幽靈漏洞

幽靈  是一個存在於分支預測實現中的硬體缺陷及安全漏洞 ， 含有預測執行功能的現代微處理器均受其影響 ， 漏洞利用是基於時間的旁路攻擊 ， 允許惡意進程獲得其他程序在映射內存中的資料內容 。 Spectre是一系列的漏洞 ， 基於攻擊行爲類型 ， 賦予了兩個通用漏洞披露ID ， 分別是 （ bounds check bypass ， 邊界檢查繞過 ） 和 （ branch target injection ， 分支目標註入 ） ， 於2018年1月隨同另一個也基於推測執行機制的 、 屬於重量級資訊安全漏洞的硬體缺陷 「 Meltdown 」 （ 熔燬 ） 一同公佈 。 由於該缺陷是推測執行機制導致的 ， 加上不同處理器架構對推測執行又有不同的實作方式 ， 因此這個缺陷無法獲得根源上的修復而只能採取 「 見招拆招 」 式的方法防範 ， 而且因機制所致 ， 各種解決方案還有不可預料的效能下降 。 CVE -2017-5753依賴於運行中的即時編譯 （ JIT ） 系統 ， 用於Javascript的JIT引擎已被發現存在此漏洞 。 網站可以讀取瀏覽器中存儲的另一個網站的數據 ， 或者瀏覽器本身的記憶體 。 對此Firefox 57.0.4 （ 部分 ） 及Chrome 64通過爲每個網站分配專用的瀏覽器程序來阻擋此類攻擊 ； 作業系統則是通過改寫的編譯器重新編譯以阻擋利用該漏洞進行攻擊的行爲 。 針對CVE -2017-5715 ， 除了軟體層面上進行修改以外 ， 處理器也需要通過微指令更新來阻擋這類攻擊 。 隨著幽靈缺陷衍生的安全漏洞 （ 攻擊手段變體 ， 包括 、 、 等 ） 被逐一發現 ， 英特爾等CPU開發商不得不在修復既有缺陷的同時資助第三方資訊安全團隊繼續發掘潛在的缺陷以破財消災 。