• 发布时间 2018-01-03
• 更新时间 2018-02-06
• 漏洞等级 Critical
• CVE编号 CVE-2017-5715、CVE-2017-5753、CVE-2017-5754

漏洞详情

芯片级安全漏洞主要由“崩溃 Meltdown”(CVE-2017-5754) 和“幽灵 Spectre”(CVE-2017-5753 和 CVE-2017-5715)组成。利用Meltdown漏洞，低权限用户可以访问内核的内容，获取本地操作系统底层的信息，当用户通过浏览器访问了包含Spectre恶意利用程序的网站时，用户的个人敏感信息可能会被泄漏，在云服务场景中，利用Spectre可以突破用户间的隔离，窃取其他用户的数据。CVE-2017-5754影响Intel x86-64微处理器，AMD x86-64微处理器不受此问题的影响。
 

修复方案

1、UCloud云平台修复情况
1） 云平台修复
北京时间2018年1月9日0点起，UCloud将分批次对云平台进行热升级，以修复此漏洞对于云平台的影响。此次升级将采用基于UCloud热补丁技术的方案，升级过程中不会对您的业务造成中断。在升级完成后，特定的工作负载下可能会导致云主机的性能有所下滑。详情见官方公告。
UCloud已于北京时间 2018 年1月15日完成了云平台的 CPU 微码和热补丁升级工作，目前 UCloud 云平台层对相关漏洞的修复已经完成。

2） 线上镜像修复情况

注：此次内核更新可能会造成性能下降，请提前做好业务验证、数据备份、快照等工作，防止发生意外，该漏洞只能通过低权限用户本地操作才能获取系统信息，请根据自身业务情况决定是否进行升级.

参考链接

技术详解：https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html
微软官方公告：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
Intel官方公告：https://newsroom.intel.com/news/intel-responds-to-security-research-findings/
幽灵漏洞：https://;//spectreattack.com/
崩溃漏洞：https://meltdownattack.com

更新历史

1）2018.01.04 更新内容：
线上主机修复增加centos修复方法

2）2018.01.07 更新内容：
线上镜像修复进展中centos 进展更改为“更新完成”

3）2018.01.08 更新内容：
“云平台修复”增加修复提醒通知

4）2018.01.15 更新内容：
“云平台修复”增加修复完成通知
增加4.1版本内核修复方法

5）2018.01.23 更新内容：
“存量用户修复方法”增加ubuntu修复方法和版本信息

6）2018.02.06 更新内容：
线上镜像修复进展中ubuntu进展更改为“更新完成”