Apple 已推出安全性更新，防範 Meltdown 與 Spectre 漏洞

安全性研究人員最近揭露了兩個安全漏洞，分別命名為 Meltdown 和 Spectre。Meltdown 是一個常見弱點與漏洞（Common Vulnerabilities and Exposures），編號為 CVE-2017-5754，可讓駭客以使用者程序存取應用程式與作業系統所用到的某些記憶體，自 1995 年起所生產的 Intel 處理器皆受到 Meltdown 漏洞所影響。Spectre 是編號 CVE-2017-5753 與 CVE-2017-5715 兩個漏洞的統稱，利用 CPU 檢查記憶體存取指令的有效性時所發生的時間延遲，可讓駭客竊取系統核心或快取檔案內的資料，或是執行中程式儲存在記憶體內的資料，例如：登入憑證（密碼、金鑰等）。受到 Spectre 漏洞影響的處理器包括：Intel、Advanced Micro Devices（AMD）及 Advanced RISC Machine（ARM）。

現今處理器設計均具備「推測執行」功能，它會「推測」接下來將要執行的工作，然後預先將這些工作排入序列，藉此提高資料處理效率，進而提升應用程式／軟體的執行速度。這是業界用來讓處理器效能最佳化的一項技巧。但這個「推測執行」功能卻遭 Meltdown 和 Spectre 這類漏洞攻擊手法不當利用。這類攻擊由權限較低的使用者程序（例如裝置上執行的惡意 app）來存取具有特殊權限的記憶體，包括系統核心。

除了 Apple Watch 以外，所有的 Mac 跟 iOS 裝置都因使用 Intel 或 AMD 架構的處理器而有可能受到影響，但目前所知尚無任何用戶傳出災情。Apple 近期已針對 macOS Sierra 和 El Capitan 發佈安全性更新，其中包含 Meltdown 的因應措施。為防範 Spectre 造成任何影響，Apple 亦針對 iOS、macOS High Sierra 以及 Sierra 和 El Capitan 中的 Safari 發佈更新。

如欲進一步了解，請參見 Apple 技術支援文件：關於 ARM 與 Intel 架構 CPU 的推測執行安全漏洞。