一
漏洞背景和影響
1月4日，國外安全研究機構(gòu)公布了兩組CPU漏洞：
Meltdown（熔斷），對應漏洞CVE-2017-5754；
Spectre（幽靈），對應漏洞CVE-2017-5753/CVE-2017-5715。
由于漏洞嚴重而且影響范圍廣泛，引起了全球的關(guān)注。利用Meltdown漏洞，低權(quán)限用戶可以訪問內(nèi)核的內(nèi)容，獲取本地操作系統(tǒng)底層的信息；當用戶通過瀏覽器訪問了包含Spectre惡意利用程序的網(wǎng)站時，用戶的如賬號，密碼，郵箱等個人隱私信息可能會被泄漏；在云服務(wù)場景中，利用Spectre可以突破用戶間的隔離，竊取其他用戶的數(shù)據(jù)。Meltdown漏洞影響幾乎所有的Intel CPU和部分ARM CPU，而Spectre則影響所有的Intel CPU和AMD CPU，以及主流的ARM CPU。從個人電腦、服務(wù)器、云計算機服務(wù)器到移動端的智能手機，都受到這兩組硬件漏洞的影響。
這兩組漏洞來源于芯片廠商為了提高CPU性能而引入的新特性。現(xiàn)代CPU為了提高處理性能，會采用亂序執(zhí)行(Out-of-Order Execution)和預測執(zhí)行(SpeculativePrediction)。亂序執(zhí)行是指CPU并不是嚴格按照指令的順序串行執(zhí)行，而是根據(jù)相關(guān)性對指令進行分組并行執(zhí)行，最后匯總處理各組指令執(zhí)行的結(jié)果。預測執(zhí)行是CPU根據(jù)當前掌握的信息預測某個條件判斷的結(jié)果，然后選擇對應的分支提前執(zhí)行。亂序執(zhí)行和預測執(zhí)行在遇到異?；虬l(fā)現(xiàn)分支預測錯誤時，CPU會丟棄之前執(zhí)行的結(jié)果，將 CPU的狀態(tài)恢復到亂序執(zhí)行或預測執(zhí)行前的正確狀態(tài)，然后選擇對應正確的指令繼續(xù)執(zhí)行。這種異常處理機制保證了程序能夠正確的執(zhí)行，但是問題在于，CPU恢復狀態(tài)時并不會恢復CPU緩存的內(nèi)容，而這兩組漏洞正是利用了這一設(shè)計上的缺陷進行測信道攻擊。
二
漏洞原理解析
1、Meltdown漏洞原理
亂序執(zhí)行可以簡單的分為三個階段，如下圖所示：
每個階段執(zhí)行的操作如下：
1）獲取指令，解碼后存放到執(zhí)行緩沖區(qū)Reservations Stations
2）亂序執(zhí)行指令，結(jié)果保存在一個結(jié)果序列中
3）退休期Retired Circle，重新排列結(jié)果序列及安全檢查（如地址訪問的權(quán)限檢查），提交結(jié)果到寄存器
結(jié)合Meltdown利用的代碼片段來看：
; rcx = kernel address
; rbx = probe array
1 mov al, byte [rcx]
2 shl rax, 0xc
3 mov rbx, qword [rbx rax]
Meltdown漏洞的利用過程有4個步驟：
1) 指令獲取解碼
2) 亂序執(zhí)行3條指令，指令2和指令3要等指令1中的讀取內(nèi)存地址的內(nèi)容完成后才開始執(zhí)行，指令3會將要訪問的rbx數(shù)組元素所在的頁加載到CPU Cache中。
3) 對2)的結(jié)果進行重新排列，對1-3條指令進行安全檢測，發(fā)現(xiàn)訪問違例，會丟棄當前執(zhí)行的所有結(jié)果，恢復CPU狀態(tài)到亂序執(zhí)行之前的狀態(tài)，但是并不會恢復CPU Cache的狀態(tài)
4) 通過緩存測信道攻擊，可以知道哪一個數(shù)組元素被訪問過，也即對應的內(nèi)存頁存放在CPU Cache中，從而推測出內(nèi)核地址的內(nèi)容
2、Spectre漏洞原理
與Meltdown類似，Spectre的原理是，當CPU發(fā)現(xiàn)分支預測錯誤時會丟棄分支執(zhí)行的結(jié)果，恢復CPU的狀態(tài)，但是不會恢復CPU Cache的狀態(tài)，利用這一點可以突破進程間的訪問限制（如瀏覽器沙箱）獲取其他進程的數(shù)據(jù)。
