“英特尔解决器中类似Meltdown的新漏洞可能使黑客窃取数据”
6所大学的研究人员和杀毒提供商bitdefender holding bv今天详细介绍了英特尔企业中央解决单元的漏洞，从理论上讲可以通过黑客盗取数据。
英特尔发布并发布了此漏洞的补丁。
研究者将缺陷命名为load value injection (简称lvi )。 与几年前在英特尔解决方案中发现的臭名昭著的meltdown和spectre漏洞相似。 识别出这个最新漏洞的团队成员还发现了meltdown和spectre。
如其前身，lvi利用被称为推测执行的cpu功能的弱点来促进攻击。 推测执行是指cpu推测程序在不久的将来将执行什么样的计算，通过事先执行这些计算来提高解决速度的方法。 如果推测错误，就轻易放弃结果。
meltdown的工作原理是允许黑客在cpu中等待是否正确，读取推测计算的结果。 因为这样可以看到漏洞计算机正在解决的数据。 相反，由于lvi依赖于相关但不同的策略，攻击者可以让cpu执行恶意代码，从而使其行为仿佛是合法的推测计算。
研究人员解释说，在他们为lvi设立的网站本身，我们通过隐藏的解决方案缓冲区将攻击者的数据走私(注入)到受害者程序，瞬间执行，获取受害者的指纹和密码等机密新闻。 。
利用此漏洞，您可以从sgx安全区(存储重要记录的隔离部分，如intel解决方案内存中的加密密钥)中窃取数据。 lvi还可能感染黑客容易通过恶意网站受到攻击的计算机。
对公司来说，好消息是，该漏洞构成的威胁的重要性受到了实践中利用漏洞的诸多复杂性的限制。 英特尔今天在一份报告中表示，lvi方法需要满足许多复杂的要求才能成功，因此lvi不认为它在可靠的操作系统和vmm的现实环境中得到实际应用。
但是，一些黑客可能会试图利用这个漏洞。 这是因为lvi的软件修补程序将cpu速度根据应用程序的方法降低了2到17倍。 预计这将导致多个管理员无法安装此修补程序。 为了消除攻击风险，英特尔计划在未来的产品中增加与lvi相比的硬件级别的缓解措施。
免责声明：雪球目录网免费收录各个行业的优秀中文网站，提供网站分类目录检索与关键字搜索等服务，本篇文章是在网络上转载的，本站不为其真实性负责，只为传播网络信息为目的，非商业用途，如有异议请及时联系btr2031@163.com，本站的工作人员将予以删除。