针对这两组漏洞，各家芯片厂商，操作系统厂商，浏览器厂商，以及云服务厂商，都积极采取措施，发布安全公告，并及时推出缓解措施和修复补丁。

1、芯片厂商

1.1 Intel

Intel已经确认自身CPU中存在相关问题，并正与包括AMD、ARM和多家操作系统厂商在内的许多其他科技公司紧密合作，制定行业范围的方法，以便及时和建设性地解决这些漏洞。另外Intel认为有些媒体里面的报道并不准确，这些问题不仅仅Intel，其他厂商的CPU中也存在相关问题。

这些问题的修复对性能的影响和具体的工作场景相关，对一般用户而言，影响并不显著，而且随着时间的推移这些影响都会得到缓解。

Intel已经提供软件和固件更新以解决这些漏洞，预计下周末之前会修复最近5年中90%的CPU。Intel的安全公告如下：

• https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

• https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

• https://newsroom.intel.com/news-releases/intel-issues-updates-protect-systems-security-exploits/

• https://www.intel.com/content/www/us/en/architecture-and-technology/facts-about-side-channel-analysis-and-intel-products.html

1.2 ARM

ARM确认大部分处理器不受漏洞影响，但给出了一个受影响的处理器列表。ARM认为，利用这些漏洞进行攻击需要在本地运行恶意软件，用户及时更新软件和不点击来历不明的链接会降低攻击风险。针对linux上的程序，ARM提供了新编译器，可用新编译器重新编译。另外发布了Linux ARM内核补丁，用于修补漏洞，相关页面如下：

• https://developer.arm.com/support/security-update/download-the-whitepaper

• https://developer.arm.com/support/security-update

1.3 AMD

AMD针对每个漏洞做了回复，第一个漏洞由软件、操作系统厂商发布补丁解决，性能影响非常轻微，其他两个漏洞由于AMD CPU特殊的架构，都不受影响。具体如下：

• https://www.amd.com/en/corporate/speculative-execution

2、操作系统

2.1 Windows

微软已经发布了安全通告，修复了IE、Edge、Windows内核中相关问题，并针对普通用户、服务器用户、云用户各自给出了防护指南。

微软普通用户：

• https://support.microsoft.com/help/4073119

服务器用户：

• https://support.microsoft.com/help/4072698

云用户：

• https://support.microsoft.com/help/4073235

微软安全通告：

• https://support.microsoft.com/en-us/help/4073235/cloud-protections-speculative-execution-side-channel-vulnerabilities

2.2 Linux

Linux内核开发者Thomas Gleixner在2017年12月在Linux内核邮件列表中就新的KAISER隔离补丁发布了说明。目前有人怀疑这批补丁可能正是为了解决Linux系统当中的Metldown与Spectre漏洞。具体如下：

• https://lkml.org/lkml/2017/12/4/709

2.3 RedHat

红帽公司已经发布一项建议，其中列出受到影响的产品及其当前状态。建议内容表明：对于正在运行受影响版本产品的红帽客户，强烈建议用户尽快根据指导清单进行更新。所有受影响产品都应安装修复补丁，借以缓解CVE-2017-5753 (变种1)与CVE-2017-5754 (变种3)漏洞。CVE-2017-5715(变种2)可通过本地以及虚拟访客边界两种方式被加以利用。具体如下：

• https://access.redhat.com/security/vulnerabilities/speculativeexecution?sc_cid=701f2000000tsLNAAY&

2.4 安卓

Android团队于2018年1月更新了安全通告：CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754为已经得到公开披露的一系列与处理器内推测执行相关的漏洞。Android尚未发现任何在基于ARM的Android设备之上重现上述漏洞以进行的未授权信息泄露行为。为了提供额外的保护措施，本公告当中包含的CVE-2017-13218更新减少了对高精度定时器的访问，旨在限制旁路攻击（例如CVE-2017-5715、CVE-2017-5753以及CVE-2017-5754）所有已知变种对ARM处理器的影响。具体如下：

• https://source.android.com/security/bulletin/2018-01-01

3、浏览器

利用漏洞在浏览器中进行攻击依赖于新特性SharedArrayBuffer和用于高精度时间计算的函数performance.now。各个浏览器表示都采取了以下两个缓解措施：

• 移除浏览器中可用于攻击的SharedArrayBuffer特性

• 降低用于高精度时间计算的函数performance.now的精确性

加上这两个缓解措施后，JS版本的漏洞PoC代码将无法触发：

3.1 Microsoft Edge

微软已经发布了浏览器补丁：

• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

3.2 FireFox

Mozilla从FireFox 57版本开始采取了这两个缓解措施：

• https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/

3.3 Chrome

谷歌从Chrome 64版本开始采取了这两个缓解措施：

• https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html

4、云服务厂商

4.1 Amazon

Amazon方面已经发布一项安全公告，指出：此项安全漏洞广泛存在于过去20年推出的英特尔、AMD以及ARM等各类现代处理器架构当中，影响范围涵盖服务器、台式机以及移动设备。Amazon EC2体系中除极少数实例外，其余皆受到严格保护。剩余部分的修复工作将在接下来数小时内完成，并附有相关实例维护通知。虽然AWS所执行的更新能够切实保护底层基础设施，但为了充分解决此次问题，客户还应对实例中的操作系统进行修复。目前Amazon Linux更新已经开始发布，具体如下：

• https://aws.amazon.com/security/security-bulletins/AWS-2018-013/

4.2 阿里云

为解决处理器芯片的安全问题，阿里云将在北京时间2018年1月12日凌晨1点进行虚拟化底层的升级更新。届时，阿里云将采用热升级的方式，绝大多数客户不会受到影响。但个别客户可能需要手动重启，阿里云建议客户提前准备运营预案及数据备份。

4.3 腾讯云

腾讯云将于北京时间2018年1月10日凌晨01:00-05:00通过热升级技术对硬件平台和虚拟化平台进行后端修复，期间客户业务不会受到影响。对于极少量不支持热升级方式的，腾讯云另行安排时间手动重启修复，这部分服务器腾讯云安全团队将会另行进行通知，协商升级时间。