微處理器旁路漏洞 (CVE-2018-3639 和 CVE-2018-3640)：對 Dell 電腦和精簡型用戶端產品的影響

CVE ID：CVE-2018-3639 和 CVE-2018-3640

Dell 知道由 Microsoft Security Response Center （MSRC） 和 Google Project Zero 的研究人員於 2018 年 5 月 21 日發表的旁路漏洞，稱為推測儲存略過 （CVE-2018-3639） 和惡意系統註冊讀取 （CVE-2018-3640），影響到許多現代微處理器。具有本機使用者存取權但沒有高權限的攻擊者，可能會利用這些漏洞讀取高權限的記憶體資料。如需更多資訊，請檢閱 Intel 發佈的安全性更新。

Dell 正在調查這些問題對我們產品的影響。若有適用的影響詳細資料和緩解步驟，我們會定期更新這篇文章。緩解步驟可能因產品而異，並且可能需要更新處理器微碼 （BIOS）、作業系統 （OS） 和其他軟體元件。 

Dell 建議客戶遵循惡意程式碼保護的安全性最佳實務，以協助防止這些漏洞遭到惡意探索，直到日後可套用更新為止。這些實務包括但不限於立即部署軟體更新，避免使用來自未知來源的超連結、網站、檔案或應用程式，以及採用最新的防毒和進階威脅防護解決方案。 

如需其他 Dell 產品的資訊，請參閱 index？page=content&actp=search&id=sln318302。

受影響的 Dell 消費者和商業用戶端產品

以下系統會受到影響，並將透過 Dell BIOS 版本 （BIOS 更新） 獲得更新的韌體。此清單中的日期取決於 CPU 供應商的微碼交付。這些日期是為客戶規劃目的而提供的預估日期，並將在可用時更新下載套件的連結。

注意：

• Dell 正在評估這些問題對 Dell Data Security 產品的影響。Dell 將在可用資訊和補救步驟時更新本文。
• 下表包含為修正此問題而發佈的 BIOS 直接連結 （在「BIOS 版本」欄中），或包含可用的最新 BIOS 的 Dell 電腦產品頁面連結，同時也包含修正此問題的程式碼 （在型號欄中）。

您將需要執行以下操作之一。

• 當您電腦的 BIOS 版本欄中有連結時：
  1. 輕觸或按一下連結，以前往 Dell 下載網站。
  2. 輕觸或按一下下載檔案，然後依照提示操作。
• 若您的電腦的型號欄中有連結：
  1. 輕觸或按一下連結，以前往 Dell 電腦產品頁面的「驅動程式與下載」區段。
  2. 使用「類別：」下的下拉式功能表，選取 BIOS。
  3. 輕觸或按一下電腦列出的最新 BIOS 右側的下載，然後依照提示操作。

參考資料

• Intel 安全性公告 INTEL-SA-00115
• Intel 安全性微型網站
• ADV180012 |Microsoft CVE-2018-3639 的推測存儲繞過指南
• ADV180013 |Microsoft CVE-2018-3640 的惡意系統註冊讀取指南
• Microsoft 安全研究與防禦 部落格
• Google 零漏洞專案報告