Meltdown和Spectre误差清静通告及补丁大全
宣布时间 2018-01-09
克日 ，Google的Project Zero团队揭晓新闻称 ，他们发明了Meltdown（熔断 ，CVE-2017-5754）和Spectre（幽灵 ，CVE-2017-5753/CVE-2017-5715）两个CPU级别的误差。相关误差使用了芯片硬件层面执行加速机制的设计缺陷实现侧信道攻击 ，可以间接通过CPU缓存读取系统内存数据。此次被曝光的误差波及规模广 ，险些全球所有的盘算装备都受影响 ，已经引起天下规模内的普遍关注。虽然目今尚未有使用这两个误差举行攻击的事务转达 ，酷游官网天镜误差研究团队提醒宽大客户防患于未然 ，实时修补误差。
Meltdown误差影响险些所有的Intel CPU和部分ARM CPU ，而Spectre则影响所有的Intel CPU和AMD CPU ，以及主流的ARM CPU。两组误差影响的操作系统涵盖现在险些所有盘算装备。包括Windows ，Android ，MacOS ，IOS ，Linux（Red hat/Debian/Ubuntu/Suse）等。为了清静起见 ，市面上所有的服务器、小我私家电脑、手机等都需要升级应对。但同时也要看到这个误差使用有一定的门槛 ，纵然使用乐成 ，也只能让攻击者窃取敏感数据 ，不可提权和控制主机。幽灵误差对多租户下的云服务系统影响较量大 ，攻击者在云平台通过外地的通俗的会见权限就可以读取云平台的敏感信息 ，为进一步获得更高的权限和获得神秘数据提供了可能。另外思量到升级了CPU和操作系统之后陪同的性能下降 ，差别用户可以评估自己的情形来做出决议。建议小我私家用户主要升级操作系统补丁及浏览器版本。
针对这两组误差 ，各家芯片厂商 ，操作系统厂商 ，浏览器厂商 ，以及云服务厂商 ，都起劲接纳步伐 ，宣布清静通告 ，并实时推出缓解步伐和修复补丁。鉴于此两组误差影响面重大 ，查找各个厂商的清静通告和产品补丁下载地址相当繁琐 ，酷游官网天镜误差研究团队特为您知心整理相关信息如下：
（网络信息阻止到2018年1月8日 ，各厂商将继续推出清静更新和补丁信息 ，酷游官网天镜误差研究团队会继续坚持亲近关注 ，一连更新本文档 ，宽大客户可从酷游官网官网获取www.venustech.com.cn）
1. Intel
Intel已经确认1995年以后生产的所有处置惩罚器芯片中保存相关问题 ，将提供软件和固件更新以解决这些误差。包括：
Intel的清静通告如下：
https://newsroom.intel.com/news/intel-responds-to-security-research-findings/
https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/
https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html
2. AR
ARM确认大部分处置惩罚器不受误差影响 ，但给出了一个受影响的处置惩罚器列表。
https://developer.arm.com/support/security-update
2)补丁链接
针对linux上的程序 ，ARM提供了新编译器 ，可用新编译重视新编译。另外宣布了Linux ARM内核补丁 ，用于修补误差：
https://git.kernel.org/pub/scm/linux/kernel/git/arm64/linux.git/log/?h=kpti
3. AMD
清静通告
AMD针对每个误差做了回复 ，第一个误差由软件、操作系统厂商宣布补丁解决 ，性能影响很是稍微 ，其他两个误差由于AMD CPU特殊的架构 ，都不受影响。详细如下：
https://www.amd.com/en/corporate/speculative-execution
4. Nvidia
1)清静通告
Nvidia已经宣布了清静通告,推荐有关的驱动程序或软件包更新给予指导。通告如下：
https://www.nvidia.com/en-us/product-security/
2)补丁链接
详细的补丁链接如下：
1. Windows
1）清静通告
微软已经宣布了清静通告 ，修复了IE、Edge、Windows内核中相关问题。
微软清静通告：
https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2）Windows受影响产品包括：
1. Windows 10
2. Windows 8
3. Windows 8.1
4. Windows 7
5. Windows Vista
6. Windows XP
7. Windows Server 2003
8. Windows Server 2008
9. Windows Server 2012
10. Windows Server 2012 R2
3）补丁链接
2. Linux
Linux内核开发者Thomas Gleixner在2017年12月在Linux内核邮件列表中就新的KAISER隔离补丁宣布了说明。现在有人嫌疑这批补丁可能正是为相识决Linux系统当中的Metldown与Spectre 误差。详细如下：
https://lkml.org/lkml/2017/12/4/709
3. RedHat
1）清静通告
