据报道，一个安全团队最近在英特尔CPU（中央处理器） 中发现8个新的“ 幽灵级（Spectre-class） ”漏洞。另外，这些漏洞至少还影响了一小部分ARM处理器，并且有可能也会影响到AMD处理器（尚未得到证实）。
新的漏洞被概称为“Specter-Next Generation或Specter-NG（下一代幽灵）”，漏洞的部分细节最初被透露给了德国信息产业新闻网站Heise的记者。根据Heise网站刊登的文章来看，英特尔已将其中4个新漏洞归类为为“高风险（high risk）”，其余4个归类为“中等（medium）”。
报道称，Specter-NG漏洞源于相同的设计问题，这导致了之前的“幽灵（Spectre）”漏洞。但新的CPU漏洞比Spectre漏洞更具威胁性，因为它允许攻击者访问虚拟机（VM）轻松地定位目标主机系统。
“其中一个Specter-NG漏洞大大简化了跨系统攻击，因此它成为我们比Spectre漏洞更关注的潜在威胁。具体而言，攻击者可以在虚拟机中启动他的利用代码，并以此作为攻击主机系统的突破口。例如，云主机的服务器。”安全研究员Jürgen Schmidt在文章中写道。
正如Jürgen Schmidt描述的那样，Specter-NG漏洞所带来的风险和和攻击情景与Specter漏洞类似，但其中一个漏洞成为了例外。它允许攻击者通过在虚拟机上启动代码来攻击主机系统，或者攻击位于同一台服务器上的其他虚拟机。
文章补充说：“用于传输诸如密码和密钥之类的敏感数据是云系统成为受欢迎的攻击目标的最主要原因，而Specter-NG漏洞的出现扩大了这种威胁。值得一提的是，即使开启了英特尔的软件防护扩展（SGX）功能，Specter-NG漏洞也能被利用。”
原则上，使用Specter漏洞对其他虚拟机或主机系统进行攻击是可能的，但真正的实施需要大量的知识，这是非常困难的。但是，上述中提到的这个Specter-NG漏洞可以很容易地用于跨系统边界的攻击，将潜在威胁提升到了一个新的水平。 许多云服务提供商可能都会因此受到影响，尤其是注入亚马逊（Amazon）或Cloudflare这样的大型云服务提供商。
尽管Heise网站并没有透露向英特尔报告这些漏洞的安全研究人员（或团队/公司）的名称，但它表示，其中一个漏洞是由谷歌Project Zero团队的一名安全研究员发现的。英特尔目前已经承认了新的幽灵漏洞，并计划通过在未来几个月内发布Windows更新的安全补丁来解决这些问题。第一个补丁将会在5月发布，而第二个则被计划在8月发布。
网友评论