Spectre的利用代碼片段：
if (x < array1_size) {
y = array2[array1[x] * 256];
// do something using Y that is
// observable when speculatively executed
}
具體攻擊過程可以分為三個階段：
1）訓練CPU的分支預測單元使其在運行利用代碼時會進行特定的預測執(zhí)行
2）預測執(zhí)行使得CPU將要訪問的地址的內(nèi)容讀取到CPU Cache中
3) 通過緩存測信道攻擊，可以知道哪一個數(shù)組元素被訪問過，也即對應的內(nèi)存頁存放在CPU Cache中，從而推測出地址的內(nèi)容。
三
漏洞驗證
目前開源社區(qū)github已經(jīng)放出來了漏洞的驗證代碼（PoC），如下：
https://github.com/Eugnis/spectre-attack
https://github.com/feruxmax/meltdown
https://github.com/gkaindl/meltdown-poc
https://github.com/turbo/KPTI-PoC-Collection
經(jīng)過我們和其他安全研究人員實際驗證，漏洞可在Windows、Linux、Mac-OS等操作系統(tǒng)下，成功讀取任意指定內(nèi)存地址的內(nèi)容，如下圖所示：
Windows：
Ubuntu 16.04：
此外，有安全研究人員驗證了可以通過漏洞獲取到用戶正在輸入的密碼，不過暫未放出相關(guān)代碼。如下圖所示：
四
漏洞修復進展
針對這兩組漏洞，各家芯片廠商，操作系統(tǒng)廠商，瀏覽器廠商，以及云服務(wù)廠商，都積極采取措施，發(fā)布安全公告，并及時推出緩解措施和修復補丁。
1、芯片廠商
1.1 Intel
Intel已經(jīng)確認自身CPU中存在相關(guān)問題，并正與包括AMD、ARM和多家操作系統(tǒng)廠商在內(nèi)的許多其他科技公司緊密合作，制定行業(yè)范圍的方法，以便及時和建設(shè)性地解決這些漏洞。另外Intel認為有些媒體里面的報道并不準確，這些問題不僅僅Intel，其他廠商的CPU中也存在相關(guān)問題。這些問題的修復對性能的影響和具體的工作場景相關(guān)，對一般用戶而言，影響并不顯著，而且隨著時間的推移這些影響都會得到緩解。
Intel已經(jīng)提供軟件和固件更新以解決這些漏洞，預計下周末之前會修復最近5年中90%的CPU。Intel的安全公告如下：
https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr
https://newsroom.intel.com/news/intel-responds-to-security-research-findings/
https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/
https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html
1.2 ARM
ARM確認大部分處理器不受漏洞影響，但給出了一個受影響的處理器列表。ARM認為，利用這些漏洞進行攻擊需要在本地運行惡意軟件，用戶及時更新軟件和不點擊來歷不明的鏈接會降低攻擊風險。針對linux上的程序，ARM提供了新編譯器，可用新編譯器重新編譯。另外發(fā)布了Linux ARM內(nèi)核補丁，用于修補漏洞，相關(guān)頁面如下：
https://developer.arm.com/support/security-update/download-the-whitepaper
https://developer.arm.com/support/security-update
1.3 AMD
AMD針對每個漏洞做了回復，第一個漏洞由軟件、操作系統(tǒng)廠商發(fā)布補丁解決，性能影響非常輕微，其他兩個漏洞由于AMD CPU特殊的架構(gòu)，都不受影響。具體如下：
https://www.amd.com/en/corporate/speculative-execution