红帽公司已经宣布一项建议 ，其中列出受到影响的产品及其目今状态。建议内容批注：关于正在运行受影响版本产品的红帽客户 ，强烈建议用户尽快凭证指导清单举行更新。所有受影响产品都应装置修复补丁 ，借以缓解CVE-2017-5753 (变种1)与 CVE-2017-5754 (变种3)误差。CVE-2017-5715 (变种2)可通过外地以及虚拟访客界线两种方法被加以使用。详细如下：
https://access.redhat.com/security/vulnerabilities/speculativeexecution
2）补丁链接
1）清静通告
SUSE就SLE 与 openSUSE应对Meltdown 和 Spectre CPU误差宣布声明 ，SUSE Enterprise Linux（SLE）和OpenSuSE（Leap and Tumbleweed）也受到这些严重的硬件过失的影响 ，这些过失可能会使非特权的攻击者使用恶意应用程序从内核内存中窃取敏感数据 。openSUSE Leap 42.2和openSUSE Leap 42.3用户即将收到与SUSE Linux Enterprise 12相同的内核更新。另一方面 ，openSUSE开发职员现在正在将新补丁程序移植到openSUSE Tumbleweed接纳站。
清静通告地址如下：
https://www.suse.com/support/kb/doc/?id=7022512
2）CVE-2017-5754补丁链接
https://www.suse.com/security/cve/CVE-2017-5754/
4）CVE-2017-5753补丁链接
https://www.suse.com/security/cve/CVE-2017-5753/
5）CVE-2017-5715补丁链接
https://www.suse.com/security/cve/CVE-2017-5715/
4. Ubuntu
1）清静通告
https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown
2）补丁妄想
妄想1月9日宣布内核补丁 ，版本号如下：
5. Fedora
清静更新
宣布了清静更新 ，包括对CVE-2017-5754 (Meltdown)的修补 ，CVE-2017-5753和CVE-2017-5715（Spectre）的补丁后续会推出：
https://bodhi.fedoraproject.org/updates/kernel-4.14.11-300.fc27
6. Debian
1）清静更新
宣布了清静更新 ，包括对CVE-2017-5754 (Meltdown)的修补 ，CVE-2017-5753和CVE-2017-5715（Spectre）的补丁后续会推出：：
https://www.debian.org/security/2018/dsa-4078
https://security-tracker.debian.org/tracker/CVE-2017-5754
2）补丁包
7. macOS/IOS
清静更新
苹果在12月6日宣布的 macOS 10.13.2以及为旧系统推出的清静更新 ，已包括“Meltdown”误差修补。1月8日苹果公司宣布iOS 11.2.2正式版更新 ，主要修复了 Safari 浏览器的 Spectre 清静误差（CVE-2017-5753 and CVE-2017-5715）：
8. VMware
1）清静通告
VMware已经宣布了清静通告,推荐有关的驱动程序或软件包更新给予指导。通告如下：
https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html
2）补丁链接
详细的补丁情形如下：
9. Xen
清静通告
Xen已经宣布了清静通告,推荐有关的驱动程序或软件包更新给予指导。通告如下：
https://xenbits.xen.org/xsa/advisory-254.html
10. Amonzon
清静通告
Amazon方面已经宣布一项清静通告 ，指出：此项清静误差普遍保存于已往20年推出的英特尔、AMD以及ARM等种种现代处置惩罚器架构当中 ，影响规模涵盖服务器、台式机以及移动装备。Amazon EC2系统中除少少数实破例 ，其余皆受到严酷�；�。剩余部分的修复事情将在接下来数小时内完成 ，并附有相关实例维护通知。虽然AWS所执行的更新能够切实�；さ撞慊∩枋� ，但为了充分解决此次问题 ，客户还应对实例中的操作系统举行修复。现在Amazon Linux更新已经最先宣布 ，详细如下：
https://aws.amazon.com/security/security-bulletins/AWS-2018-013/
11. ChromeOS
清静通告
https://support.google.com/faqs/answer/7622138#chromeos
12. 安卓
清静通告
