2018년 5월 21일, 다음의 CPU 관련 취약점을 완화(경감)하기 위한 보안 패치가 발표되었습니다.

(이런 CPU 취약점은 소프트웨어로는 해결하지 못하고, 그저 완화하고 경감할 수 있을 뿐입니다.)


<인텔(Intel), AMD, ARM 등 CPU의 Spectre Variant 4 (스펙터 변종 4)>


구글과 마이크로소프트 등에서 추측적인 메모리 판독을 활용하는 마이크로프로세서가 사이드채널 공격을 통해 권한 없는 메모리 읽기를 허용할 수 있다는 사실을 발견하였습니다. (Microprocessors utilizing speculative execution of a memory read may allow unauthorized memory reads via a sidechannel attack.) 이 취약점은 Spectre Variant 4 (스펙터 변종 4)로 알려져 있습니다. 로컬 공격자는 커널 메모리를 포함하여 민감한 정보를 노출시키기 위해 이 취약점을 악용할 수 있습니다. (CVE-2018-3639)


스펙터 변종에는 변종 1, 변종 2, 변종 3, 변종 3a, 변종 4의 5종류가 있습니다.


※ Spectre Variant 4 (스펙터 변종 4) = Speculative Store Bypass (SSB) 취약점


BleepingComputer에 따르면, Spectre Variant 4 (스펙터 변종 4)는 웹브라우저에서 자바스크립트를 통해 원격으로 악용이 가능하다고 합니다.

https://www.bleepingcomputer.com/news/security/google-and-microsoft-reveal-new-spectre-attack/


--


<Intel>


인텔에서는 다음의 CPU들이 취약하다고 발표하였습니다.

https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00115.html


 * 인텔 코어 i3 프로세서 (45nm & 32nm)

 * 인텔 코어 i5 프로세서 (45nm & 32nm)

 * 인텔 코어 i7 프로세서 (45nm & 32nm)

 * 인텔 코어 M 프로세서 (45nm & 32nm)

 * 2세대 (샌디브릿지) 인텔 코어 프로세서

 * 3세대 (아이비브릿지) 인텔 코어 프로세서

 * 4세대 (하스웰, 하스웰 리프레시) 인텔 코어 프로세서

 * 5세대 (브로드웰) 인텔 코어 프로세서

 * 6세대 (스카이레이크) 인텔 코어 프로세서

 * 7세대 (카비레이크) 인텔 코어 프로세서

 * 8세대 (커피레이크, 카비레이크 리프레시) 인텔 코어 프로세서

 * 인텔 X99 플랫폼용 인텔 코어 X시리즈 프로세서 패밀리

 * 인텔 X299 플랫폼용 인텔 코어 X시리즈 프로세서 패밀리

 * 인텔 제온 프로세서 3400 시리즈

 * 인텔 제온 프로세서 3600 시리즈

 * 인텔 제온 프로세서 5500 시리즈

 * 인텔 제온 프로세서 5600 시리즈

 * 인텔 제온 프로세서 6500 시리즈

 * 인텔 제온 프로세서 7500 시리즈

 * 인텔 제온 프로세서 E3 패밀리

 * 인텔 제온 프로세서 E3 v2 패밀리

 * 인텔 제온 프로세서 E3 v3 패밀리

 * 인텔 제온 프로세서 E3 v4 패밀리

 * 인텔 제온 프로세서 E3 v5 패밀리

 * 인텔 제온 프로세서 E3 v6 패밀리

 * 인텔 제온 프로세서 E5 패밀리

 * 인텔 제온 프로세서 E5 v2 패밀리

 * 인텔 제온 프로세서 E5 v3 패밀리

 * 인텔 제온 프로세서 E5 v4 패밀리

 * 인텔 제온 프로세서 E7 패밀리

 * 인텔 제온 프로세서 E7 v2 패밀리

 * 인텔 제온 프로세서 E7 v3 패밀리

 * 인텔 제온 프로세서 E7 v4 패밀리

 * 인텔 제온 프로세서 스케일러블(Scalable) 패밀리

 * 인텔 아톰 프로세서 C 시리즈 (C3308, C3338, C3508, C3538, C3558, C3708, C3750, C3758, C3808, C3830, C3850, C3858, C3950, C3955, C3958)

 * 인텔 아톰 프로세서 E 시리즈

 * 인텔 아톰 프로세서 A 시리즈

 * 인텔 아톰 프로세서 X 시리즈 (x5-E3930, x5-E3940, x7-E3950)

 * 인텔 아톰 프로세서 T 시리즈 (T5500, T5700)

 * 인텔 아톰 프로세서 Z 시리즈

 * 인텔 셀러론 프로세서 J 시리즈 (J3355, J3455, J4005, J4105, J4205)

 * 인텔 셀러론 프로세서 J 시리즈 (N3450, N4000, N4100, N4200)

 * 인텔 펜티엄 프로세서 실버(Silver) 시리즈 (J5005, N5000)


--


<AMD>


AMD에서는 2011년에 처음으로 발표된 Bulldozer 아키텍처가 사용된 15종의 제품에서 완화(경감) 조치가 취해진다고 발표하였습니다.

https://www.amd.com/en/corporate/security-updates


AMD의 불도저 아키텍처는 다음의 CPU에서 주로 사용되고 있습니다.