2、操作系統(tǒng)
2.1 Windows
微軟已經(jīng)發(fā)布了安全通告，修復了IE、Edge、Windows內(nèi)核中相關(guān)問題，并針對普通用戶、服務(wù)器用戶、云用戶各自給出了防護指南。
微軟普通用戶：
https://support.microsoft.com/help/4073119
服務(wù)器用戶：
https://support.microsoft.com/help/4072698
云用戶：
https://support.microsoft.com/help/4073235
微軟安全通告：
https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2.2 Linux
Linux內(nèi)核開發(fā)者Thomas Gleixner在2017年12月在Linux內(nèi)核郵件列表中就新的KAISER隔離補丁發(fā)布了說明。目前有人懷疑這批補丁可能正是為了解決Linux系統(tǒng)當中的Metldown與Spectre漏洞。具體如下：
https://lkml.org/lkml/2017/12/4/709
2.3 RedHat
紅帽公司已經(jīng)發(fā)布一項建議，其中列出受到影響的產(chǎn)品及其當前狀態(tài)。建議內(nèi)容表明：對于正在運行受影響版本產(chǎn)品的紅帽客戶，強烈建議用戶盡快根據(jù)指導清單進行更新。所有受影響產(chǎn)品都應安裝修復補丁，借以緩解CVE-2017-5753 (變種1)與CVE-2017-5754 (變種3)漏洞。CVE-2017-5715(變種2)可通過本地以及虛擬訪客邊界兩種方式被加以利用。具體如下：
https://access.redhat.com/security/vulnerabilities/speculativeexecution?sc_cid=701f2000000tsLNAAY&
2.4 安卓
Android團隊于2018年1月更新了安全通告：CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754為已經(jīng)得到公開披露的一系列與處理器內(nèi)推測執(zhí)行相關(guān)的漏洞。Android尚未發(fā)現(xiàn)任何在基于ARM的Android設(shè)備之上重現(xiàn)上述漏洞以進行的未授權(quán)信息泄露行為。為了提供額外的保護措施，本公告當中包含的CVE-2017-13218更新減少了對高精度定時器的訪問，旨在限制旁路攻擊（例如CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754）所有已知變種對ARM處理器的影響。具體如下：
https://source.android.com/security/bulletin/2018-01-01
3、瀏覽器
利用漏洞在瀏覽器中進行攻擊依賴于新特性SharedArrayBuffer和用于高精度時間計算的函數(shù)performance.now。各個瀏覽器表示都采取了以下兩個緩解措施：
移除瀏覽器中可用于攻擊的SharedArrayBuffer特性
降低用于高精度時間計算的函數(shù)performance.now的精確性
加上這兩個緩解措施后，JS版本的漏洞PoC代碼將無法觸發(fā)：
3.1 Microsoft Edge
微軟已經(jīng)發(fā)布了瀏覽器補?。?div style="height:15px;">
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
3.2 FireFox
Mozilla從FireFox 57版本開始采取了這兩個緩解措施：
https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/
3.3 Chrome
谷歌從Chrome 64版本開始采取了這兩個緩解措施：
https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html
4、云服務(wù)廠商
