谷歌在英特尔CPU中发现了一个新的安全漏洞，攻击者可以利用该漏洞在易受攻击的系统上执行代码。该漏洞被谷歌命名为“Reptar”，影响众多英特尔CPU，包括云计算环境中使用的CPU。

Reptar是一个侧通道漏洞，编号为CVE-2023-23583。它允许攻击者从易受攻击的系统中泄露信息，并利用它来窃取信用卡号、密码等敏感数据。

该漏洞是由谷歌信息安全工程团队发现的，该团队向英特尔和行业合作伙伴通报了该问题，并在公开披露之前推出了缓解措施。

根据谷歌的博文，一家公司的安全研究人员在CPU解释冗余前缀的方式中发现了它，如果成功利用，它可以让攻击者绕过CPU的安全边界。

供您参考，前缀允许用户通过禁用/启用不同的功能来更改指令的行为方式。那些没有意义或与其他前缀冲突的前缀称为冗余前缀。此类前缀通常会被忽略。

Reptar的工作原理是利用Intel CPU处理推测执行方式中的一个问题。推测执行是一种允许CPU在完全验证之前执行指令的技术。尽管这种技术节省时间，但它会使CPU容易受到旁道攻击。

Reptar漏洞对多租户虚拟化环境来说是一个严重的风险，该漏洞会导致主机在来宾计算机上崩溃，从而导致连接到同一主机的其他来宾计算机拒绝服务。此外，它还可能导致权限升级或信息泄露。

在多租户虚拟化环境中，多个租户共享相同的物理硬件，因此如果一个租户感染了Reptar，攻击者就可以通过同一漏洞访问其他租户的数据。

Qualys是一家总部位于加利福尼亚州福斯特城的颠覆性云IT、安全和合规解决方案提供商，其首席威胁情报分析师Aubrey Perin对此问题评论道：“无论如何，这个错误可能会很严重，因为攻击者可能会开始测试看看看似随机的输出是否有任何顺序。就目前情况而言，这听起来更像是一种可以用来摧毁系统的奇怪现象。”

佩林先生进一步解释说：“在不检查补丁目录的情况下，很难说它不是通常发现的错误的典型。在这种可能导致崩溃的情况下，安全团队绝对应该优先考虑补丁实施，以消除失败的风险。”

“研究人员确实一直在发现漏洞，通常是为了获得赏金，并且当遵循负责任的披露实践时，它会让用户受益。谷歌是负责任披露的非常好的实践者，你经常可以在与补丁相关的注释中找到披露漏洞的研究人员或组织的参考信息，”他补充道。

英特尔已发布公告来确认该问题，并解释说，该问题是在某些英特尔处理器中发现的，是由CPU处理冗余前缀时出现错误引起的。该公司已针对该问题发布了补丁。它的CVSS评分为8.8，并被宣布为高安全漏洞。

此 CPU 漏洞影响多个英特尔台式机、移动设备和服务器CPU，包括第10代英特尔® 酷睿™ 处理器家族、第三代英特尔® 至强® 处理器可扩展家族、英特尔®至强®D处理器和第11代英特尔® 酷睿™ 处理器家族，以及云计算环境中使用的CPU等。

该公司正在研究长期修复方案。与此同时，它建议用户立即修补他们的设备。