Android团队于2018年1月更新了清静通告：CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754为已经获得果真披露的一系列与处置惩罚器内推测执行相关的误差。Android尚未发明任何在基于ARM的Android装备之上重现上述误差以举行的未授权信息泄露行为。为了提供特另外�；げ椒� ，本通告当中包括的CVE-2017-13218更新镌汰了对高精度准时器的会见 ，旨在限制旁路攻击（例如CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754）所有已知变种对ARM处置惩罚器的影响。详细如下：
https://source.android.com/security/bulletin/2018-01-01
1. IE/Edge
1）清静通告
微软清静通告：
https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2）补丁链接
Internet Explorer 9-11补丁号kb4056568 ，
下载地址:
http://www.catalog.update.microsoft.com/search.aspx?q=kb4056568
3）Edge补丁下载地址:
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056893
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056888
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056891
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892
2. Mozilla
1）清静通告
Firefox 57.0.4修正版本修复了著名的两个英特尔CPU误差带来的清静性问题 ，推荐所有57版本用户实时升级。通告如下：
https://www.mozilla.org/en-US/security/advisories/mfsa2018-01/
2）补丁链接
补丁下载地址：
https://download-installer.cdn.mozilla.net/pub/firefox/releases/57.0.4/
3. Safari
清静更新
1月8日苹果公司宣布iOS 11.2.2正式版更新 ，主要修复了 Safari 浏览器的 Spectre 清静误差（CVE-2017-5753 and CVE-2017-5715） ，如需相识更新的清静性内容 ，请会见此网站：
https://support.apple.com/zh-cn/HT201222
4. SQLserver
1）清静通告
微软清静通告：
https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2）补丁链接：
SQL Server 2016 SP1补丁下载地址：
https://www.microsoft.com/en-us/download/details.aspx?id=54613
Meltdown误差影响险些所有的Intel CPU和部分ARM CPU ，而Spectre则影响所有的Intel CPU和AMD CPU ，以及主流的ARM CPU。两组误差影响的操作系统涵盖现在险些所有盘算装备。包括Windows ，Android ，MacOS ，IOS ，Linux（Red hat/Debian/Ubuntu/Suse）等。为了清静起见 ，市面上所有的服务器、小我私家电脑、手机等都需要升级应对。但同时也要看到这个误差使用有一定的门槛 ，纵然使用乐成 ，也只能让攻击者窃取敏感数据 ，不可提权和控制主机。幽灵误差对多租户下的云服务系统影响较量大 ，攻击者在云平台通过外地的通俗的会见权限就可以读取云平台的敏感信息 ，为进一步获得更高的权限和获得神秘数据提供了可能。另外思量到升级了CPU和操作系统之后陪同的性能下降 ，差别用户可以评估自己的情形来做出决议。建议小我私家用户主要升级操作系统补丁及浏览器版本。
针对这两组误差 ，各家芯片厂商 ，操作系统厂商 ，浏览器厂商 ，以及云服务厂商 ，都起劲接纳步伐 ，宣布清静通告 ，并实时推出缓解步伐和修复补丁。鉴于此两组误差影响面重大 ，查找各个厂商的清静通告和产品补丁下载地址相当繁琐 ，酷游官网天镜误差研究团队特为您知心整理相关信息如下：
（网络信息阻止到2018年1月8日 ，各厂商将继续推出清静更新和补丁信息 ，酷游官网天镜误差研究团队会继续坚持亲近关注 ，一连更新本文档 ，宽大客户可从酷游官网官网获取www.venustech.com.cn）
硬件
1. Intel
Intel已经确认1995年以后生产的所有处置惩罚器芯片中保存相关问题 ，将提供软件和固件更新以解决这些误差。包括：
Intel的清静通告如下：
清静通告
https://newsroom.intel.com/news/intel-responds-to-security-research-findings/
https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/
https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html
2. AR
ARM确认大部分处置惩罚器不受误差影响 ，但给出了一个受影响的处置惩罚器列表。
1)清静通告
https://developer.arm.com/support/security-update
