1月4日，國家信息安全漏洞共享平臺（CNVD）收錄了CPU處理器內(nèi)核的Meltdown漏洞（CNVD-2018-00303）和Spectre漏洞（CNVD-2018-00302和CNVD-2018-00304）。利用上述漏洞，攻擊者可以繞過內(nèi)存訪問的安全隔離機制，使用惡意程序來獲取操作系統(tǒng)和其他程序的被保護數(shù)據(jù)，造成內(nèi)存敏感信息泄露。CNVD對該漏洞的綜合評級為“高危”。

1月5日上午，上海市網(wǎng)信辦向本市各關鍵信息基礎設施主管和運營單位發(fā)出預警通報，要求各單位啟動網(wǎng)絡安全應急預案，并采取應對措施。

上海市網(wǎng)信辦提醒廣大互聯(lián)網(wǎng)用戶注意：從目前了解情況來看，1995年以來大部分量產(chǎn)的處理器均有可能受上述漏洞的影響，且涉及大部分通用操作系統(tǒng)。包括以英特爾為主，ARM、AMD等大部分主流處理器芯片；Windows、Linux、macOS、Android等主流操作系統(tǒng)都受上述漏洞的影響，尤其以英特爾的芯片受上述漏洞影響最為嚴重。相應的，采用這些芯片和操作系統(tǒng)的公有云服務提供商，私有云、電子政務云等基礎設施，廣大終端用戶，都有可能遭遇利用上述漏洞機理發(fā)起的組合攻擊。特別需要強調(diào)的是，上述漏洞對云計算基礎設施的影響是尤為嚴重的。

應急處置措施：

從市網(wǎng)信辦所掌握的情況來，該漏洞幾乎覆蓋本市全部連接互聯(lián)網(wǎng)的關鍵信息基礎設施。市網(wǎng)信辦接到漏洞通報后立即啟動應急預案，已向本市各關鍵信息基礎設施主管和運營單位發(fā)出預警通報，要求各單位啟動網(wǎng)絡安全應急預案，并采取以下應對措施：

一是密切跟蹤該漏洞的最新情況，及時評估漏洞對本單位系統(tǒng)的影響。

二是對芯片廠商、操作系統(tǒng)廠商和安全廠商等發(fā)布的補丁及時跟蹤測試，在做好全面審慎的評估工作基礎上，制定修復工作計劃，及時安裝。

目前，操作系統(tǒng)廠商已經(jīng)發(fā)布補丁更新，如Linux, Apple和Android，微軟也已發(fā)布補丁更新。CNVD建議用戶及時下載補丁進行更新，參考鏈接：

Linux：http://appleinsider.com/articles/18/01/03/apple-has-already-partially-implemented-fix-in-macos-for-kpti-intel-cpu-security-flaw

Android：https://source.android.com/security/bulletin/2018-01-01

Microsoft：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

Amazon：https://aws.amazon.com/de/security/security-bulletins/AWS-2018-013/

ARM：https://developer.arm.com/support/security-update

Google：https://googleprojectzero.blogspot.co.at/2018/01/reading-privileged-memory-with-side.html

Intel：https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

Red Hat：https://access.redhat.com/security/vulnerabilities/speculativeexecution

Nvidia：https://forums.geforce.com/default/topic/1033210/nvidias-response-to-speculative-side-channels-cve-2017-5753-cve-2017-5715-and-cve-2017-5754/

Xen：https://xenbits.xen.org/xsa/advisory-254.html

三是進一步加強關鍵信息基礎設施網(wǎng)絡安全防護工作，加強網(wǎng)絡安全防護和威脅情報收集工作，發(fā)生網(wǎng)絡安全事件及時向市網(wǎng)信辦報告。

上海市網(wǎng)信辦將持續(xù)關注該漏洞的發(fā)展情況并酌情采取進一步的應對措施。