 * AMD FX 시리즈

 * AMD 애슬론 II 시리즈

 * AMD APU - 트리니티, 리치랜드 등

 * AMD 옵테론 시리즈


--


<ARM>


ARM에서는 Cortex-A57, Cortex-A72, Cortex-A73, Cortex-A75 아키텍처가 취약하다고 발표하였습니다.

https://developer.arm.com/support/arm-security-updates/speculative-processor-vulnerability


그 중 Cortex-A57 아키텍처는 다음의 모바일 CPU에서 대표적으로 사용되고 있습니다.


 * 퀄컴 스냅드래곤 808 MSM8992

   - LG G4, LG V10, LG X Mach, 구글 넥서스 5X 등


 * 퀄컴 스냅드래곤 810 MSM8994

    - LG G Flex 2, 구글 넥서스 6P, 소니 엑스페리아 Z3 Plus, 소니 엑스페리아 Z5, 소니 엑스페리아 Z5 프리미엄, 샤오미 Mi Note Pro 등


 * 삼성 엑시노스 7 Octa 5433

    - 삼성 갤럭시 노트4, 삼성 갤럭시 노트4 S-LTE, 삼성 갤럭시 노트 엣지, 삼성 갤럭시 탭 S 10.5 LTE-A, 삼성 갤럭시 탭 S2 8.0, 삼성 갤럭시 탭 S2 9.7 등


 * 삼성 엑시노스 7 Octa 7420

    - 삼성 갤럭시 S6, 삼성 갤럭시 S6 엣지, 삼성 갤럭시 S6 Active, 삼성 갤럭시 S6 엣지+, 삼성 갤럭시 노트5, PRO 5, 삼성 갤럭시 A8 2016 에디션 등


 * 엔디비아 Tegra X1 T210

    - 엔디비아 SHIELD Android TV, 구글 픽셀 C, 닌텐도 스위치 등



Cortex-A72 아키텍처는 다음의 모바일 CPU에서 대표적으로 사용되고 있습니다.


 * 퀄컴 스냅드래곤 650 MSM8956

    - 소니 엑스페리아 X, 샤오미 Mi Max, 샤오미 Redmi Note 3 Pro 등


 * 퀄컴 스냅드래곤 652 MSM8976

    - 삼성 갤럭시 A9 2016 에디션, 삼성 갤럭시 A9 Pro, LG G5 SE (SPEED) 등


 * 퀄컴 스냅드래곤 653 MSM8976 Pro

    - 삼성 갤럭시 C9 Pro 등


 * 미디어텍 MT8173


 * 미디어텍 MT8176

    - 샤오미 Mi Pad 3 등


 * 미디어텍 Helio X20 MT6797

    - 메이주 MX6 등


 * 미디어텍 Helio X23 MT6797D


 * 미디어텍 Helio X25 MT6797T

    - 메이주 PRO 6, 메이주 PRO 6s 등


 * 미디어텍 Helio X27 MT6797X


 * 하이실리콘 Kirin 950

    - 화웨이 Mate 8, 화웨이 Honor V8, 화웨이 Honor 8 등


 * 하이실리콘 Kirin 955

    - 화웨이 P9, 화웨이 P9 Plus, 화웨이 Honor V8, 화웨이 Honor Note 8 등



Cortex-A73 아키텍처는 다음의 모바일 CPU에서 대표적으로 사용되고 있습니다.


 * 퀄컴 스냅드래곤 835의 Kryo 280

    - 삼성 갤럭시 S8, 삼성 갤럭시 S8+, 삼성 갤럭시 노트8, 구글 픽셀 2, 구글 픽셀 2 XL, LG V30, 소니 엑스페리아 XZ 프리미엄, 소니 엑스페리아 XZ1, 원플러스 5, 원플러스 5T 등


 * 퀄컴 스냅드래곤 845의 Kryo 385

    - 삼성 갤럭시 S9, 삼성 갤럭시 S9+, LG G7 ThinQ, 소니 엑스페리아 XZ2, 소니 엑스페리아 XZ2 컴팩트, 소니 엑스페리아 XZ2 프리미엄, 샤오미 MI MIX 2S 등


