旁路漏洞:微結構資料取樣與交易非同步中止

  • 處理器:Intel® Core™ i9-9900K 處理器
  • 記憶體:2x16GB
  • 儲存裝置:Intel® 760p 512GB SSD NVMe*
  • 顯示器解析度:1920x1080
  • 作業系統:Windows 10,版本 1809
  • 顯示晶片:Intel® HD 顯示晶片 630
  • 測試日期:2019 年 5 月 7 日
  • 測試單位:Intel 公司。注意:所有用戶端皆使用相同 SKU 測量。針對 MDS 的影響,僅為數種配置變更微碼與作業系統
  • SPEC 效能標竿根據 Intel 內部測量所得;比率提供為研究用途使用

  • 處理器:1 節點,2x Intel® Xeon® Platinum 8180 處理器(28 核心,2.5 GHz),安裝於 S2600WFT 平台
  • 記憶體:384 GB(12 插槽 / 32GB / DDR4-2666)總記憶體
  • 儲存裝置:S3710 400G
  • MDS 緩解前:
  • 作業系統:Redhat Enterprise Linux* 7.6 3.10.0-957.10.1.el7.x86_64
  • 微碼:0x200005a
  • MDS 緩解後:
  • 作業系統:Redhat Enterprise Linux* 7.63.10.0-957.12.2.el7.x86_64
  • 微碼:0x200005e

  • 處理器:1 節點,2x Intel® Xeon® 處理器 E5-2699 v4(22 核心,2.2 GHz),安裝於 S2600WTTS1R 平台
  • 記憶體:256 GB(8 插槽 / 32GB / DDR4-2666(以 2400 運行))總記憶體
  • 儲存裝置:S3710 400G
  • MDS 緩解前:
  • 作業系統:Redhat Enterprise Linux* 7.6 3.10.0-957.10.1.el7.x86_64
  • 微碼:0xb000030
  • MDS 緩解後:
  • 作業系統:Redhat Enterprise Linux* 7.6 3.10.0-957.12.2.el7.x86_64
  • 微碼:0xb000036

交易非同步中止 (TAA)(CVE-2019-11135) 是與 Intel® Transactional Synchronization Extensions (Intel® TSX) 相關的理論式執行旁路問題。TAA 影響的微結構架構與微結構資料取樣 (MDS) 影響的相同。Intel 持續與業界合作夥伴攜手開發,並且揭露 TAA 的資訊與緩解措施。

MDS 是之前所揭露的推測性執行旁路漏洞之子分類,結合了四種與 CVE 緊密相關的技術,首先由 Intel 的內部研究人員與合作夥伴所發現,稍後外部研究者亦各自對 Intel 回報。

  • 微架構載入連接埠資料取樣 (MLPDS) - CVE-2018-12127
  • 微架構儲存緩衝資料取樣 (MSBDS) - CVE-2018-12126
  • 微架構填入緩衝資料取樣 (MFBDS) - CVE-2018-12130
  • 微架構資料取樣無法快取取樣 (MDSUM) - CVE-2019-11091

在研究環境控制條件外運用 MDS 和 TAA 是件複雜的任務,對於這些安全性問題已回報的任何實際使用情況,Intel 毫不知情。Intel 所推出的微碼更新,當搭配對應的作業系統更新,加上我們的產業合作夥伴所提供的 Hypervisor 軟體時,可為許多客戶提供所需的防護能力。某些客戶可能需要考慮採取額外步驟。包括無法保證系統上運行的為受信任軟體,以及使用同步多執行緒 (SMT) 技術的客戶。在這樣的情況下,客戶應考慮他們為特定工作負載使用 SMT 的方法、作業系統與 VMM 軟體供應商的引導,以及針對他們特定環境的安全性威脅模型。無論如何,Intel 建議大家保持將系統更新到最新狀態。

是。處理器微碼已經隨著 Intel 的定期更新釋出,當搭配對應的作業系統更新,加上我們的產業合作夥伴所提供的 Hypervisor 軟體時,有助於確保消費者、IT 專業人員,以及雲端服務供應商擁有他們所需的防護能力。
如需深入資訊,請造訪我們的軟體安全性網站

視使用者選擇的緩解途徑而定共有三種案例:

a.未選擇任何緩解措施。無效能影響。

b.停用 TSX

  • 不使用 TSX 的應用程式不受影響
  • 啟用 TSX 的應用程式將中止所有交易。影響取決於 TSX 的使用率,以及應用程式效能受到同時認可之 TSX 交易影響的程度。

c.使用 VERW 覆寫微結構緩衝。已使用 MDS 緩解措施的系統不會受到其他影響。目前未使用 MDS 緩解措施的系統,影響與 MDS 緩解措施產生的類似。

否。Intel 並未收到任何關於在現實世界利用這些漏洞的相關回報。

是。從特定第 8 代與第 9 代 Intel® Core™ 處理器,以及第 2 代 Intel® Xeon® 處理器可擴充系列產品開始,已經透過硬體變更解決 MDS 漏洞。我們期望所有未來的處理器都將包含硬體緩解措施,以解決這些漏洞。

您可以在此找到更多詳細資訊。

否。Intel 不建議使用者停用 Intel® 超執行緒技術。使用者必須瞭解一個重要事實,停用此功能不僅提供對 MDS 的保護,也有可能影響工作負載效能或資源使用率,可能根據工作負載而導致不同影響。

廣泛認為協調弱點揭露(亦稱為「CVD」或「責任揭露」)是保護客戶不受安全性漏洞影響的最佳方法。CVD 以兩個概念為基礎:當企業發現安全性漏洞,(1) 他們要迅速合作並有效率地緩解漏洞問題;以及 (2) 同時採取動作,在緩解措施出現前,降低惡意使用此漏洞的使用者取得資訊的風險。

我們認為 Carnegie Mellon 軟體工程學院的電腦緊急應變小組 (CERT) 針對這些原則的描述最為周詳:
「對於具有漏洞的產品,大眾及其使用者應該得知該等產品的相關問題,以及廠商如何處理這些問題。在此同時,若在未經檢閱與緩解的情況下公開這些資訊,只會導致大眾開始利用該漏洞。理想的情況是所有人共同協調合作,以保護大眾。」

您可以在協調弱點揭露指南瞭解關於協調揭露的更多資訊與其重要性。