MDS漏洞实际是Fallout、RIDL等漏洞的统称。AMD称根据他们对研究人员对漏洞的分析和讨论，认为由于他们的架构中的引进关键保护检查，所以不易受到这些漏洞的影响，他们无法在AMD的产品中展示这些漏洞，并且没有发现有其他人能够做到这一点。

图片来自AMD

同时AMD也发布了一份白皮书，也详细阐述了Zen微架构中的SMT（超线程）设计思路。AMD称被设计成当将数据转发到其他推测操作时，当前处理器的上下文不允许访问数据，所以能够对缓冲区数据进行保护，所以不会受到这些漏洞的影响。

从这方面看AMD在微架构设计上还是有很多考量的，但是硬件设备的安全问题不同于不同于软件，修复这些漏洞需要软硬件共同实施。而对于数据中心等商业应用场景，安全问题也是处于更高的优先级，所以无论是AMD还是Intel，在之后还需要严格把控处理器设计，减少这类漏洞的出现。

虽然微软的安全响应中心（MSRC）暂时没有发现有利用此漏洞的恶意攻击，但同时也表示：“远程桌面协议本身不容易受到攻击。此漏洞是预身份验证，无需用户交互。换句话说，该漏洞是“可疑的”，这意味着利用此漏洞的任何恶意软件都可能以与2017年Wanna Cry恶意软件遍布全球的类似方式造成大面积的恶性感染”。

在启用了网络级别身份验证（NLA）的受影响系统上可能可以部分缓解可能利用此漏洞的“可疑”恶意软件或高级恶意软件的威胁，因为NLA在触发漏洞之前需要进行身份验证。但是，如果攻击者具有可用于成功进行身份验证的有效凭据，则受影响的系统仍然容易受到远程执行代码执行（RCE）的攻击。

所以，微软紧急发布了安全修复补丁，强烈建议仍在使用上文提到的系统的用户安装这些补丁。Windows XP系列的补丁序列号为KB4500331，需要用户手动去微软官网下载安装；Windows 7系列的补丁序列号为KB4499175，用户可以通过Windows Update检查更新并安装或到微软官网自行下载安装。

虽然暂时Windows 8和10不受到影响，但微软连已经停止支持的Windows XP提供了漏洞补丁，这次的漏洞看起来还是挺严重的。

Windows XP补丁下载：微软安全支持Windows 7补丁下载：微软安全支持

来自ZDNet报道，华为Matebook笔记本的漏洞实际上是华为自带的PCManager软件的问题，去年微软推出了Windows 10十月升级版，也就是1809版Windows 10更新，里面增加了内核感测器（kernel sensor）功能，微软增加这个功能本来是为了解决2017年肆虐的WannaCry恶意软件的问题，它可以捕捉到类似的恶意软件，旨在解决内核中恶意代码的检测难题。

华为的PCManager软件在多台Windows 10上就触发了这样的操作，促使微软开始调查，通过对HwOs2Ec10x64.sys逆向工程确定了问题是华为MateBookService.exe存在问题，由于华为对HwOs2Ec10x64.sys的监视机制存在缺陷，攻击者可以创建MateBookService.exe来获得权限提升。

详细的内容可以参考原文，不过微软发现漏洞之后没有公开，而直接跟华为联系，实际上华为已经在今年1月份的安全更新中解决了这个漏洞，国内用户在升级PCManager 9.0.1.70、海外用户升级PCManager 9.0.1.66之后已经封堵了漏洞了。

NVIDIA官方日前发布了新的安全通知，警告GFE之前的版本中存在一个编号为CVE-2019-5674的漏洞，而且是个8.8评分的高危漏洞，在启用S​​hadowPlay或GameStream时，漏洞可能会让攻击者访问系统并创建硬连接，而软件此时不会检查硬连接，导致出现代码执行、拒绝服务或者特权升级等问题。

解决办法也很简单，那就是升级到GFE 3.18及之后的版本，之前的版本都存在这个漏洞。

不过NVIDIA发布安全公告之前，GFE 3.18其实就已经升级了，正常情况下大部分GFE用户应该都是新版了，不会受到漏洞影响。

研究人员解释说通过CPU预测加载数据技术能分辨出CPU随机加载内存页面地址的逻辑并从中获取其信息。这个漏洞在用户空间执行，并不需要特殊权限。不同于类似Rowhammer和cache attack的侧信道攻击，利用Spoiler漏洞可以加速攻击速度。同时这个漏洞不仅可以在物理机内执行，同时也可以在虚拟机环境和沙盒环境中执行，甚至是在如浏览器常用的JavaScript这样的运行时环境中。

而在测试那些硬件会受到影响时，研究人员发现不同于幽灵和熔断漏洞，Spoiler漏洞只在Intel处理器中有效，在相同指令集的AMD处理器和和不同指令集的ARM处理器中并不适用。同时这个漏洞从第一代酷睿处理器开始就存在了，而且是硬件问题，在不同的操作系统中都存在。

在论文中研究人员表示作为硬件漏洞，可能不会有任何软件修复补丁，同时也如同一年前的幽灵和熔断漏洞一样会影响CPU性能。而根据phoronix的报道，Intel的发言人回应了这个问题，说他们已经收到了研究人员的通知，保护用户的信息安全是他们的工作，非常感谢安全社区研究他们的产品。但是到目前为止无论是Intel还是研究人员都没有提供软件或硬件安全补丁。

近年来信息安全越发被人们重视，而近几年无论是IoT设备还是PC领域，硬件的安全漏洞却越来越多。这些漏洞并不容易修复，而且带来的影响更大。厂商在不断提高产品性能的同时，也需要在安全性上多加考虑，才能避免这种事情不断地发生。