 * 삼성 엑시노스 7885 / S5E7885

    - 갤럭시 J7 Duo, 갤럭시 A8 2018 에디션, 갤럭시 A8+ 2018 에디션 등


 * 미디어텍 Helio X30 MT6799

    - 메이주 PRO 7 Plus 등


 * 하이실리콘 Kirin 960

    - 화웨이 Mate 9, 화웨이 Mate 9 Pro, 화웨이 P10, 화웨이 P10 Plus 등


 * 하이실리콘 Kirin 970

    - 화웨이 Mate 10, 화웨이 Mate 10 Pro, 화웨이 Honor V10 등



따라서 구글의 안드로이드 보안패치가 필요할 것으로 예상됩니다.


위의 목록은 플래그십 등 대표적인 모바일 기기만을 언급한 것에 불과합니다.

취약점의 영향을 받는지에 대한, 보다 정확한 내용은 해당 제조사에게 문의하시기 바랍니다.


--


<Apple>


애플의 모든 Mac과 iOS 기기는 2018년 1월의 멜트다운 & 스펙터 취약점에 취약합니다.

즉, 맥북과 iOS 11.2.2 미만의 아이폰, 아이패드, 아이팟 등 거의 모든 애플 제품이 해당됨을 알 수 있습니다.


 * Apple: All Mac Systems and iOS Devices Are Affected by Meltdown & Spectre Flaws

   ( https://www.bleepingcomputer.com/news/apple/apple-all-mac-systems-and-ios-devices-are-affected-by-meltdown-and-spectre-flaws/ )


 * 애플의 모든 Mac과 iOS가 멜트다운 & 스펙터 취약점에 취약해

   ( http://la-nube.tistory.com/313 )


 * iOS 11.2 업데이트 ( https://support.apple.com/ko-kr/HT208334 )

    - CVE-2017-5754 : 응용 프로그램에서 커널 메모리를 읽을 수 있음 (Meltdown, 멜트다운)

       2018년 1월 4일에 추가되고 2018년 1월 10일에 업데이트된 항목


 * iOS 11.2.2 업데이트 ( https://support.apple.com/ko-kr/HT208401 )

    - CVE-2017-5753 & CVE-2017-5715 : Safari 및 WebKit에 대해 Spectre (스펙터) 효과를 완화시키는 보안 개선 사항을 포함합니다.


이번에 발표된 2018년 5월의 스펙터 변종 4가 Mac과 iOS 기기에 어떤 영향을 미치는 지에 대해서는 아직 공개된 내용이 없습니다만, 차후 애플의 보안 패치 내역(예를 들어, iOS 11.3.2 또는 11.4 정식버전 등)에서 알 수 있을 것으로 전망됩니다.


--


<Debian>


CVE-2018-3639

https://security-tracker.debian.org/tracker/CVE-2018-3639


데비안 9 Stretch (Stable)

 * linux 4.9.88-1+deb9u1은 취약하나, 아직 보안 패치 없음

 * xen 4.8.3+xsa262+shim4.10.0+comet3-1+deb9u6은 취약하나, 아직 보안 패치 없음

 * intel-microcode 3.20170707.1~deb9u1은 취약하나, 아직 보안 패치 없음

 * amd64-microcode 3.20160316.3은 취약하나, 아직 보안 패치 없음


데비안 8 Jessie (OldStable) // 리눅스민트 데비안에디션(LMDE) 2 Betsy

 * linux 3.16.56-1+deb8u1은 취약하나, 아직 보안 패치 없음

 * xen 4.4.1-9+deb8u10은 취약하나, 아직 보안 패치 없음

 * intel-microcode 3.20170707.1~deb8u1은 취약하나, 아직 보안 패치 없음

 * amd64-microcode 2.20160316.1~deb8u1은 취약하나, 아직 보안 패치 없음


데비안 7 Wheezy (OldOldStable)

 * linux 3.2.101-1은 취약하나, 아직 보안 패치 없음

 * xen 4.1.6.lts1-13은 취약하나, 아직 보안 패치 없음

 * intel-microcode 1.20150121.1은 취약하나, 아직 보안 패치 없음

 * amd64-microcode 1.20160316.1은 취약하나, 아직 보안 패치 없음


--


<Ubuntu>


우분투 18.04 LTS


우분투 16.04 LTS // 리눅스민트 18 ~ 18.3


우분투 14.04 LTS // 리눅스민트 17 ~ 17.3 // 하모니카


 * 우분투(Ubuntu) LTS 리눅스 커널 업데이트 - Spectre Variant 4

   ( http://la-nube.tistory.com/418 )


--


<CentOS>


CentOS 7.5


CentOS 6.9


 * 센트OS(CentOS) 리눅스 커널 업데이트 - Spectre Variant 4

   ( http://la-nube.tistory.com/419 )


--


<Microsoft>


발표된 정보는 없으나, 보안 패치를 준비 중인 것으로 알려져 있습니다.

