阿里云首页 阿里云安全产品和技术

【漏洞公告】Lazy FP state restore 漏洞

近日,阿里云云盾应急响应中心监测Intel发布安全公告INTEL-SA-00145,恶意攻击者有可能通过侧信道攻击利用Lazy FP state restore推测出数据,导致信息泄露。

具体详情如下:

漏洞编号:

CVE-2018-3665

漏洞名称:

Lazy FP state restore漏洞

官方评级:

CVE-2018-3665:中危

漏洞描述:

系统在上下文切换时会优先选择Lazy restored states技术。Lazy restored states存在潜在漏洞使得其中一个进程可以通过侧信道攻击获取其他进程的寄存器值,获取敏感信息从而导致信息泄露。

漏洞影响范围:

Intel Core-based microprocessors

漏洞修复建议:

漏洞不会影响阿里云基础设施,不存在从一个客户的实例中读取另一个客户的实例中的内存或状态。

阿里云安全团队建议用户关注操作系统或相关软件补丁更新,及时进行更新。

  • 针对Linux,系统开发人员可以通过eagerfpu=on参数来启动内核,使用Eager FP 恢复模式来代替Lazy FP恢复模式。 目前CentOS 7版本,已经在新kernel版本(kernel-3.10.0-862.3.3.el7)中解决此问题,具体指导,请参见[CentOS-announce] CESA-2018:1852 Moderate CentOS 7 kernel Security Update

  • 针对Windows,目前Lazy restore在Windows上默认开启,且无法被禁用,请关注微软补丁更新。关于微软官方Lazy FP State Restore指导的详细描述,请参见Microsoft Lazy FP 状态还原指南

信息来源:

首页 阿里云安全产品和技术 安全漏洞预警 操作系统安全漏洞 【漏洞公告】Lazy FP state restore 漏洞