Intel 处置器硬件“VoltJockey”（骑士）缝隙风险公告

颁布功夫 2019-12-11

缝隙编号和级别


CVE编号：CVE-2019-11157，危险级别：高危，CVSS分值：厂商自评：7.9，官方未评定


影响版本


Intel Core 第6、7、8、9和第10代处置器

Intel Xeon 处置器E3 v5和v6

Intel Xeon 处置器E-2100 和 E-2200


缝隙概述


2019年12月10日，Intel官刚正式确认并颁布了“VoltJockey”（骑士）缝隙布告。该缝隙是由于现代主流处置器微系统架构设计时选取的动态电源治理�？镈VFS（Dynamic Voltage and Frequency Scaling）存在安全隐患造成的，存在提权和信息泄露的风险。


VoltJockey缝隙基于电压故障注入对CPU进行攻击，利用硬件故障对CPU的硬件隔离设施（如TrustZone）进行攻击。分歧于传统选取编程接口缝隙的攻击方式，该步骤齐全选取CPU的硬件缝隙，防御起来相对难题，且对于类似TrustZone的其它CPU的硬件安全扩大也有类似成效。目前VoltJockey缝隙宽泛存在于主流处置器芯片中，可能涉及当前大量使用的手机支付、人脸/指纹鉴别、安全云推算等高价值密杜爪用的安全，影响面广。


另表该安全缝隙仅当在Intel SGX（Software Guard Extensions）开启时才存在。Intel已经向系统造作商颁布了固件更新，以缓解这一潜在的缝隙。


缝隙验证


暂无POC/EXP。


建复建议


Intel建议受影响的用户与系统造作商联系，以获取可缓解此问题的最新BIOS。


参考链接


https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00289.html