上海市互聯(lián)網(wǎng)信息辦公室今日在其微信公眾號上發(fā)布預警通報稱,1月4日,國家信息安全漏洞共享平臺(CNVD)收錄了CPU處理器內核的Meltdown漏洞(CNVD-2018-00303)和Spectre漏洞(CNVD-2018-00302和CNVD-2018-00304)。利用上述漏洞,攻擊者可以繞過內存訪問的安全隔離機制,使用惡意程序來獲取操作系統(tǒng)和其他程序的被保護數(shù)據(jù),造成內存敏感信息泄露。CNVD對該漏洞的綜合評級為“高危”。1月5日上午,上海市網(wǎng)信辦向本市各關鍵信息基礎設施主管和運營單位發(fā)出預警通報,要求各單位啟動網(wǎng)絡安全應急預案,并采取應對措施。
上海市網(wǎng)信辦提醒互聯(lián)網(wǎng)用戶注意,從目前了解情況來看,1995年以來大部分量產的處理器均有可能受上述漏洞的影響,且涉及大部分通用操作系統(tǒng)。包括以英特爾為主,ARM、AMD等大部分主流處理器芯片;Windows、Linux、macOS、Android等主流操作系統(tǒng)都受上述漏洞的影響,尤其以英特爾的芯片受上述漏洞影響最為嚴重。相應的,采用這些芯片和操作系統(tǒng)的公有云服務提供商,私有云、電子政務云等基礎設施,廣大終端用戶,都有可能遭遇利用上述漏洞機理發(fā)起的組合攻擊。特別需要強調的是,上述漏洞對云計算基礎設施的影響是尤為嚴重的。
應急處置措施方面,上海網(wǎng)信辦表示,從所掌握的情況來,該漏洞幾乎覆蓋本市全部連接互聯(lián)網(wǎng)的關鍵信息基礎設施。接到漏洞通報后立即啟動應急預案,已向本市各關鍵信息基礎設施主管和運營單位發(fā)出預警通報,要求各單位啟動網(wǎng)絡安全應急預案,并采取以下應對措施:
一是密切跟蹤該漏洞的最新情況,及時評估漏洞對本單位系統(tǒng)的影響。
二是對芯片廠商、操作系統(tǒng)廠商和安全廠商等發(fā)布的補丁及時跟蹤測試,在做好全面審慎的評估工作基礎上,制定修復工作計劃,及時安裝。
三是進一步加強關鍵信息基礎設施網(wǎng)絡安全防護工作,加強網(wǎng)絡安全防護和威脅情報收集工作,發(fā)生網(wǎng)絡安全事件及時向市網(wǎng)信辦報告。
上海市網(wǎng)信辦表示,將持續(xù)關注該漏洞的發(fā)展情況并酌情采取進一步的應對措施。