2)补丁链接
针对linux上的程序 ，ARM提供了新编译器 ，可用新编译重视新编译。另外宣布了Linux ARM内核补丁 ，用于修补误差：
https://git.kernel.org/pub/scm/linux/kernel/git/arm64/linux.git/log/?h=kpti
3. AMD
清静通告
AMD针对每个误差做了回复 ，第一个误差由软件、操作系统厂商宣布补丁解决 ，性能影响很是稍微 ，其他两个误差由于AMD CPU特殊的架构 ，都不受影响。详细如下：
https://www.amd.com/en/corporate/speculative-execution
4. Nvidia
1)清静通告
Nvidia已经宣布了清静通告,推荐有关的驱动程序或软件包更新给予指导。通告如下：
https://www.nvidia.com/en-us/product-security/
2)补丁链接
详细的补丁链接如下：
操作系统
1. Windows
1）清静通告
微软已经宣布了清静通告 ，修复了IE、Edge、Windows内核中相关问题。
微软清静通告：
https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2）Windows受影响产品包括：
1. Windows 10
2. Windows 8
3. Windows 8.1
4. Windows 7
5. Windows Vista
6. Windows XP
7. Windows Server 2003
8. Windows Server 2008
9. Windows Server 2012
10. Windows Server 2012 R2
3）补丁链接
2. Linux
Linux内核开发者Thomas Gleixner在2017年12月在Linux内核邮件列表中就新的KAISER隔离补丁宣布了说明。现在有人嫌疑这批补丁可能正是为相识决Linux系统当中的Metldown与Spectre 误差。详细如下：
https://lkml.org/lkml/2017/12/4/709
3. RedHat
1）清静通告
红帽公司已经宣布一项建议 ，其中列出受到影响的产品及其目今状态。建议内容批注：关于正在运行受影响版本产品的红帽客户 ，强烈建议用户尽快凭证指导清单举行更新。所有受影响产品都应装置修复补丁 ，借以缓解CVE-2017-5753 (变种1)与 CVE-2017-5754 (变种3)误差。CVE-2017-5715 (变种2)可通过外地以及虚拟访客界线两种方法被加以使用。详细如下：
https://access.redhat.com/security/vulnerabilities/speculativeexecution
2）补丁链接
1）清静通告
SUSE就SLE 与 openSUSE应对Meltdown 和 Spectre CPU误差宣布声明 ，SUSE Enterprise Linux（SLE）和OpenSuSE（Leap and Tumbleweed）也受到这些严重的硬件过失的影响 ，这些过失可能会使非特权的攻击者使用恶意应用程序从内核内存中窃取敏感数据 。openSUSE Leap 42.2和openSUSE Leap 42.3用户即将收到与SUSE Linux Enterprise 12相同的内核更新。另一方面 ，openSUSE开发职员现在正在将新补丁程序移植到openSUSE Tumbleweed接纳站。
清静通告地址如下：
https://www.suse.com/support/kb/doc/?id=7022512
2）CVE-2017-5754补丁链接
https://www.suse.com/security/cve/CVE-2017-5754/
4）CVE-2017-5753补丁链接
https://www.suse.com/security/cve/CVE-2017-5753/
5）CVE-2017-5715补丁链接
https://www.suse.com/security/cve/CVE-2017-5715/
4. Ubuntu
1）清静通告
https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown
2）补丁妄想
妄想1月9日宣布内核补丁 ，版本号如下：
5. Fedora
清静更新
宣布了清静更新 ，包括对CVE-2017-5754 (Meltdown)的修补 ，CVE-2017-5753和CVE-2017-5715（Spectre）的补丁后续会推出：
https://bodhi.fedoraproject.org/updates/kernel-4.14.11-300.fc27
6. Debian
1）清静更新
宣布了清静更新 ，包括对CVE-2017-5754 (Meltdown)的修补 ，CVE-2017-5753和CVE-2017-5715（Spectre）的补丁后续会推出：：
https://www.debian.org/security/2018/dsa-4078
https://security-tracker.debian.org/tracker/CVE-2017-5754
2）补丁包
7. macOS/IOS
清静更新
