安全研究人员发现第四个CPU缺陷

安全研究人员已发现2018年1月在现代微处理器芯片中报道的投机执行缺陷的第四种变体。

由于芯片使用的推测执行过程，缺陷允许读取芯片的数据，以期望用户在加速性能下，用户可能会做的事情。

最新的缺陷被称为投机储存旁路或变型4，因为它与幽灵（变体1和2）和熔化（变体3）缺陷有关。

根据美国电脑紧急准备团队（CERT），变体4是一种漏洞，它利用“投机性旁路”。

当被剥削时，变体4可以允许攻击者在中央处理单元（CPU）堆栈或其他存储器位置中读取较旧的存储器值。

虽然实施很复杂，但美国证书表示此侧通道漏洞可能允许更少的特权代码来读取任意特权数据并引用较旧的命令，从而导致可通过标准侧通道方法抵消数据的缓存分配。

美国证书还提到了变体3A，这是另一个新发现的漏洞，其可以通过侧信道分析来允许攻击者通过侧信道分析并获得敏感信息。

Microsoft和Alphabet的谷歌的安全研究人员披露了Variant 4，虽然缺陷会影响来自英特尔，高级微设备（AMD）和SoftBank Group的Arm Holdings的许多筹码，但研究人员将风险描述为低位。

虽然对缺陷的开发将允许未经授权的读访问几乎任何现代处理器的内存，但据报道，风险很低，因为颁发的普通Web浏览器的补丁发布到地址幽灵大大增加了与新发现的缺陷进行攻击的难度，如此到英特尔和微软研究人员。

然而，一些安全评论员已经注意到，虽然它会采取本地用户和一些努力利用这个洞，但这不是不可能的。

来自英特尔，AMD和ARM的芯片都有可用的补丁，即未来几周将在未来几周内发布，包括支持新发现的缺陷，无论是通过芯片制造商还是通过Microsoft等软件供应商

英特尔表示，它预计斑块的性能放缓介于2％至8％之间，ARM表示预计它的放缓介于1％和2％之间。

然而，英特尔说，由于攻击的风险低，它会默认运送其补丁，而AMD建议离开贴片由于路透社的难度，根据路透社。

安全问题似乎没有受影响的芯片制造商的股票价格，新闻代理报告，自同年年初以来，英特尔股价上涨近16％，达到54.32美元，而AMD股价上涨18.3％至12.99美元。

尽管芯片制造商贬低了新发现的缺陷的风险，但一些安全专家建议组织一旦可用的产品就适用硬件和软件更新。

2018年1月，英国信息专员办公室（ICO）呼吁组织应用安全更新，以尽快解决微处理器缺陷的缓解，以保护个人数据。

ico警告说，未能应用操作系统软件更新以减轻熔点和幽灵可能会出现风险的个人数据。

缓解是组织可以做的，以保护自己免受这些缺陷的利用，直到所有主要的芯片制造商都找到替代，更安全的促进芯片性能的方式，而不是使用普遍存在的漏洞列表的推测执行。