關於近日 Intel 處理器的一個主要安全漏洞的消息，研究人員確認了影響多個處理器硬件衍生的三個變種漏洞，稱為Meltdown及Spectre，兩者都可以被描述為“旁道攻擊”，攻擊者可以竊取儲存在受害人系統上運行的程式記憶體中的密碼、客戶數據、IP等等，他們可以跨 PC、移動裝置及雲端竊取資料，理論上允許 Guest VM 虛擬機客戶從同一公共雲端伺服器上竊取其他客戶虛擬機中的數據，特別令人擔憂。

研究人員已把漏洞命名「Meltdown」(CVE-2017-5754)及「Spectre」(CVE-2017-5753 與 CVE-2017-5715) 兩組處理器特性漏洞，其中Meltdown的錯誤通常是在處理器級別執行的安全邊界，允許正常的應用程式讀取Private kernel Memory的內容。

Intel在1995年以來推出的處理器都受影響，除了2013年之前推出的Itanium和Intel Atom 處理器。雖然AMD處理器不會受到影響，但它也會影響某些Arm核心，Linux、Windows和OS X系統可通過修補程式解決安全漏洞。

「Spectre」無疑是兩種威脅中較為危險的一種，因為這種威脅難以緩解，儘管它也被形容為難以被利用。「Spectre」涉及到CVE-2017-5753的邊界檢查迴避及CVE-2017-5715的分支目標程式碼，並影響幾乎所有 Intel、ARM及AMD處理器系統的桌面、筆記本電腦、雲端伺服器及智能手機領域。

據悉，漏洞會造成處理器運作機制上洩露訊息，低權級的攻擊者可以通過漏洞來遠程洩露（瀏覽器形式）用戶資料或本地洩露更高權級的記憶體訊息。

實際攻擊場景中，攻擊者在一定條件下可以做到：

洩露出本地操作系統底層運作信息，秘鑰訊息等；通過獲取洩露的訊息，可以繞過內置記憶體(Kernel)、虛擬機超級管理器(HyperVisor)的隔離防護；雲端服務中，可以洩露到其它租戶隱私信息；通過瀏覽器洩露受害者的帳號、密碼、內容、郵箱、cookie等用戶隱私信息；

研究人員聲稱，與正常的惡意軟件不同，Meltdown和Spectre很難與常規應用程式區分開來，因此不太可能被一般的防毒軟件發現，亦不會在傳統的日誌文件中留下蹤跡及難以察覺，甚至難以確定Meltdown和Spectre等攻擊途徑是否已遭濫用。