来自六所大学的研究人员以及防病毒提供商Bitdefender Holding BV今天详细介绍了英特尔公司中央处理单元中的一个漏洞，理论上可以被黑客利用来窃取数据。
英特尔已与该披露同时发布了该漏洞的补丁程序。
研究人员已将缺陷命名为Load Value Injection(简称LVI)。它与几年前在英特尔处理器中发现的臭名昭著的Meltdown和Spectre漏洞相似。识别此最新漏洞的小组成员还发现了Meltdown和Spectre。
像其前身一样，LVI利用称为推测执行的CPU功能的弱点来促进攻击。推测执行是一种提高处理速度的方法，其中CPU猜测程序将在不久的将来执行什么计算，并提前执行这些计算。如果猜测是错误的，则将结果简单地丢弃。
Meltdown的工作原理是，允许黑客在CPU等待看是否正确的同时读取推测性计算的结果。因此，可以查看有漏洞的计算机正在处理的数据。反过来，LVI依靠一种相关但又不同的策略，使攻击者可以让CPU运行恶意代码，就好像它是合法的推测性计算一样。
研究人员在他们为LVI设立的网站中解释说：“我们通过隐藏的处理器缓冲区将攻击者的数据走私('注入')到受害者程序中，并劫持瞬时执行以获取敏感信息，例如受害者的指纹或密码。”。
利用此漏洞，可以窃取SGX安全区中的数据，SGX安全区是Intel处理器内存中用于存储特别重要的记录(如加密密钥)的隔离部分。LVI可能还会使黑客通过恶意网站感染易受攻击的计算机。
对于企业而言，好消息是，该漏洞构成的威胁的严重程度受到实践中利用漏洞的复杂性的限制。英特尔今天在一份通报中说：“由于成功执行LVI方法必须满足众多复杂要求，因此，英特尔不认为LVI在可信赖的OS和VMM的现实环境中是一种实际的利用。”
但是某些黑客仍可能在某些情况下尝试利用此漏洞。这是因为LVI的软件修补程序将CPU速度降低了2到17倍(具体取决于应用方式)，这种降低速度预计会导致许多管理员避免安装此修补程序。英特尔计划在未来的产品中增加针对LVI的硬件级别缓解措施，以消除遭受攻击的风险。