1.建议用户打开Windows Update功能,然后点击“检查更新”按钮,根据业务情况下载安装相关安全补丁; xq,ql@7  
2.安装完毕后重启服务器,检查系统运行情况。 :5j+^/   
3.您也可以手工下载补丁安装修复漏洞: U<sGj~"#  
Windows Server Version 1709: (gVN<Es  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892 >2),HZp^I  
Window Server 2016: ,\&r\!=  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890 e>c -b^{&  
Windows Server 2012 R2: 8pr toCB  
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056898 |X XO0  
Windows Server 2008 R2: w nQy   
https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897 jz=V*p}6  
4.安装完补丁后重启服务器生效 iQ2}*:Jc$  
注意: gSwHPm%zn  
[font=&amp]在安装补丁前,建议进行相关测试工作。同时,务必请做好数据备份和快照,防止出现意外情况。
Aliyun Linux所有 X64已发布 已修复 已更新 阿里云官方提供公告,未发布
使用root账号权限执行更新命令:
1.15.01 : yum update kernel17.01 : yum update kernel-alinux
2.重启系统
3.检查版本:
15.01 : kernel >= 2.6.32-220.23.3.al.ali1.3.alios6.x86_64
提示:15.01该版本已下线,老用户可以升级,新用户推荐使用17.01。
注意:
在安装更新前,建议进行相关测试工作。同时,务必请做好数据备份和快照,防止出现意外情况。
CentOS所有 X64已发布 未修复  已更新 svxjad@l/  
https://access.redhat.com/security/vulnerabilities/speculativeexecution SKNHLE}  
https://access.redhat.com/errata/RHSA-2018:0007https://access.redhat.com/errata/RHSA-2018:0008
使用root账号权限执行更新命令:
1.yum update kernel
2.重启系统
3.检查版本:uname -r
rhel 6 : kernel >= 2.6.32-696.18.7.el6
rhel 7 : kernel >= 3.10.0-693.11.6.el7
注意:在更新安装升级前,建议做好测试工作,并务必做好数据备份和快照,防止出现意外。
Redhat
RHEL6
RHEL7
X64已发布 已修复  已更新 (vD==n9Hd  
https://access.redhat.com/security/vulnerabilities/speculativeexecution ~Yl.(R  
https://access.redhat.com/errata/RHSA-2018:0007https://access.redhat.com/errata/RHSA-2018:0008
.L%pWRxA[  
使用root账号权限执行更新命令: <=6F=u3PtU  
1.yum update kernel *$R9'Yo}F  
2.重启系统 +IbV  
3.检查版本:uname -r L ..  
rhel 6 : kernel >= 2.6.32-696.18.7.el6 8|\ -(:v  
rhel 7 : kernel >= 3.10.0-693.11.6.el7 jP}Ry=V/  
注意:在更新安装升级前,建议做好测试工作,并务必做好数据备份和快照,防止出现意外。
Ubuntu所有 X64已发布 未修复 未更新
https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown
https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-5754.html
https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-5753.html
https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-5715.html
使用root账号权限执行更新命令: I!9>"s12  
1.更新列表:apt-get update HfH_jnR*  
   升级:apt-get upgrade V"K.s2U^  
2.重启系统 XA>uCJf  
注意:在更新安装升级前,建议做好测试工作,并务必做好数据备份和快照,防止出现意外。
Debain所有 X64发布CVE-2017-5754补丁部分修复 未更新 *Od?>z  
https://security-tracker.debian.org/tracker/CVE-2017-5754 Fz<1xyc(  
https://security-tracker.debian.org/tracker/CVE-2017-5753 UfO='&U^  
https://security-tracker.debian.org/tracker/CVE-2017-5715
使用root账号权限执行更新命令: ARnq~E@1  
1.更新列表:apt-get update NPO!J^^  
   升级:apt-get upgrade .L1[Rv3  
2.重启系统 | ~>7_:  
注意:在更新安装升级前,建议做好测试工作,并务必做好数据备份和快照,防止出现意外。
SUSE Linux Enterprise Server所有 X64已发布部分修复已更新
https://www.suse.com/security/cve/CVE-2017-5754/
https://www.suse.com/security/cve/CVE-2017-5753/
https://www.suse.com/security/cve/CVE-2017-5715/
<liprUFsn  
使用root账号权限执行更新命令: :?z @T[-  
1.zypper refresh && zypper patch 4 )}>dxv  
2.重启系统 GJE+sqMX1  
注意:在更新安装升级前,建议做好测试工作,并务必做好数据备份和快照,防止出现意外。
Open SUSE所有 X64已发布未修复  未更新 https://lists.opensuse.org/opensuse-security-announce/2018-01/msg00001.html 暂无
CoreOS所有 X64已发布 未修复  已更新 https://coreos.com/blog/container-linux-meltdown-patch1.升级系统 Z vC?F=tH  
2.重启系统 :iE`=( o  
3.检查版本 z.)*/HGJm  
stable >= 1576.5.0 ]xb2W~  
alpha >= 1649.0.0 7tJ#0to  
beta >= 1632.1.0 x@O )QaBN!  
注意:在更新安装升级前,建议做好测试工作,并务必做好数据备份和快照,防止出现意外。
gentoo所有 X64是  未发布  未修复  未更新https://archives.gentoo.org/gentoo-user/message/11050085e72a8a05aa84e10a89ce3498 #7:ah  
CVE-2017-5753:https://bugs.gentoo.org/show_bug.cgi?id=CVE-2017-5753 "9Q_lVI|Q  
CVE-2017-5715:https://bugs.gentoo.org/show_bug.cgi?id=CVE-2017-5715 m8b-\^eP7  
CVE-2017-5754:https://bugs.gentoo.org/show_bug.cgi?id=CVE-2017-5754
暂无
FreeBSD所有 X64未发布  未修复  未更新https://www.freebsd.org/news/newsflash.html#event20180104:01 暂无
n++ak\  
  • 由于当前大多数厂商还未发布补丁,阿里云建议您按照安全最佳实践做好安全加固和防护措施,防止被攻击者利用;
  • 目前发现Linux系统执行修补后可能造成一定程度的性能影响,该漏洞只能通过本地提权操作才能获取敏感信息。为了确保业务的稳定性,请用户根据自身业务情况决定是否需要升级修复漏洞,修补前请做好业务验证及必要的数据备份。
b"td]H3h  
g~9rt_OV  
{A ,w%  
情报来源: y9@j-m&  
>OjK0jiPf  
j3+ hsA/(k  
=\i%,YY  
I'n}6D.M  
 =mcQe^M  
xa?auv!  
,|zwY~l t5  
/=#~8  
&h6 `hP_  
]*)l_mut7  
C\{hN  
W_/$H_04+  
YF;2jl Nm  
mL;oR4{  
1guiuR4  
9&B #@cw  
.ubZ  
_IxYnm`pc  
6*|EB|%n  
l[WX77bp=  
+^rt48${ y  
L0%W;m  
?AI`,*^  
=gd~rk9  
-"2%+S{  
nx{X^oc8e  
Yfz`or\@=  
00Ye ]j_  
/kO%aN  
k$7Kz"  
v//Drj  
J~ z00p`E  
f/,8sGkX;  
.=Uu{F  
[ 此帖被正禾在2018-01-20 13:16重新编辑 ]
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您在写长篇帖子又不马上发表,建议存为草稿
 
验证问题: ECS是阿里云提供的什么服务? 正确答案:云服务器
上一个 下一个