CPU重大漏洞的風險有多高？美國CERT中心呼籲最好將問題CPU全換掉

這兩天包括英特爾等主要CPU大廠相繼爆出重大處理器漏洞，恐造成機敏資料外洩，而引發軒然大波。美國電腦網路危機處理中心CERT今日（1/4）更罕見大動作發出漏洞通告，並提出警告，認為此漏洞將可能導致旁路攻擊（side channel attackse），帶來重大安全風險，甚至更建議用戶最好全部換掉受影響的CPU，改用其他沒有安全風險的CPU，只不過，目前絕大部分CPU廠牌都受到此漏洞波及，一時之間，也很難找到其他能用來代替且未受影響的CPU可用。

根據美國CERT中心的說明，這次出現的CPU漏洞，主要是由於CPU架構設計缺陷所造成的，可能導致出現Meltdown 與 Spectre這兩個漏洞的旁路攻擊，將讓有心人士可以取得用戶權限在處理器內來植入惡意程式，而影響到這些有漏洞CPU的裝置安全，例如可以讀取其他受到保護的內核記憶體存取的資訊，或是繞過KASLR（Kernel Address Space Layout Randomization ）將記憶體內內核程式位置隨機化的保護機制。

CERT也列出目前經查證已確定受影響的CPU廠牌和主要OS廠商，包括了Intel、ARM、AMD、Apple、Google、Linux Kernel、Microsoft，以及Mozilla。並且持續更新當中。

負責揭露這起CPU重大漏洞的Google Project Zero也點名英特爾、AMD、ARM處理器產品都受到影響。不過截至目前，只有ARM已在官網上列出受漏洞影響的處理器產品。ARM在稍早回應提到，受到特定漏洞及攻擊手法影響的CPU系列，包括了Cortex R7、R8、A8、A9、A15、A17、A57、A72、A73、A75。這些處理器通常被用在智慧手機、平板電腦或其他類似手持式裝置上。因為受影響的產品線眾多，目前也正在更新修補中。

英特爾則澄清，這次的處理器漏洞並沒有媒體報導的那麼嚴重，雖然可能有導致部分機敏資料外洩的風險，但用戶裝置保存的數據，並不會因此遭到惡意破壞、修改或刪除。

至於AMD則是堅持能免於這波處理器漏洞的攻擊，因為採用和其他家不同的架構設計，預設就不允許記憶體參照，可防止較低權限模式存取較高權限的資料，而造成記憶體分頁錯誤。甚至認為在特定條件下，自家CPU遭到漏洞攻擊的風險趨近於零。