幽灵 (Spectre) 和熔断 (Meltdown) 安全漏洞更新

什么是幽灵和熔断?

幽灵和熔断是漏洞,可被恶意软件用作推测执行旁路攻击。目前还没有关于幽灵或熔断的已知积极利用。

  • 幽灵可从机器上运行的其他应用程序的内存中窃取数据,影响几乎各种现代处理器,包括来自 AMD、ARM 和 Intel 的处理器。

  • 熔断能够读取受保护的内存,操作系统更新可以轻易修复此漏洞,影响范围似乎仅限于 Intel 芯片。
哪些产品受到影响?

请查看我们的附加信息页面,了解受影响的产品和补丁发布的时间表。

随着补丁发布日期的确定,页面将持续更新。

Zebra 建议我怎么做?

Zebra 鼓励客户制定和坚持定期的软件维护计划。Zebra 正在积极地与操作系统和处理器供应商合作,以便及时地提供解决方案。

应该锁定能够运行应用程序代码的 Zebra 设备,以防恶意应用程序试图利用漏洞进行加载。只有从可信的来源加载应用程序代码,才可以减轻利用幽灵或熔断的恶意代码的影响。目前还没有报告表明已成功复制这些漏洞,从而导致 ARM 或 Intel 架构的 Android 设备出现安全问题。

  • 安全补丁等级为 2018-01-05 的 Android 产品将根据安全补丁等级 2018-03-05 的合规性要求更新 CVE-2017-13218 的其他缓解措施。Zebra 移动计算设备可以通过锁定的配置进行保护,或者通过使用 Enterprise Home Screen 来限制可以启动的应用程序。Zebra Android 设备更新时间表

  • Microsoft 支持下的 Microsoft 产品将由 Microsoft 更新。Windows CE 和 Windows Mobile 操作系统正在接受调查。请参阅 Microsoft 的幽灵/熔断页面了解更多信息。

  • 可能会受幽灵漏洞影响的打印机产品仅限于 ZT510、ZT610 和 ZT620。目前部署的各种其他打印机产品都使用不受幽灵影响的处理器核心。虽然 ZT510、ZT610 和 ZT620 可能会受到幽灵的影响,但不会直接受到影响,因为打印机只能执行 Zebra 编写的代码。Zebra 打印机不容易受到熔断的影响。

  • 对于有资格升级的 Zebra OneCare Premier(托管服务)客户设备,可以作为客户约定的发布管理权限的一部分进行计划。Zebra 提供的云基础设施服务会随着补丁的发布而更新。

 

参考号
01-0118-01

漏洞发布日期
2018-01-03

  • 变体 1 - CVE-2017-5753,幽灵:边界检查旁路

  • 变体 2 - CVE-2017-5715,幽灵:分支目标注入

  • 变体 3 - CVE-2017-5754,熔断:恶意数据缓存加载,内核内存读取后执行内存访问权限检查

  • CVE-2017-13218 是对旁路攻击的一般缓解措施,也可以解决这个问题。

免责声明:Zebra 会尽力在 Google 发布安全公告时发布安全更新。但是,安全更新的交付时间可能会因地区、产品型号和第三方软件供应商而异。在某些情况下,在安装安全更新之前,必须将操作系统更新到较新的维护版本。各个产品更新将提供具体指导。

除非另有说明,新报告的问题中没有利用或滥用活跃客户信息的现象。



您了解 Zebra Technologies 产品的潜在安全问题吗?