今天英特尔公开披露了Spectre漏洞的新变体Lazy State,将会影响其旗下的多款处理器产品。
据悉,这一最新的Intel CPU漏洞——“Lazy FP state restore(Lazy FP状态保存/恢复)”,是被来自Amazon德国公司的Julian Stecklina、Cyberus Technology公司的Thomas Prescher,以及SYSGO AG公司的Zdenek Sojka共同发现的。
理论上来说,不管你使用的是什么操作系统,利用这一最新的CPU漏洞都可以通过计算机从你的程序中(包括加密软件)提取数据。

15289471837369 英特尔公布Spectre漏洞新变体Lazy State

Red Hat计算机架构师Jon Masters在接受访问时解释称,
CVE-2018-3665,也被称为Lazy FP状态保存/恢复,是另一个推测执行漏洞,影响了一些常用的现代微处理器。它类似于之前的‘Specter’变种3-a。需要特别指出的是,该漏洞不会影响AMD处理器。
Red Hat是以Red Hat Enterprise Linux(RHEL)操作系统闻名的顶级开源软件公司,为诸多重要IT技术如操作系统、存储、中间件、虚拟化和云计算提供关键任务的软件与服务。
据研究人员介绍称,存在这种漏洞的原因在于现代CPU中包含很多寄存器(内部存储器),来代表每个正在运行的应用程序的状态。从一个应用程序切换到另一个应用程序时,保存和恢复这种状态需要花费时间。为了实现性能优化,这一过程可能会以“Lazy”的方式完成,而正是这种旨在方便用户的操作,却沦为了攻击切入口。

也就是说,如果操作系统在上下文切换时,使用了 CPU 的 Lazy FP 功能进行系统状态的保存与恢复,攻击者可以利用CPU的预测执行功能获取其他进程在寄存器中保存的数据。
对于一些操作系统而言,修复程序已经包含其中。例如,Red Hat Enterprise Linux(RHEL)7已经在所有最新实现“XSAVEOPT”扩展的x86-64微处理器(大约2012年和更晚版本)上自动默认使用 Eager FP 取代 Lazy FP。因此,大多数RHEL 7用户将不需要采取任何纠正措施,但是,RHEL 5、6版本的用户则需要对其服务器进行修复。

其他被认为是安全的操作系统还包括,使用2016年发布的Linux 4.9或更新内核的任何Linux版本。目前,Linux内核开发人员正在修补较早版本的内核;大多数Windows版本(包括Server 2016和Windows 10)也都被认为是安全的。但是,如果您仍在使用Windows Server 2008,那么你将需要补丁程序来修复该漏洞;最新版本的OpenBSD和DragonflyBSD同样是免疫的,此外,FreeBSD中也有一个可用的补丁程序。

好消息是,这个漏洞影响有限,因为尽管该漏洞十分严重,但是利用起来比较困难,而且修复起来比较容易。更好的消息是,修复该漏洞的程序不会像以前一样影响设备性能,反而会提升设备性能。
不过,尽管它不是一个很可怕的安全漏洞,但它仍然是一个现实存在的安全问题,如果您的系统不能对该漏洞免疫,请尽管进行修复。最后,值得一提的是,与以前的CPU安全漏洞不同,缓解该安全漏洞并不需要微码更新。

5 月下旬,有安全研究人员发现谷歌 Chrome 中存在严重漏洞,影响所有主要操作系统(包括 Windows,Mac 和 Linux)的网页浏览软件。
在没有透露有关该漏洞任何技术细节的情况下,Chrome安全团队在本周三(6月6日)发布的一篇博客文章中指出,该漏洞被追踪为CVE-2018-6148,是由于浏览器错误处理CSP响应头导致的。
CSP,英文全称Content Security Policy,指的是内容安全策略。