苹果在12月6日宣布的 macOS 10.13.2以及为旧系统推出的清静更新 ，已包括“Meltdown”误差修补。1月8日苹果公司宣布iOS 11.2.2正式版更新 ，主要修复了 Safari 浏览器的 Spectre 清静误差（CVE-2017-5753 and CVE-2017-5715）：
8. VMware
1）清静通告
VMware已经宣布了清静通告,推荐有关的驱动程序或软件包更新给予指导。通告如下：
https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html
2）补丁链接
详细的补丁情形如下：
9. Xen
清静通告
Xen已经宣布了清静通告,推荐有关的驱动程序或软件包更新给予指导。通告如下：
https://xenbits.xen.org/xsa/advisory-254.html
10. Amonzon
清静通告
Amazon方面已经宣布一项清静通告 ，指出：此项清静误差普遍保存于已往20年推出的英特尔、AMD以及ARM等种种现代处置惩罚器架构当中 ，影响规模涵盖服务器、台式机以及移动装备。Amazon EC2系统中除少少数实破例 ，其余皆受到严酷�；�。剩余部分的修复事情将在接下来数小时内完成 ，并附有相关实例维护通知。虽然AWS所执行的更新能够切实�；さ撞慊∩枋� ，但为了充分解决此次问题 ，客户还应对实例中的操作系统举行修复。现在Amazon Linux更新已经最先宣布 ，详细如下：
https://aws.amazon.com/security/security-bulletins/AWS-2018-013/
11. ChromeOS
清静通告
https://support.google.com/faqs/answer/7622138#chromeos
12. 安卓
清静通告
Android团队于2018年1月更新了清静通告：CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754为已经获得果真披露的一系列与处置惩罚器内推测执行相关的误差。Android尚未发明任何在基于ARM的Android装备之上重现上述误差以举行的未授权信息泄露行为。为了提供特另外�；げ椒� ，本通告当中包括的CVE-2017-13218更新镌汰了对高精度准时器的会见 ，旨在限制旁路攻击（例如CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754）所有已知变种对ARM处置惩罚器的影响。详细如下：
https://source.android.com/security/bulletin/2018-01-01
应用
1. IE/Edge
1）清静通告
微软清静通告：
https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2）补丁链接
Internet Explorer 9-11补丁号kb4056568 ，
下载地址:
http://www.catalog.update.microsoft.com/search.aspx?q=kb4056568
3）Edge补丁下载地址:
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056893
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056888
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056890
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056891
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4056892
2. Mozilla
1）清静通告
Firefox 57.0.4修正版本修复了著名的两个英特尔CPU误差带来的清静性问题 ，推荐所有57版本用户实时升级。通告如下：
https://www.mozilla.org/en-US/security/advisories/mfsa2018-01/
2）补丁链接
补丁下载地址：
https://download-installer.cdn.mozilla.net/pub/firefox/releases/57.0.4/
3. Safari
清静更新
1月8日苹果公司宣布iOS 11.2.2正式版更新 ，主要修复了 Safari 浏览器的 Spectre 清静误差（CVE-2017-5753 and CVE-2017-5715） ，如需相识更新的清静性内容 ，请会见此网站：
https://support.apple.com/zh-cn/HT201222
4. SQLserver
1）清静通告
微软清静通告：
https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities
2）补丁链接：
SQL Server 2016 SP1补丁下载地址：
https://www.microsoft.com/en-us/download/details.aspx?id=54613
京公网安备11010802024551号