Intel 处置惩罚器硬件“VoltJockey”（骑士）误差危害通告

宣布时间 2019-12-11

误差编号和级别


CVE编号：CVE-2019-11157 ，危险级别：高危 ，CVSS分值：厂商自评：7.9 ，官方未评定


影响版本


Intel Core 第6、7、8、9和第10代处置惩罚器

Intel Xeon 处置惩罚器E3 v5和v6

Intel Xeon 处置惩罚器E-2100 和 E-2200


误差概述


2019年12月10日 ，Intel官朴直式确认并宣布了“VoltJockey”（骑士）误差通告。该误差是由于现代主流处置惩罚器微系统架构设计时接纳的动态电源管理� ？镈VFS（Dynamic Voltage and Frequency Scaling）保存清静隐患造成的 ，保存提权和信息泄露的危害。


VoltJockey误差基于电压故障注入对CPU举行攻击 ，使用硬件故障对CPU的硬件隔离设施（如TrustZone）举行攻击。差别于古板接纳编程接口误差的攻击方法 ，该要领完全接纳CPU的硬件误差 ，防御起来相对难题 ，且关于类似TrustZone的其它CPU的硬件清静扩展也有类似效果。现在VoltJockey误差普遍保存于主流处置惩罚器芯片中 ，可能涉及目今大宗使用的手机支付、人脸/指纹识别、清静云盘算等高价值密度应用的清静 ，影响面广。


另外该清静误差仅当在Intel SGX（Software Guard Extensions）开启时才保存。Intel已经向系统制造商宣布了固件更新 ，以缓解这一潜在的误差。


误差验证


暂无POC/EXP。


修复建议


Intel建议受影响的用户与系统制造商联系 ，以获取可缓解此问题的最新BIOS。


参考链接


https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00289.html