Re: [情報] Intel嚴重漏洞 OS更新將會降低效能

[YuQilin (神獸)]

昨晚開始微軟陸續對WIN7、WIN8、WIN10等各版本的作業系統
推送Meltdown修補程式，
如果你的Windows更新遲遲沒有收到更新通知，
有可能是因為修補程式和系統上的防毒軟體不相容，
為了避免引發系統當機藍屏所以被延遲了推送，
Kevin Beaumont製作了一個表格列出目前已知
相容和不相容Meltdown修補程式的防毒軟體
https://docs.google.com/spreadsheets/d/184wcDt9I9TUNFFbsAVLpzAtckQxYiuirADzf3cL42FQ/htmlview?sle=true#gid=0
https://goo.gl/tdzLwa

相容
Kaspersky, ESET, Avast, Symantec/Norton, F-Secure, Windows Defender

不相容
Sophos, Trend Micro, McAfee, Bitdefender, Webroot
需等待防毒軟體推出相容性修正後才能更新


其他軟硬體和服務商目前的對策：

AMD: 官方表示目前揭露的三種攻擊
1. Bounds Check Bypass (CVE-2017-5753)
可由軟體/OS更新來解決，對效能影響極小

2. Branch Target Injection (CVE-2017-5715 也就是Spectre)
由於架構的不同，AMD"相信"受到這個攻擊而洩漏資料的風險趨近0

3. Rogue Data Cache Load (CVE-2017-5754 也就是Meltdown)
AMD表示完全免疫Meltdown
https://www.amd.com/en/corporate/speculative-execution

Intel: 不是只有我，大家都有問題
Recent reports that these exploits are caused by a “bug” or a “flaw”
and are unique to Intel products are incorrect.
Based on the analysis to date, many types of computing devices
— with many different vendors’ processors and operating systems
— are susceptible to these exploits.
https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

ARM: 受影響的處理器列表
https://developer.arm.com/support/security-update



Android: Google的裝置已在1月2號推送安全性更新，
其他廠商需等待廠商推送更新

macOS: 蘋果目前還沒有官方說明，不過根據Alex Ionescu表示，
Sierra 10.13.2已在12月3號的時候修補了這個問題
https://twitter.com/aionescu/status/948609809540046849

iOS: 目前還沒有官方說明

Linux: 開發人員已經為此工作了好幾個月，
許多發行版已經修補了這個問題

Chrome OS: 已在12月15號的v63修補

Google Chrome 瀏覽器: 將會在1月23號發行的v64修補這個問題，
在這之前，Google建議使用者打開v63的Strict Site Isolation功能，
不過開啟這個功能會增加Chrome使用的記憶體

Mozilla Firefox: 已推送57.0.4版本更新緩解

Apple Safari: 目前沒有說明



Amazon AWS:
https://aws.amazon.com/tw/security/security-bulletins/AWS-2018-013/

Microsoft Azure:
https://support.microsoft.com/en-us/help/4072699/important-information-regarding-the-windows-security-updates-released

VMware: 官方列出受到影響的版本以及更新修補程式
https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html



Nvidia: 官方的聲明指出，"相信"自家的GPU免疫上述的漏洞，
同時會更新驅動幫助緩解CPU的安全性問題。



來源
https://www.bleepingcomputer.com/news/security/list-of-meltdown-and-spectre-vulnerability-advisories-patches-and-updates/
https://goo.gl/ScfMbQ

https://www.tomsguide.com/us/meltdown-spectre-fixes,news-26326.html
https://goo.gl/6fydnw

