安全公告：NVIDIA 驱动程序针对 CPU 预测侧信道漏洞的安全更新

NVIDIA 驱动程序针对 CPU 预测侧信道漏洞 CVE-2017-5753、CVE-2017-5715、CVE-2017-5754 的回应

---

公告摘要

Google Project Zero 于 2018 年 1 月 3 日公布了能够将 CPU 预测执行与已知侧信道相结合的新信息泄露攻击方式，NVIDIA 现提供缓解此问题的初始安全更新。

NVIDIA 的核心业务是 GPU 计算。

我们相信我们的 GPU 硬件不会受到所报告安全问题的影响。对于我们的驱动程序软件，我们将提供帮助缓解 CPU 安全问题的更新。

此漏洞有以下三个已知变体：

• 变体 1 (CVE-2017-5753)：本公告中提供的安全更新随附了 CPU 缓解措施。NVIDIA 会就未来更新与生态系统合作伙伴开展合作，以进一步巩固针对受影响 CPU 的缓解措施。
• 变体 2 (CVE-2017-5715)：NVIDIA 的初步分析表明，在受影响 CPU 上运行的 NVIDIA 软件可能需要进一步更新。NVIDIA 将与生态系统合作伙伴就此变体开展合作。
• 变体 3 (CVE-2017-5754)：目前，NVIDIA 认为 NVIDIA 软件在受影响的 CPU 上运行时不会受到此漏洞变体的影响。

如需了解更新以及更多信息，敬请关注 NVIDIA 产品安全页面。

漏洞详细信息

以下部分是对这些漏洞的概述。针对这些漏洞的详细说明发布在 MITRE 上，风险评估遵循 CVSS。

CVE-2017-5753

配备有利用预测执行和分支预测的微处理器的计算机系统，可能会允许具有本地用户访问权的攻击者在未经授权的情况下通过侧信道分析获取信息。

CVSS 基本评分：8.2
CVSS Vector: CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

CVE-2017-5715

配备有利用预测执行和间接分支预测的微处理器的计算机系统，可能会允许具有本地用户访问权的攻击者在未经授权的情况下通过侧信道分析获取信息

CVSS 基本评分：8.2
CVSS Vector: CVSS:3.0/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

CVE-2017-5754

配备有利用预测执行的微处理器的计算机系统，可能会允许具有本地用户访问权的攻击者在未经授权的情况下通过对数据缓存的侧信道分析获取信息。

CVSS 基本评分：7.9
CVSS Vector: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

NVIDIA 的风险评估基于各种已安装系统中的平均风险，可能并不代表您本地安装的真正风险。NVIDIA 建议咨询安全或 IT 专家，对您的特定配置进行风险评估。

已更新的产品

产品	操作系统
GeForce、Quadro、NVS 驱动程序软件	Windows、Linux、FreeBSD、Solaris
Tesla 驱动程序软件	Windows、Linux
GRID 驱动程序软件	Windows、具备 Hyper-V 的 Windows Server、Linux、Citrix XenServer、VMware vSphere 和 Red Hat KVM

针对 CPU 预测侧信道漏洞的安全更新

在发布后，可以从 NVIDIA 驱动程序下载页面下载更新。

如果您是使用 NVIDIA GRID 的企业服务客户，请访问 NVIDIA 许可中心，获取 NVIDIA GRID 更新。

如果您是使用 DGX-1 或 DGX 工作站的企业服务型客户，请访问 NVIDIA 企业门户以获取指导。

Windows

产品	产品系列	操作系统	驱动程序分支	已更新版本
GeForce	全部	Windows	R390	390.65
Quadro、NVS	全部	Windows	R390	390.65
			R384	386.07
Tesla	全部	Windows	R390	预计于 2018 年 1 月 22 日当周发布
			R384	386.07
GRID	全部	Windows、具备 Hyper-V 的 Windows Server	R367	预计于 2018 年 1 月底发布

Linux

产品	产品系列	操作系统	驱动程序分支	已更新版本
GeForce	全部	Linux、FreeBSD、Solaris	R390	390.12
			R384	384.111
Quadro、NVS	全部	Linux、FreeBSD、Solaris	R390	390.12
			R384	384.111
Tesla	全部	Linux	R390	预计于 2018 年 1 月 22 日当周发布
			R384	384.111
GRID	全部	Linux、Citrix XenServer、VMware vSphere 和 Red Hat KVM	R367	预计于 2018 年 1 月底发布

注意

• Linux 驱动程序包含一些更新内容，用于保持与近期针对此安全问题发布的 Linux 更新的兼容性。

• 如果您使用的是受影响产品的旧版本驱动程序分支，请升级到含 Windows 和 Linux 表格中所列更新的受支持的驱动程序分支。

致谢

无。

获取最新的产品安全信息

如需了解有关 NVIDIA 产品安全事件响应团队 (PSIRT) 所遵循的漏洞管理流程的更多信息，请参阅 NVIDIA 安全公告的当前列表，或者如需订阅安全公告通知，请转至 NVIDIA 产品安全。

修订历史记录

修订	日期	描述
5.0	2018 年 1 月 10 日	增加了关于 GPU 硬件不受影响以及 NVIDIA 正在更新其驱动程序以帮助缓解 CPU 安全问题影响的说明
4.0	2018 年 1 月 9 日	增加了已更新的 NVIDIA GRID 产品的相关信息
3.0	2018 年 1 月 9 日	增加了 Windows 和 Linux 上 Tesla Compute 的驱动程序版本
2.0	2018 年 1 月 8 日	增加了 Windows 上 GeForce 和 Quadro、NVS 的驱动程序版本
1.0	2018 年 1 月 4 日	初始版本

常见问题 (FAQ)

我如何知道自己安装了哪个版本的驱动程序？

1. 启动 Windows 的“设备管理器”。
2. 选择显示适配器。
3. 选择 NVIDIA GPU 节点并单击鼠标右键。
4. 转至驱动程序选项卡。

可按以下示例理解驱动程序版本：10.18.13.6472 表示版本 364.72，而 10.18.13.472 表示版本 304.72

免责声明

所有 NVIDIA 信息、设计规范、参考板、文件、图纸、诊断信息、列表和其他文档（统称与单称均为“资料”）均按“原样”提供。NVIDIA 并未作出与资料相关的明示、暗含、法定或其他形式的保证，并在法律允许的最大范围内排除所有明示或暗含的条件、陈述和保证，包括任何对所有权、适销性、满意度质量、特定用途适用性及非侵权的任何暗含保证或条件

文中提供的信息被认为是准确和可靠的。但是，对使用此类信息的后果或因使用此类信息而可能造成的侵犯第三方专利权或其他权利的后果，NVIDIA Corporation 概不负责。文中并未以暗示的方式或者依据 NVIDIA Corporation 的任何专利或专利权授予许可证。本出版物中所述的规格如有变更，恕不另行通知。本出版物取替以前提供的所有信息。未经 NVIDIA Corporation 明确的书面同意，不得将 NVIDIA Corporation 产品用作生命支持设备或系统中的关键部件。