m o c . 5 绿盟科技安全预警通告 b u Meltdown 和 Spectre 处理器漏洞威胁处置建议 h t i g -I- Meltdown 和 Spectre 处理器漏洞威胁处置建议 v1.5.docx 一. 漏洞摘要 2018 年 1 月 4 日，国外研究机构披露了”Meltdown”(CVE-2017-5754)和”Spectre”(CVE2017-5753& CVE-2017-5715)两组 CPU 特性漏洞，漏洞爆出后，研究人员也陆续发布各种检 测 POC，相关操作系统厂商以及浏览器支持厂商也陆续发布修复补丁，详情参照漏洞补丁更 新章节 m o c . 5 利用 Meltdown 漏洞，低权限用户可以访问内核的内容，获取本地操作系统底层的信息； 当用户通过浏览器访问了包含 Spectre 恶意利用程序的网站时，用户的如帐号，密码，邮箱等 个人隐私信息可能会被泄漏；在云服务场景中，利用 Spectre 可以突破用户间的隔离，窃取其 他用户的数据。 b u 二. 漏洞补丁更新 2.1 h t i g Windows 系统补丁更新 1 月 3 日晚，微软发布了针对 Meltdown 和 Specter 的系统安全更新，企业或个人用户开 启系统更新功能及时打全最新的安全补丁。 企业或个人用户可以选择自动更新或手动下载补丁进行更新，补丁下载地址见附录 A。 自动更新： 在企业内网环境中，可以通过 WSUS 服务器连接到 Microsoft Update 来获取更新程序， 并分发给企业网络中的客户端计算机实现批量更新。 个人用户可以进入“设置”-“更新与安全”，选择“检查更新”，安装补丁。部分兼容 性上存在问题的用户则需要继续耐心等待几天。 © 2018 绿盟科技 -1- Meltdown 和 Spectre 处理器漏洞威胁处置建议 v1.5.docx b u m o c . 5 手动更新： 根据以下版本与对应 KB 号，在微软安全建议 https://portal.msrc.microsoft.com/en- h t i g US/security-guidance/advisory/ADV180002 ，查到对应更新软件包并下载更新。 © 2018 绿盟科技 -2- Meltdown 和 Spectre 处理器漏洞威胁处置建议 v1.5.docx 操作系统版本 对应 KB 号 Windows 10 for 32-bit Systems KB4056893 Windows 10 for x64-based Systems KB4056893 Windows 10 Version 1511 for 32-bit Systems KB4056888 Windows 10 Version 1511 for x64-based Systems KB4056888 Windows 10 Version 1607 for 32-bit Systems KB4056890 Windows 10 Version 1607 for x64-based Systems KB4056890 m o c . 5 Windows 10 Version 1703 for 32-bit Systems KB4056891 Windows 10 Version 1703 for x64-based Systems KB4056891 Windows 10 Version 1709 for 32-bit Systems KB4056892 Windows 10 Version 1709 for 64-based Systems KB4056892 Windows 7 for 32-bit Systems Service Pack 1(Monthly Rollup) b u Windows 7 for 32-bit Systems Service Pack 1(Security Only) Windows 7 for x64-based Systems Service Pack 1(Monthly Rollup) h t i g Windows 7 for x64-based Systems Service Pack 1(Security Only) Windows 8.1 for 32-bit systems Windows 8.1 for x64-based systems KB4056894 KB4056897 KB4056894 KB4056897 KB4056898 KB4056898 Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1(Monthly Rollup) KB4056894 Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1(Security Only) KB4056897 Windows Server 2008 R2 for x64-based Systems Service Pack 1(Monthly Rollup) KB4056894 Windows Server 2008 R2 for x64-based Systems Service Pack 1(Security Only) KB4056897 Windows Server 2012 R2 KB4056898 Windows Server 2016 KB4056890 目前的系统补丁尚不能完整修复 Meltdown 和 Spectre 处理器漏洞，企业和用户可能需要 额外的芯片组固件更新。如果笔记本电脑/台式机/服务器供应商提供了额外的芯片组固件更新， 可以从官方站点获取，安装并完成修补程序。 © 2018 绿盟科技 -3- Meltdown 和 Spectre 处理器漏洞威胁处置建议 v1.5.docx 2.2 Linux 系统补丁更新 Linux Kernel Linux 发布了内核补丁，版本包括 4.14.11、4.9.74、4.4.109、3.16.52、3.18.91 和 3.2.97，用户可以从 Kernel.org 上下载。 参考链接： https://www.kernel.org/ Red hat: m o c . 5 红帽公司已经发布通告，其中列出受到影响的产品及其当前状态。建议内容表明：对于正 在运行受影响版本产品的红帽客户，强烈建议用户尽快根据指导清单进行更新。所有受影响产 品都应安装修复补丁。 Ret Hat 安全通告地址： https://access.redhat.com/security/vulnerabilities/speculativeexecution b u 受到 Meltdown 影响的产品名称 Red Hat Enterprise Linux 7(已更新) Red Hat Enterprise Linux 6(部分更新) h t i g Red Hat Enterprise Linux 5(待更新) RHEL Atomic Host(待更新) Red Hat Enterprise MRG 2 (已更新) 受到 Spectre 影响的产品名称 Red Hat Enterprise Linux 7 (已更新) Red Hat Enterprise Linux 6 (部分更新) Red Hat Enterprise Linux 5 (待更新) RHEL Atomic Host (待更新) Red Hat Enterprise MRG 2(已更新) Red Hat Virtualization 3ELS、4(RHEV-H/RHV-H)(已更新) Red Hat OpenStack v6 (待更新) Red Hat OpenStack v7 (待更新) Red Hat OpenStack v8 (待更新) Red Hat OpenStack v9(待更新) Red Hat OpenStack v10 (待更新) Red Hat OpenStack v11 (待更新) © 2018 绿盟科技 -4- Meltdown 和 Spectre 处理器漏洞威胁处置建议 v1.5.docx Red Hat OpenStack v12 (待更新) CentOS: CentOS 团队近日面向 64 位（x86_64）CentOS 7 在内的多个版本发布内核安全补丁， 重点修复了日前爆发的 Meltdown（熔断）和 Spectre（幽灵）两个漏洞。CentOS 7 基于 Red Hat Enterprise Linux 7，本次发布的安全更新是在 Red Hat 近期发布的修复补丁上进行定制 优化的。 目前存在问题的软件包括 kernel-3.10.0-693.11.6.el7.x86_64.rpm, kernel-abi-whitelists3.10.0-693.11.6.el7.noarch.rpm, kernel-debug-3.10.0-693.11.6.el7.x86_64.rpm, kerneldebug-devel-3.10.0-693.11.6.el7.x86_64.rpm, kernel-devel-3.10.0- m o c . 5 693.11.6.el7.x86_64.rpm 以及 kernel-doc-3.10.0-693.11.6.el7.noarch.rpm。 此外 kernel-headers-3.10.0-693.11.6.el7.x86_64.rpm, kernel-tools-3.10.0- 693.11.6.el7.x86_64.rpm, kernel-tools-libs-3.10.0-693.11.6.el7.x86_64.rpm, kernel-toolslibs-devel-3.10.0-693.11.6.el7.x86_64.rpm, perf-3.10.0-693.11.6.el7.x86_64.rpm 和 python-perf-3.10.0-693.11.6.el7.x86_64.rpm 也需要更新。 b u 参考链接： CentOS 6 kernel Security Update h t i g https://lists.centos.org/pipermail/centos-announce/2018-January/022701