4.1 Amazon
Amazon方面已經(jīng)發(fā)布一項安全公告，指出：此項安全漏洞廣泛存在于過去20年推出的英特爾、AMD以及ARM等各類現(xiàn)代處理器架構(gòu)當中，影響范圍涵蓋服務(wù)器、臺式機以及移動設(shè)備。Amazon EC2體系中除極少數(shù)實例外，其余皆受到嚴格保護。剩余部分的修復工作將在接下來數(shù)小時內(nèi)完成，并附有相關(guān)實例維護通知。雖然AWS所執(zhí)行的更新能夠切實保護底層基礎(chǔ)設(shè)施，但為了充分解決此次問題，客戶還應對實例中的操作系統(tǒng)進行修復。目前Amazon Linux更新已經(jīng)開始發(fā)布，具體如下：
https://aws.amazon.com/security/security-bulletins/AWS-2018-013/
4.2 阿里云
為解決處理器芯片的安全問題，阿里云將在北京時間2018年1月12日凌晨1點進行虛擬化底層的升級更新。屆時，阿里云將采用熱升級的方式，絕大多數(shù)客戶不會受到影響。但個別客戶可能需要手動重啟，阿里云建議客戶提前準備運營預案及數(shù)據(jù)備份。
4.3 騰訊云
騰訊云將于北京時間2018年1月10日凌晨01:00-05:00通過熱升級技術(shù)對硬件平臺和虛擬化平臺進行后端修復，期間客戶業(yè)務(wù)不會受到影響。對于極少量不支持熱升級方式的，騰訊云另行安排時間手動重啟修復，這部分服務(wù)器騰訊云安全團隊將會另行進行通知，協(xié)商升級時間。
五
漏洞修復存在的問題
由于漏洞是芯片底層設(shè)計上的缺陷導致的，修復起來會非常復雜，同時難以完美修復。從目前的情況來看，漏洞很難通過CPU微碼修復，更多是依賴于OS級的修復程序。
修復程序本身也存在諸多問題。以Windows 10為例，微軟于北京時間1月4號凌晨緊急發(fā)布了1月份系統(tǒng)安全更新，但補丁存在明顯的性能和兼容性的問題：
更新可能會讓受影響的系統(tǒng)性能下滑30%
更新可能會導致部分軟件（安全軟件等）不兼容從而系統(tǒng)藍屏
出于兼容性考慮，Windows Update并不會在所有的電腦環(huán)境中進行自動更新，而是在其認為軟件比較兼容的情況下 才會進行自動更新。另外，對于有需要更新的用戶，可以通過下載微軟相關(guān)補丁包，進行手動運行修復安全威脅。
根據(jù)我們的實際測試，性能問題對于普通用戶來說，影響并不大：只有在極端的測試下，才會出現(xiàn)明顯的性能問題；而正常的使用過程中一般不會出現(xiàn)。但是兼容性問題確實比較嚴重：在有安全軟件，以及一些游戲的電腦上，安裝補丁比較容易出現(xiàn)藍屏現(xiàn)象。這也使得我們和其他安全廠商采取了比較保守的策略，暫時不主動推送微軟的補丁，避免造成用戶電腦無法正常使用。
六
漏洞對普通用戶的影響
雖然漏洞影響范圍廣泛，并引起全球關(guān)注，但受影響最大的主要是云服務(wù)廠商，對于普通用戶來說，大可不必過于恐慌。
首先，雖然漏洞細節(jié)以及PoC已經(jīng)公開，但是并不能直接運用于攻擊。漏洞運用于真實攻擊還有許多細節(jié)問題需要解決，目前也沒有一個穩(wěn)定通用，同時可以造成明顯嚴重后果（竊取賬號密碼等）的漏洞利用代碼；
其次，我們和其他安全廠商目前也還沒有監(jiān)控到利用這些漏洞進行的真實攻擊，一旦出現(xiàn)真實攻擊，我們將第一時間跟進，確保用戶安全；
另外，對于普通用戶而言，漏洞可造成的主要危害在于用瀏覽器訪問了一個帶有漏洞利用代碼的網(wǎng)頁，導致敏感信息（賬號密碼等）泄露。只要養(yǎng)成良好的上網(wǎng)習慣，不輕易點擊陌生人發(fā)來的鏈接，基本不會受到漏洞影響；同時，瀏覽器針對漏洞發(fā)布的補丁和緩解措施簡單有效，而且不會造成性能下降或兼容性問題，用戶可以選擇將瀏覽器升級到最新版本，從而避免受到漏洞攻擊。
七
結(jié)語
這些漏洞未來一段時間內(nèi)仍然是各界關(guān)注的重點，騰訊電腦管家安全團隊將對漏洞動態(tài)保持持續(xù)關(guān)注，同時對漏洞做更加深入的分析和研究，從而為廣大用戶提供更加準確的參考信息，以及更加可靠的解決方案。
