Intel CPU架构处理器漏洞越捅越大 打补丁将损失30%性能

还记得前不久那个被曝光影响大面积Intel Core CPU产品的安全漏洞吗？这貌似只是冰山一角，就在今天人们发现了Intel处理器里一个更为致命的漏洞，从最底端的Pentium，到最新的Coffee Lake Core，无一幸免，现在全球的OS开发者们都全部行动了起来为Linux打补丁，微软也已经在对这个漏洞做反应……光看这种行动的规模就知道这次爆出的漏洞有多严重了。

本次爆出的Intel CPU架构漏洞的具体表现为核心内存泄漏，是属于芯片级别的安全bug，这个bug迫使Linux和Windows操作系统对它们的关键内核部分进行重新设计。一个操作系统的内核所使用的内存部分级别是非常高的，里面不光有操作系统正常运转的关键数据和驱动加载，它还存储了非常多的敏感信息如身份验证，密码等内容，通常来说在用户层面运行的程序是访问不了这部分内存的——或者说压根就看不见。但Intel CPU架构设计上的这个漏洞有可能会让恶意脚本直接读取核心内存，至少能拿走很多敏感信息。

虽然目前关于这个漏洞的细节因为安全考虑暂时没有公布，不过已经有相关领域的人士猜测，Intel CPU架构为追求执行效率在代码执行预测上偷了懒，有可能会绕过核心的安全机制直接执行用户代码。尽管在具体信息公布之前大家都不敢下结论，但就看Linux/Windows OS的开发者们现在手忙脚乱的样子，也足够知道这漏洞有多严重了——影响范围超级广，杀伤力也足够深入。不过好消息是要利用起这个漏洞也需要相当高的水平，或许能减轻一点群众的恐慌。

在这次灾难中比较幸运的自然是AMD了，目前尚无有报告称AMD的CPU也存在核心内存泄露的问题，至少在Linux内核开发人员邮件群组的圣诞节报告中，很明确地指出AMD处理器微架构不允许内存引用（预测引用包含在内）。

现在的最好结果是，Intel还可以用一定的性能损失换回本应存在的安全性。在已经对该漏洞作出反应的Linux系统和Windows 10 17035版本里，Intel CPU的性能都出现了一定程度的下降，最大的幅度可以达到30%，较新的CPU损失会小一些，然而Intel对AMD的性能竞争力优势很可能会被大大削弱甚至是荡然无存（游戏性能貌似没受影响）。苹果用户们先别急着看笑话，你们用Intel CPU的macOS也跑不了。

看来CPU的竞争，还是要看谁先犯错，可能这一回，AMD真的要翻身了。

昨天在曝出英特尔处理器近 15 年来几乎每一款处理器都存在重大安全漏洞，而修复将导致 30% 的性能损耗的消息后，很多用户都关心苹果对此事所采取的措施。不过苹果貌似已经通过去年 12 月份推出的 macOS High Sierra 10.13.2 更新部分修复了这个问题，而且将会在即将发布的 10.13.3 更新中修复更多的内容。

苹果内部的多个信息源（未被授权代表公司）已经向 AppleInsider 网站证实，macOS High Sierra 10.13.2 有例程来稳定可能允许应用程序访问受保护的内核内存数据的缺陷。这些措施再加上十多年来苹果对内核内存的现有程序要求似乎已经减轻了大部分之前曝光安全漏洞带来的危害。

开发者 Alex Ionescu 也已经进一步确认出修复问题的代码，并将其称之为「双映射」（Double Map）。

AI 的消息源（包括 Ionescu）表示，macOS High Sierra 10.13.3 将带来更多地变化，不过两者都拒绝透露更多的细节。

目前该网站正在 2017 款 MacBook Pro 上进行速度测试，从早期测试看，运行 macOS High Sierra 10.13.1 和 10.13.2 的系统之间没有明显的性能下降。

对于之前报道中提到的微软和 Linux 正在修复系统一说，微软向 AI 透露，他们目前无法就发布更新的时间表进行评论，但内核内存管理在 2017 年底的 Windows 10 beta 中已经发生了变化。

内核内存中包含的任何内容（如密码、应用程序密钥和文件高速缓存）都可能存在受此缺陷影响的风险。不过对于这个漏洞的细节以及如何利用它，目前仍处于保密状态。

英特尔无法通过固件更新来修复这个漏洞。

除了macOS，Windows 和 Linux 也面临着这个漏洞。除了个人电脑之外，有人认为像 Amazon EC2、Microsoft Azure 和 Google Compute Engine 这样的云服务会也受到漏洞的影响，也需要更新。

亚马逊已经通知其客户 2 月份将带来 AWS 的大型安全更新，而微软 Azure 服务的维护时间定于 1 月 10 日。

【附录资料】

Intel处理器曝出11个安全漏洞 新品沦陷

　　前段时间，研究人员发现Intel近几年处理器所用的管理引擎“ME”其实是一套完整的迷你操作系统MINIX，而且拥有Ring -3级别的至高无上权限，甚至关机都在运行，等于一个独立于计算机系统之外的迷你王国，但是Intel从未对外公开过相关信息。

　　研究人员担心，如此级别的核心系统如果存在任何安全隐患，威胁将是空前的，甚至无可防御，Google都已经采取行动尝试移除MINIX。

　　果不其然，Intel今天公布一份安全报告，承认近三年的处理器中，管理引擎ME 11.0.0-11.7.0版本、可信赖执行引擎TXT 3.0版本、服务器平台服务SPS 4.0版本里，共存在多达11个安全漏洞，而被利用的环境正是MINIX！ 

这些漏洞波及的处理器型号相当多，具体包括：

－ 六代酷睿Skylake、七代酷睿Kaby Lake、八代酷睿Coffee Lake系列

－ Xeon E3-1200 v5/v6系列

－ Xeon Scalable系列

－ Xeon W系列

－ Atom C3000系列

－ Apollo Lake Atom E3900系列

－ Apollo Lake奔腾系列

－ 赛扬N/J系列

　　这些漏洞可被用来加载、执行任意代码，能导致相关PC、服务器、物联网设备可能会出现系统不稳定甚至崩溃，而且整个攻击过程操作系统、用户都是看不见的，这就意味着不可能防御！

　　另外，虽然大多数漏洞都需要在本地利用，但因为ME管理引擎也支持AMT主动管理技术，远程发起攻击的可能性也非常大。

　　Intel也同时公布了一个检测工具(点此下载)，可以帮助Windows、Linux用户检测自己的处理器是否有影响。

　　目前，Intel公布的漏洞相关细节信息仍然很有限，到底有多大影响还不得而知，但从安全公告描述看，严重程度恐怕会超出一般人想象，而且需要一段时间才会完全显现出来。

　　更关键的是，处理器漏洞不像系统漏洞那样打个补丁，用户更新下就完了。

　　Intel称已经开发了补丁，但需要厂商配合部署。联想是目前唯一明确表示愿意协助用户升级的，其他厂商则只是公布了一些修复措施。

最新最顶级的18核心i7-7980XE也中招

四代i7-4470K不受影响