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.219.36.121
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1515116735.A.FB5.html
推 ericinttu   : 相信二字很微妙 當初樓下也很相信Intel啊
推 verdandy    : 我錯了QQ
推 ken841520   : 我沒有，召喚吸吾老二
推 hcwang1126  : N來補刀真的很會XD
推 ABA0525     : mcfee不是微軟自家的
推 JiYeonSHINY : UAC
→ verdandy    : 賣咖啡母公司是intel
推 WeAntiTVBS  : 但是股權沒有過半..
→ verdandy    : 但是應該不是M$自己的吧?
→ JoyRex      : 因為是GPU的關係吧?
→ twosheep0603: 我對"相信"這件事持保留態度
推 asd21714    : 所以這次nvidia的tegra完全沒問題？
推 Windcws9Z   : 樓上 Nvidia: "相信"自家的GPU免疫上述的漏洞
→ jeff40108   : Spectre已證實可在amd處理器上重現
推 jeff40108   : amd對 1.的回應我的理解是"硬體修不了，請找軟體或
→ jeff40108   : 系統商"
→ jeff40108   :  https://i.imgur.com/fmogW3f.jpg
推 Shauter     : 不相容的防毒都比較廢的那幾家.......
推 purplvampire: 推懶人包
推 a206471     : 趨勢哪裡廢了@@
推 l98         : "緩解CPU的安全性問題" 這樣如何做到!?
推 HGJman      : Bitdefender是比較廢的那邊？有在看防毒測試嗎？XD
→ alvistan    : 原來bitdefender 很廢
→ DANTEINFERNO: BD很廢 可以把這句話po在防毒版看看ww
推 verdandy    : BD很好，趨勢就真的很...
推 HGJman      : 看了防毒版我才把用了快10年的AVAST換成BD，哈哈～
→ HGJman      : BD超威的，我連防木馬都不用裝了～
→ JoyRex      : BD有個大問題啊,誤判的檔案回復後大小寫會跑掉...
→ JoyRex      : 就算防毒超威有這個問題就不想裝
推 Windcws9Z   : 推個F-Secure
推 purplvampire: 趨勢在去年7月Gartner魔力象限中排名世界第一,屌打
→ purplvampire: 卡車跟BD耶
推 kipi91718   : ARM A53 A7沒亂序執行 全部沒事XDDD
推 a1e         : 沒有小紅傘！？囧，裝小紅傘的能不能更新囧
推 a1e         : Spectre的洞比較難觸發出來，個人用戶就算了
推 imasa       : 說趨勢很廢的大概還是停留在好幾年前的印象
推 imba789     : 單位用趨勢 覺得廢 去年隨身碟病毒 其他家都能防了
→ imba789     : 趨勢還過了2個月後的更新才能防 連程式都回報給他了
→ JoyRex      : 灌360防毒啊
推 cint        : 剛更新完 小紅傘可以用沒問題
→ cint        : 目前遇到的問題只有asus的AI suite3開不起來
推 andy6899    : 防毒測試都是安全等級開到最高 只能說上限有多高
→ andy6899    : 但是平常使用狀況很少人全開吧
推 Shauter     : 樓上正解 甚至啟發式開到最高 攔截高 誤報也高阿 XD
推 violetflames: 竟然沒有comodo……
推 juunuon     : 為什麼我用Avast沒出現更新
推 peatle      : Officescan真的很廢啦，而且一堆公司都用舊版不買新
→ peatle      : 授權
推 luxaky      : BD相容性差就是廢
推 waterblue85 : 防毒版常看到被bd捅一刀的 然後就怒換卡巴
推 Shauter     : 就不知道誰真的不懂防毒啊 在這邊亂吹.......
推 waterblue85 : 結果用BD OEM引擎的其他間反而相容性好多了
推 luxaky      : 防毒版去年11/23就有用bd連不上特定網站的災情文
推 cat05joy    : BD免費版太輕薄 讓人不知道到底是有沒有在作用
推 chenernest  : F-Secure 更新補丁後目前沒問題
推 aegis43210  : AVAST直接相容呀
推 juunuon     : 裝了 跑分增加了一點點 wtf
推 wsdykssj    : 不太懂，如果瀏覽器更新了但windows沒更新，這樣瀏
→ wsdykssj    : 覽器的修補會有作用嗎？
推 alyh        : 還好我果斷放棄2018版一堆毛的BD換F-Secure了 QwQ
推 Shauter     : F-Secure好用+1
→ YuQilin     : 瀏覽器目前的更新是降低或用禁用高精度的時鐘源API
→ YuQilin     : 阻礙漏洞攻擊偵測精密的時間差異取得正確的快取資料
→ YuQilin     : 或者是將不同網站隔離在不同的程序處理
→ YuQilin     : 避免非同源網站跨網域取得其他網站儲存的資料
→ YuQilin     : 而作業系統的更新目前只針對Meltdown
→ YuQilin     : 將內核的頁表和使用者的空間隔離
→ YuQilin     : 以保護內核記憶體的位置不會因旁路攻擊而洩漏
推 xiaoyao     : 趨勢廢啊，尤其是斷網 XD
推 waterblue85 : 趨勢沒到廢吧 現在就是走全雲端了不是嗎？
→ waterblue85 : 要說斷網 現在一堆防毒也是得靠雲端資料庫來判斷
→ waterblue85 : 要是不連網哪間都會變得廢 程度問題而已
→ waterblue85 : 早就不是以前靠本地主防打天下的時代了