史上最大漏洞危机再生新变种，大量芯片受感染

今年 1 月，“Spectre”和“Meltdown”的两个安全漏洞给了全球知名芯片制造商们狠狠一记重拳，直接导致全球 iPhone、Android、PC 设备遭受牵连，彼时，堪称是“史上最大漏洞危机”。而如今，本周一，微软和谷歌网络安全研究员公布了新的芯片漏洞，其正为今年 1 月所披露的 Spectre 和 Meltdown 漏洞变种。存在该漏洞的芯片被广泛应用于计算机和移动设备上，波及范围较为广泛。

Meltdown 和 Spectre 漏洞可允许读取芯片上的密码和其他敏感数据。最新的芯片漏洞被称为 Speculative Store Bypass，也被叫作“变体 4 号”，它与此前发现的这两个漏洞属于同种类型，但使用了一种不同的获取敏感信息的方法。

通过利用“Speculative Store Bypass”，该漏洞能够使处理器芯片向潜在的不安全区域泄露敏感信息。在一份由微软公布的安全报告中，还表示此漏洞变体可能使得黑客能在浏览器的 JavaScript 中植入攻击脚本。

报道称，Spectre and Meltdown 安全漏洞自爆发以来，一直影响着英特尔、ARM 和其他比如说 AMD 等各芯片厂商，据不完全统计，它们已经在过去二十年内影响了数百万的芯片。黑客们也经常搜寻各类未完善的漏洞，以对存在该漏洞的计算机实施攻击，比如去年造成严重影响的 WannaCry 勒索软件攻击，就利用的是一个微软已经修补了的漏洞。

而当漏洞在今年初大规模曝光后，就有研究人员表示他们未来很可能还会衍生出新的 Spectre 变体。目前，这一新漏洞也影响到了许多芯片厂商，包括英特尔、AMD 和微软旗下的 ARM 都未能幸免。

但是，虽然苹果、微软、英特尔等厂商之前发布的修补补丁并没能完全解决漏洞问题，却很好地帮助用户抵御了这次的新变种漏洞。

据研究人员表示，新漏洞的风险较低，一部分原因就是因为相关公司已在今年早些时候发布大量补丁解决了 Spectre 漏洞，大大增加了黑客利用新漏洞进行攻击的难度。英特尔官方博客即表示，尚未发现有黑客利用新漏洞发动攻击，公司将“变体 4 号”漏洞标记为中级风险，因为与该漏洞有关的浏览器的多个缺陷已经通过首个补丁包解决了。

在此，据英特尔官方透露，从 1 月份开始，大多数主要浏览器厂商在其管理的运行时中，部署了变体 1 的防御措施，大大增加了在网络浏览器中利用侧信道的难度。这些防御措施也适用于变体 4，目前已经可供用户使用。然而，“为了确保我们提供全面防御措施并防止这种方法用在其他方面，英特尔和行业合作伙伴正在为变体 4 提供额外的防御，其中结合了微代码和软件更新。”

目前，英特尔已经向 OEM 系统制造商和系统软件提供商提供了针对变体 4 的测试版微代码更新，预计未来几周将用于生产 BIOS 和软件更新。这个防御措施会被设置为默认关闭，让用户选择是否启用。