PDF《TC260-PG-20181A》

TC260-PG-20181A 网络安全实践指南 ―CPU 熔断和幽灵漏洞防范指引 全国信息安全标准化技术委员会秘书处

2018 年1月16 日 本文档可从以下网址获得: http://www.

tc260.org.cn/front/postDetail.html?id=20180116090719 I 前言《网络安全实践指南》(以下简称 实践指南 )是全国 信息安全标准化技术委员会(以下简称 信安标委 ,TC260) 发布的技术文件.实践指南旨在推广网络安全标准,应对网 络安全事件,改善网络安全状况,提高网络安全意识. 本实践指南是在分析总结相关厂商针对 CPU 熔断和幽 灵漏洞发布的安全公告和漏洞补丁的基础上,通过研究提炼 形成的,可为漏洞防范提供指引. II 声明本实践指南版权属于全国信息安全标准化技术委员会. 未经委员会书面授权,不得以任何方式复制、抄袭、影印、 翻译本指南的任何部分. 凡转载或引用本指南的观点、 数据, 请注明 来源:全国信息安全标准化技术委员会 . 全国信息安全标准化技术委员会不承担对厂商所提供 的补丁进行有效性验证的责任. 技术支持单位 本实践指南得到中标软件、

360、华为技术、龙芯中科、华 芯通、阿里云、百度云、腾讯、普华软件、中科曙光、成都海光、 神州网信、天津麒麟、安恒等单位的技术支持. III 摘要本实践指南分析总结了CPU、操作系统和云服务提供商 等厂商针对熔断(Meltdown)和幽灵(Spectre)漏洞提供的 缓解措施,给出了漏洞防范指引,并提供了部分厂商的官方 安全公告和补丁链接.建议用户参考本实践指南给出的漏洞 防范指引,及时采取安全措施应对安全威胁. 关键词:网络安全;

熔断漏洞;

幽灵漏洞;

防范指引

1

一、漏洞描述 本实践指南应对的两个CPU 漏洞分别为熔断(Meltdown,CNVD-2018-00303,对应CVE-2017-5754)和 幽灵漏洞 (Spectre, CNVD-2018-00302 和CNVD-2018-00304, 分别对应CVE-2017-5715 和CVE-2017-5753).熔断漏洞利 用CPU乱序执行技术的设计缺陷,破坏了内存隔离机制,使 恶意程序可越权访问操作系统内存数据,造成敏感信息泄 露.幽灵漏洞利用了CPU推测执行技术的设计缺陷,破坏了 不同应用程序间的逻辑隔离,使恶意应用程序可能获取其它 应用程序的私有数据,造成敏感信息泄露. 熔断漏洞涉及几乎所有的Intel CPU和部分ARM CPU;

幽灵漏洞涉及所有的Intel CPU、AMD CPU,以及部分ARM CPU. 由于上述漏洞来源于硬件,需要从CPU架构和指令执行 机理层面进行修复. 上述漏洞只能读取数据, 不能修改数据, 远程利用难度较大,尚未监测到利用上述漏洞的真实攻击案 例.

二、风险分析 1. 漏洞风险分析 云服务提供商、服务器用户、云租户和个人用户均可能 受到熔断和幽灵漏洞的威胁.其中云平台和部署在互联网环 境下的服务器受攻击的风险更大.

2 (1)云服务提供商.云服务提供商包括公有云和私有 云服务提供商.在云环境中,攻击者以云租户身份,可利用 熔断或幽灵漏洞,绕过虚拟化平台内存隔离机制,直接访问 虚拟化平台的内存,窃取平台敏感信息(如口令、密钥等), 进一步获得管理员权限,可实现对整个云平台的控制. (2)服务器用户.攻击者可利用熔断或幽灵漏洞,绕 过服务器操作系统提供的安全隔离机制,直接访问服务器操 作系统的内核空间,窃取内核敏感信息(如口令、密钥等), 进一步获得管理员权限,可实现对整个服务器的控制. (3)云租户.攻击者以云租户身份,可利用幽灵漏洞 攻击云平台,绕过云平台提供的内存隔离机制,越权访问其 他租户私有数据,可能导致其他租户敏感信息泄漏. (4) 个人用户. 攻击者通过恶意脚本 (如恶意JavaScript) 攻击用户浏览器,可读取个人用户的浏览器数据,导致用户 账号、密码、邮箱、cookie等信息泄漏.该恶意脚本可能是 个人用户通过浏览器访问恶意网站时,下载到本地执行并感 染的. 目前,熔断和幽灵漏洞的利用代码已披露,但尚未监测 到利用这两类漏洞的真实攻击案例.主流厂商已开始积极应 对, 纷纷推出漏洞补丁, 主流云服务提供商也已经评估风险, 并按计划进行升级.