Telspace Systems 公司的研究员发现微软的 Windows JScript 组件存在重要漏洞,可导致远程攻击者在用户电脑上执行恶意代码。
由于该漏洞影响 JScript 组件(微软自定义的 JavaScript 执行),唯一的条件就是攻击者必须诱骗用户访问一个恶意网页或者在系统上下载并打开恶意 JS 文件(一般经由 Windows Script Host-wscript.exe 执行)。

微软最近宣布了一项政策更新,将限制在Office 365中使用Flash,Shockwave和Silverlight控件。正如微软Office安全工程团队经理Tom Gallagher所指出的那样,这些内容将被阻止在Office中激活。 具体来说,这位软件巨头表示,由于Flash,Shockwave和Silverlight仍被用于针对Office用户的漏洞活动,同时这些控件的用户群正在缩小,因此将实施限制。

2018年5月9日Google发布了Chrome 66稳定版维护更新,最新版本号为v66.0.3359.170,目前已经面向Linux、Mac和Windows三大平台开放,重点修复了一些非常严重的安全问题。Google Chrome 66.0.3359.170版本目前共修复了4个安全漏洞,包含能够从沙盒中逃逸的高危漏洞、一个在扩展程序的提权漏洞、一个在V8 JavaScript引擎中类型混乱问题以及PDF查看器PDFium中的堆缓冲区溢出问题。

Linux 发行系统 Debian 和 Ubuntu 中预装的 beep 包存在竞争条件漏洞,黑客可利用这个漏洞探测到计算机中的文件(包括 root 用户的机密文件)。
这个漏洞的编号是 CVE-2018-0492,已在 Debian 和 Ubuntu (基于 Debian 的操作系统)最新版本中修复。

近期,巴西网站 Mac Magazine 曝光了 Siri 的一个隐私 bug,“即 iPhone 处于锁屏状态下唤出 Siri,Siri 竟然能够在未解锁的前提下,直接读出收到消息的通知详情。”
我们知道,为了避免被别人偷窥隐私,从iOS 11开始,用户可以将锁屏上的消息通知设置为隐藏,也就是说可以看到已经收到消息,但其内容已被隐藏。

无忧主机小编相信大多数的站长朋友在初期建站都是会选择php虚拟主机的,因为成本低,并且还满足部分的需求,当然您的是大站点的话,就当无忧主机小编的这句话没有说过,毕竟空间是站点起始必选的。那么无忧主机小编相信很多的站长朋友玩过的都是知道的,也是一个我们一个比较不爽的特点,就是我们无法控制到php.ini文件,但是有一个特点是什么呢?当我们之间访问某一个php文件的时候,比如wordpress程序,直接去访问它的模板文件,那么这个时候就会导致报错,那么这个报错会直接暴露整个路径出来,这样会导致很多不安全的因素,但是还是会有那么一点点的危险,所以为了解决这个问题无忧主机小编的的招数也是比较麻烦,但是比较实用的,下面就来给站长朋友们讲解一下吧。

今年1月份,Windows10在修复Intel Meltdown、Spectre安全漏洞时引入了一项新的安全策略,使得安装不兼容的杀毒软件的电脑无法获得系统更新。
微软解释说,Windows安全更新后,部分安全软件会导致兼容性问题,因为它们向内核内存发出的请求是非法的。
微软此举当然是为了确保Windows 10安全更新的可靠性,避免意外错误,比如此前Windows 10秋季创意者更新升级的时候,不少用户升级失败,很大程度上都是安全软件惹的祸。

思科 Talos 研究员近期披露了在 Adobe Acrobat Reader DC 中的远程代码执行漏洞,该漏洞可能在恶意文件打开或受害者访问特定的网页时触发。

Adobe Acrobat Reader是最流行和功能最丰富的PDF阅读器。它拥有庞大的用户群,通常是系统中的默认PDF阅读器,并作为用于呈现PDF的插件集成到Web浏览器中。因此,欺骗用户访问恶意网页或发送特制电子邮件附件足以触发此漏洞。

翻页 下一页