世界各大公司对英特尔CPU的‘Downfall’ 漏洞做出回应

多家大公司针对最近披露的名为 Downfall 的 Intel CPU 漏洞发布了安全公告。

Downfall由 Google 研究人员发现并正式跟踪为 CVE-2022-40982，它是一种旁道攻击方法，允许本地攻击者（或恶意软件）从目标设备获取潜在的敏感信息，例如密码和加密密钥。

云环境也会受到影响，并且有可能通过网络浏览器发起远程攻击，但需要更多的研究来证明这种攻击。

过去十年发布的英特尔酷睿和至强处理器受到了影响。该芯片制造商正在发布固件更新以及缓解措施，以应对该漏洞。

该缺陷影响英特尔处理器中的内存优化功能，并且攻击利用了两种称为收集数据采样（GDS）和收集价值注入（GVI）的技术。

GDS 方法被描述为“高度实用”，谷歌研究人员创建了一种概念验证 (PoC) 漏洞，可以从 OpenSSL 窃取加密密钥。

自 8 月 8 日 Downfall 漏洞披露以来，多个组织已发布针对该漏洞的公告。

开放式SSL

OpenSSL项目本周发表了一篇博客文章，指出虽然针对 OpenSSL 的 Downfall 攻击已得到证实，但它是“高度通用的微架构侧通道攻击，基本上可以损害任何软件的安全性”。

“由于 OpenSSL 使用 x86 SIMD 指令提供了许多加密原语的加速实现，因此如果攻击者利用此漏洞对使用 OpenSSL 执行加密操作的进程执行攻击，他们能够提取的信息将包含加密密钥的风险就会增加材料或明文，因为该材料最近可能已在受害者进程中使用 SIMD 指令进行了处理。换句话说，密钥材料或其他加密材料的风险特别高。”OpenSSL 项目解释道。

AWS、微软 Azure、谷歌云

AWS表示，其客户的数据和云实例并未受到Downfall的影响，无需采取任何行动。这家云巨头确实指出，它“设计和实施了针对此类问题的保护措施的基础设施”。

微软表示已对其 Azure 基础设施进行了更新以修复该漏洞。在大多数情况下（除了选择退出自动更新的客户），用户不需要采取任何操作。

谷歌云还表示，客户无需采取任何行动。该公司已在其服务器群上应用了可用补丁。但是，某些产品需要其合作伙伴或供应商提供额外更新。

思科

思科表示，其UCS B系列M6刀片服务器和UCS C系列M6机架服务器使用的英特尔CPU容易受到Downfall攻击。

思杰

Citrix已发布公告，通知客户 CVE-2022-40982 仅在运行于易受攻击的 Intel CPU 上时影响 Citrix Hypervisor。

戴尔

戴尔已发布适用于 Alienware、ChengMing、G 系列、Precision、Inspiron、Latitude、OptiPlex、Vostro 和 XPS 计算机的 BIOS 补丁。

HP已开始发布 SoftPaq，以解决其商用和消费 PC、工作站和零售 PoS 系统的崩溃问题。

联想