英特尔CPU现高风险漏洞，阿里云安全应急响应第一时间启动

11月15日凌晨，阿里云发布安全公告称。已关注到关于Intel CPU Redundant Prefix Issue（CVE-2023-23583）的安全问题，并已第一时间启动安全应急响应工作。目前，阿里云已完成受该漏洞影响的相关公共云产品修复工作，保障云产品的安全性。

九派财经注意到，这是近一年半，阿里云发布的第一则安全公告。造成本次安全问题的原因是，英特尔（Intel）在微码中发现了冗余前缀问题（Redundant Prefix Issue），酷睿、至强、凌动系列的多款处理器（CPU）受到了影响，严重等级被定为8.8分的高风险。

11月14日，英特尔披露。在特定微架构条件下，执行使用冗余REX前缀编码的指令，可能会导致系统出现不可预测的行为，从而进一步使系统崩溃、挂起，或在某些有限的情况下，允许将当前执行程序的特权级，从CPL3提升至CPL0，即从用户模式提升到内核/管理员模式，用来执行更高特权级的敏感操作。

英特尔称，冗余REX前缀不应存在于代码中，也不会由编译器生成。攻击者恶意利用此问题之前，需要在受影响的系统中执行任意代码。此问题是英特尔在可控的实验室环境中发现的，是内部安全验证的一部分。

目前，英特尔已提供微码更新，并称此次更新不会对性能产生影响。

对此，谷歌（Google）漏洞研究员Tavis Ormandy透露，上述英特尔的微码漏洞，是谷歌内部的多个研究团队发现的，他们将漏洞其命名为Reptar。该研究员在测试中发现，这个漏洞会导致一系列问题，比如，分支到意外位置、无条件分支被忽略，或使处理器在某些指令中，无法准确记录指令指针。

“我们可以使用冗余前缀有效地破坏RoB（安全边界）！今天，所有受影响的产品都可以使用更新的微码，云提供商应尽快修补。”Ormandy在社交平台说。

九派财经记者 黄依婷

【来源：九派新闻】

声明：此文版权归原作者所有，若有来源错误或者侵犯您的合法权益，您可通过邮箱与我们取得联系，我们将及时进行处理。邮箱地址：jpbl@jp.jiupainews.com