九游老哥云
Meltdown和Spectre处置惩罚器误差威胁处置惩罚建议
2018-01-11
一. 误差摘要
2018年1月4日 ，外洋研究机构披露了”Meltdown”(CVE-2017-5754)和”Spectre”(CVE-2017-5753& CVE-2017-5715)两组CPU特征误差 ，误差爆出后 ，研究职员也陆续宣布种种检测POC ，相关操作系统厂商以及浏览器支持厂商也陆续宣布修复补丁 ，详情参照误差补丁更新章节
使用Meltdown误差 ，低权限用户可以会见内核的内容 ，获取外地操作系统底层的信息；当用户通过浏览器会见了包括Spectre恶意使用程序的网站时 ，用户的如帐号 ，密码 ，邮箱等小我私家隐私信息可能会被走漏；在云服务场景中 ，使用Spectre可以突破用户间的隔离 ，窃取其他用户的数据。
二. 误差补丁更新
2.1 Windows系统补丁更新
1月3日晚 ，微软宣布了针对Meltdown和Specter的系统清静更新 ，企业或小我私家用户开启系统更新功效实时打全最新的清静补丁。
企业或小我私家用户可以选择自动更新或手动下载补丁举行更新 ，补丁下载地点见附录A。
自动更新：
在企业内网情形中 ，可以通过WSUS服务器毗连到Microsoft Update来获取更新程序 ，并分发给企业网络中的客户端盘算机实现批量更新。
小我私家用户可以进入“设置”-“更新与清静” ，选择“检查更新” ，装置补丁。部分兼容性上保存问题的用户则需要继续耐心期待几天。
手动更新：
凭证以下版本与对应KB号 ，在微软清静建议https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002 ，查到对应更新软件包并下载更新。
现在的系统补丁尚不可完整修复Meltdown和Spectre处置惩罚器误差 ，企业和用户可能需要特另外芯片组固件更新。若是条记本电脑/台式机/服务器供应商提供了特另外芯片组固件更新 ，可以从官方站点获取 ，装置并完成修补程序。
2.2 Linux系统补丁更新
Linux Kernel
Linux 宣布了内核补丁 ，版本包括 4.14.11、4.9.74、4.4.109、3.16.52、3.18.91 和 3.2.97 ，用户可以从 Kernel.org 上下载。
参考链接：
https://www.kernel.org/
Red hat:
红帽公司已经宣布通告 ，其中列出受到影响的产品及其目今状态。建议内容批注：关于正在运行受影响版本产品的红帽客户 ，强烈建议用户尽快凭证指导清单举行更新。所有受影响产品都应装置修复补丁。
Ret Hat清静通告地点：https://access.redhat.com/security/vulnerabilities/speculativeexecution
受到Meltdown影响的产品名称
|
Red Hat Enterprise Linux 7(已更新) Red Hat Enterprise Linux 6(部分更新) Red Hat Enterprise Linux 5(待更新) RHEL Atomic Host(待更新) Red Hat Enterprise MRG 2 (已更新) |
受到Spectre影响的产品名称
|
Red Hat Enterprise Linux 7 (已更新) Red Hat Enterprise Linux 6 (部分更新) Red Hat Enterprise Linux 5 (待更新) RHEL Atomic Host (待更新) Red Hat Enterprise MRG 2(已更新) Red Hat Virtualization 3ELS、4(RHEV-H/RHV-H)(已更新) Red Hat OpenStack v6 (待更新) Red Hat OpenStack v7 (待更新) Red Hat OpenStack v8 (待更新) Red Hat OpenStack v9(待更新) Red Hat OpenStack v10 (待更新) Red Hat OpenStack v11 (待更新) Red Hat OpenStack v12 (待更新) |
CentOS:
CentOS团队克日面向64位（x86_64）CentOS 7在内的多个版本宣布内核清静补丁 ，重点修复了日前爆发的Meltdown（熔断）和Spectre（幽灵）两个误差。CentOS 7基于Red Hat Enterprise Linux 7 ，本次宣布的清静更新是在Red Hat近期宣布的修复补丁上举行定制优化的。
现在保存问题的软件包括kernel-3.10.0-693.11.6.el7.x86_64.rpm kernel-abi-whitelists-3.10.0-693.11.6.el7.noarch.rpm kernel-debug-3.10.0-693.11.6.el7.x86_64.rpm kernel-debug-devel-3.10.0-693.11.6.el7.x86_64.rpm kernel-devel-3.10.0-693.11.6.el7.x86_64.rpm以及kernel-doc-3.10.0-693.11.6.el7.noarch.rpm。
别的kernel-headers-3.10.0-693.11.6.el7.x86_64.rpm kernel-tools-3.10.0-693.11.6.el7.x86_64.rpm kernel-tools-libs-3.10.0-693.11.6.el7.x86_64.rpm kernel-tools-libs-devel-3.10.0-693.11.6.el7.x86_64.rpm perf-3.10.0-693.11.6.el7.x86_64.rpm和 python-perf-3.10.0-693.11.6.el7.x86_64.rpm也需要更新。
参考链接：
CentOS 6 kernel Security Update
https://lists.centos.org/pipermail/centos-announce/2018-January/022701.html
CentOS 7 kernel Security Update
https://lists.centos.org/pipermail/centos-announce/2018-January/022696.html
Debian:
已针对Meltdown误差提供更新。
参考链接：https://security-tracker.debian.org/tracker/CVE-2017-5754
Ubuntu:
Ubuntu清静团队的Dustin Kirkland体现新款补丁已经由了两个多月的测试 ，包括Ubuntu 12.04 ESM (Extended Security Maintenance) Ubuntu 14.04 LTS Ubuntu 16.04 LTS和Ubuntu 17.10在内所有尚处于支持状态的Ubuntu刊行版本都会在近期获得更新。
参考链接：https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown
Suse:
将为所有企业版SUSE Linux（SLE）提供Meltdown与Spectre补丁更新 ，凭证官方形貌 ，Suse也将提供AMD 与 Intel处置惩罚器微程序包的固件与QEMU / KVM更新更新。
现在已提供更新的SLE版本如下：
|
SLES 12 SP3 SLES 12 SP2 SLES 12 SP1-LTSS SLES 12-LTSS SLES 11 SP4 SLES 11 SP3-LTSS SUSE CaaS Platform |
参考链接：https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities/
Fedora:
已针对Fedora Linux操作系统（含Fedora26、Fedora27版本）与Rawhide (内核 4.15最终测试版本)提供更新补丁包 ，以降低遭到Meltdown攻击的危害。
参考链接：https://fedoramagazine.org/protect-fedora-system-meltdown/
2.3 芯片组固件更新
Intel 方面在1月4号宣布了新通告体现 ，将包管 90%的 CPU（近5年的）固件更新会在下周竣事前所有放出。现在他们已经在和其他相助同伴举行这些 CPU 更新。初始装备制造商和其他硬件供应商需要将这些固件更新包括在自己的产品更新中。除此之外 ，该公司重申 ，固件更新不会造成显著的性能下降 ，并允许会随着时间的推移对这些补丁举行测试和优化 ，以进一步减轻对性能的影响。
详细内容请下载报告
