英特爾為 Spectre 新變體支付10萬美元的獎勵

GIF

聚焦源代碼安全，網羅國內外最新資訊！

翻譯：360代碼衛士團隊

研究人員發現了Spectre攻擊新變體，並通過英特爾公司的漏洞獎勵計劃獲得10萬美元的獎金。

這些新缺陷是 Spectre 變體1 (CVE-2017-5753)，即 Spectre 1.1 (CVE-2018-3693) 和Spectre 1.2。其中較為嚴重的問題是 Spectre 1.1，屬於邊界檢查繞過存儲 (BCBS) 問題。

麻省理工學院的 VladimirKiriansky 和 Carl Waldspurger 諮詢公司的 Carl Waldspurger 在一篇論文中指出，「Spectre 1.1 是新的 Spectre-v1 變體，它利用推斷性存儲創建推斷性緩衝溢出。」他們指出，「和一般的緩衝溢出漏洞一樣，推斷性帶外存儲能更改數據和代碼指針。數據-值攻擊能夠繞過某些 Spectre-v1緩解措施，或者直接繞過或者重定向控制流。控制流攻擊導致任意推斷性代碼執行，從而繞過 fence 指令以及針對之前推斷性執行攻擊的其它軟體緩解措施。構建返回導向編程工具 (ROP) 以構建可選攻擊 payload。」

專家指出，Spectre 1.2 影響未能執行讀/防寫措施的 CPU，從而導致攻擊者能夠覆寫只讀數據和代碼指針，從而攻陷沙箱。

各公司發布緩解措施

英特爾和 ARM 已發布白皮書說明新漏洞情況。AMD 尚未發布關於 Spectre 1.1 和 Spectre 1.2 的評論。微軟也於周二更新關於 Spectre/Meltdown 安全公告，其中包括 CVE-2018-3693 的信息。

微軟指出，「我們目前尚未發現軟體中的任何 BCBS 實例，但我們正在繼續調查這個漏洞類，並將和行業合作夥伴按要求發布緩解措施。」

甲骨文也在評估這些漏洞對產品的影響並承諾發布技術緩解措施。

甲骨文公司的安全保證主管 Eric Maurice 指出，「注意到很多行業專家預測很多利用現代處理器設計中已知漏洞的多種新變體將在未來繼續被披露。這些問題很可能主要影響操作系統和可視化平台，而且可能要求軟體更新、微碼更新或二者都需要更新。幸運的是，這些問題的利用條件仍然類似：惡意利用要求攻擊者首先獲取能夠安裝並執行針對目標系統的惡意代碼的許可權。」

研究人員發布論文後，英特爾通過 HackerOne 漏洞獎勵計劃平台向 Kiriansky 頒發10萬美元的獎勵。這些專家在論文中披露稱研究由英特爾提供部分贊助。

繼1月份 Spectre 和Meltdown 漏洞發布後，英特爾宣布為側信道利用推出漏洞獎勵計劃，為類似於 Meltdown 和 Spectre 漏洞提供最高25萬美元的獎勵。「高危」漏洞的獎勵最高為10萬美元。

https://www.securityweek.com/intel-pays-100000-bounty-new-spectre-variants

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！