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180012


--


::: 본 문서의 무단전재 및 재배포를 금지합니다 :::



출처: http://la-nube.tistory.com/420 [la Nube | 라 누베]

번호 제목 글쓴이 날짜 조회 수
공지 하모니카 커뮤니티 2018-05 웹로그 분석 요약 [5] Kevin 2018.06.02 195
공지 우분투(Ubuntu) LTS 리눅스 커널 업데이트 - Spectre Variant 4 la_Nube(누베) 2018.05.22 144
공지 Avidemux 2.7 오픈 소스 비디오 에디터, FFmpeg 3.3 지원, VP9 디코딩 수정 추가 [2] 행복한펭귄 2018.05.19 187
공지 Asteroid OS 1.0-안드로이드 스마트 웨어러블 OS 공개 [1] PEACH 2018.05.18 164
공지 [잡담] 유튜브에는 하모니카 리눅스가 없다??? [6] 행복한펭귄 2018.05.15 308
공지 엑셀 대신 쓸만한 무료 오픈소스 제품 7선 [1] 행복한펭귄 2018.05.15 252
공지 (택배회사 사칭) 한국어를 구사하는 랜섬웨어 유포자, 이젠 매크로 기반으로 갠드크랩 유포 중 [1] la_Nube(누베) 2018.05.15 80
공지 [모두의 의견을 듣고 싶습니다!] 하모니카 커뮤니티 Readme 18.04 [10] PEACH 2018.04.30 264
공지 [배포판 제작] Pinguy Builder를 이용하여 Ubuntu 18.04 LTS Live System을 구축할 수 있습니다. [5] 행복한펭귄 2018.04.18 156
공지 [프로그램번역]PlayonLinux 최신 번역 [3] Moordev 2018.04.03 251
공지 하모니카 커뮤니티 소개 [18] Kevin 2018.04.01 280
공지 공식 커뮤니티 채널 안내 [3] Kevin 2018.02.12 235
공지 차기 버전에 꼭 들어갔으면 하는 패키지를 추천해 주세요. [35] 하모니카 2014.12.12 177102
1397 인텔, 멜트다운과 스펙터 잇는 또 다른 취약점 발견 [5] la_Nube(누베) 2018.06.15 209
1396 우분투(Ubuntu) LTS 리눅스 커널 업데이트 - 2018.06.11. la_Nube(누베) 2018.06.13 102
1395 김프 2.10 웹 문서 번역 절차? [1] 세벌 2018.06.11 126
1394 리눅스 민트 19 타라 설치 후 가장 먼저 해야 할 일 10가지 팁 행복한펭귄 2018.06.10 267
1393 gimp 2.10 리눅스에서 내려 받으려면 [3] 세벌 2018.06.10 143
1392 우분투 14.08(?) / mint 19 초보가 2가지 설치 후 .... [5] neo813 2018.06.09 229
1391 Firefox 보안 업데이트 권고 la_Nube(누베) 2018.06.08 84
1390 데비안 사이트 건드리다가 사고쳤네요. [3] 세벌 2018.06.08 197
1389 리눅스민트 19 Tara 베타 버전이 나왔습니다! la_Nube(누베) 2018.06.05 183
1388 데비안(Debian) 리눅스 커널 업데이트 - 2018.06.01. [1] la_Nube(누베) 2018.06.04 107
1387 구글 크롬(Chrome) 67.0.3396.62 업데이트 la_Nube(누베) 2018.05.30 106
1386 파이어폭스 63의 새로운 추적 방지 - 코인 채굴기 차단 la_Nube(누베) 2018.05.30 106
1385 [잡담] 일반인들이 리눅스를 어려워하는 이유(주관적) [19] 리눅스초짜 2018.05.29 461
1384 테크래빗(TechRabbit) 정보유출로 인한 해외결제 주의 [1] la_Nube(누베) 2018.05.25 174
1383 중국 정부 기관 구매 PC에 자체 리눅스 탑재 의무화 예정 [2] PEACH 2018.05.24 266
1382 센트OS(CentOS) 리눅스 커널 업데이트 - Spectre Variant 4 la_Nube(누베) 2018.05.23 52
1381 썬더버드(Thunderbird) 52.8.0 업데이트 la_Nube(누베) 2018.05.23 41
» CPU 취약점 Spectre Variant 4 (스펙터 변종 4) 발표됨 [4] la_Nube(누베) 2018.05.22 149
loginbox
아직 회원이 아니세요? MEMBER JOIN