但是苹果到目前并没有修复这两个漏洞，这也引发了公众对苹果态度的批评。而苹果公司为提高产品的安全性，已在2016年就推出了漏洞赏金计划，但是在整个计划的运作上并不积极。苹果最近一直在非常被动的接受漏洞的反馈，在修复是也不够积极。在一月时就出现过FaceTime视频聊天的漏洞，但是苹果并没有第一时间响应，而是等到问题扩大后才发现漏洞的严重性，然后才提供一个补丁来修补这个漏洞，同时为漏洞的发现者提供一定的奖励。

虽然苹果提供的奖励很丰厚，但是他们也在考虑所有的风险。所以在会造成钥匙串泄露的漏洞发现者，因为后果严重性考虑而自愿免费为苹果提供详细细节而得不到任何奖励。好消息是，苹果将开始重视这个问题。虽然钥匙串漏洞还没有具体修复时间，但是苹果已经在与Project Zero团队合作评估如何进行修复，并打算在未来的系统版本中解决写入时拷贝的漏洞。

Theo de Raadt是OpenBSD的创始人，而OpenBSD也是类Unix的一个发行版，在一些行业中也有使用，影响力还是很大的。对于英特尔处理器爆出的漏洞，Theo de Raadt的态度一直很激烈，今年6月份的时候他就提到OpenBSD操作系统将默认关闭英特尔的SMT多线程技术（英特尔方面的具体称呼是HT超线程），这种技术通常需要共享TLB缓存及L1缓存数据，这就给了幽灵漏洞这样的侧信道攻击方式有了可乘之机，这也是OpenBSD决定默认禁用HT超线程技术的原因。

在英特尔爆出新的漏洞之后，Theo de Raadt又一次发表了公告，呼吁大家禁用SMT多线程技术，他认为英特尔的SMT多线程技术会加剧漏洞风险，导致系统更容易被攻击，所以希望大家升级固件，并且在BIOS关闭SMT多线程技术。

此外，他还确认了下一个发行版OpenBSD 6.4将默认禁止超线程技术，而现有的OpenBSD 6.2及OpenBSD 6.3由于他们精力有限，无法单独发布勘误表，所以他建议大家对自己负责——在BIOS中禁用SMT多线程技术，并且升级BIOS固件。

有意思的是，他在文末最后一句提到他将来要把钱花在值得信赖的供应商身上，言辞之中对英特尔处理器频繁爆出漏洞颇为不满。

早前爆出的Spectre幽灵、Meltown熔断两个漏洞及其变种修复的差不多了，这次惹出事端的主要是新出现的Foreshadow预兆漏洞，英特尔称之为L1TF漏洞，主要有三个变种，英特尔编号为L1TF-SGX、L1TF-OS/SMM、L1TF-VMM，主要影响英特尔处理器的SFX、SMM及VMM功能，不过其中第一个漏洞评分7.9分，危险性很高。

虽然这个漏洞会影响英特尔的多个系列Core及Xeon处理器，但是这个漏洞对性能的影响并不大，因为大部分影响的都是虚拟服务器等企业级相关的性能，对普通用户来说大家只要知道这次的漏洞修复并不影响PC客户端、数据中心处理器的性能即可，只在某些特定情况下才有可能影响虚拟机客户端的性能。

但是虚拟机主要是企业级客户在用，英特尔大概是怕这方面的测试会影响客户，所以在L1TF漏洞修复补丁改变了许可证协议，其中新增了一条之前没有协议——任何接受微代码升级的都不能发布或者提供任何软件基准测试或者对比测试结果，换句话说英特尔就是禁止那些受到L1TF漏洞影响的客户公布性能损失的测试结果。

这件事引发了Linux社区的不满，Debian社区尤其不认可英特尔的这种做法，并发文指责英特尔的做法会让客户产生不信任感。这事经过媒体曝光之后，英特尔似乎也感受到了压力，已经改变了之前的态度。

来自Hardwareluxx网站的消息称，英特尔已经针对此事发表了评论，表示“作为开源社区的积极成员，我们将继续欢迎所有反馈。”，根据他们的消息，英特尔将修改许可条款，允许发布包括基准测试在内的各种反馈结果。

年初爆出的Spectre幽灵、Meltwon熔断以及最近爆出的Foreshadow预兆等漏洞衍生出了至少6个变种，其中不少变种都是基于侧信道攻击的原理，而这又跟现代处理器的预测执行单元有关，这是提高处理器性能的一个重要设计，有的还会影响处理器的HT超线程技术，这也是为什么英特尔修复漏洞会导致处理器性能下降的重要原因。

英特尔修复X86漏洞会导致部分CPU性能下降

对于性能下降的影响，英特尔之前有过官方测试，绝大多数应用中性能影响非常小，但部分应用中修复漏洞会导致性能明显下降，降幅有5-20%。不过这些测试还是针对桌面处理器的，对服务器处理器来说，它们对多线程的优化更好，性能影响的比例可能更大。

对英特尔来说自然不愿意让人知道修复漏洞会对性能造成影响，Debian社区日前发表了一篇博文，提到了英特尔推出了新的许可证要求，要想更新他们的处理器微代码，就要遵守英特尔的一些规定，其中大部分都是常规法律要求，但是有一条引发了Debian社区不满。

这一条要求任何接受微代码升级的都不能发布或者提供任何软件基准测试或者对比测试结果，简单说就是你要想升级英特尔的漏洞修复补丁，那就得闭嘴，不能跟人说升级补丁之后处理器性能是否下降了或者下降了多少。

Debian社区不认可英特尔的这种做法，认为正确的方法应该是承担错误、推出解决方法，并与客户解决问题，而隐瞒（升级补丁后）后果是不可接受的做法，这样会让客户产生不信任感。