Failles de sécurité d’exécution spéculative (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754) : Impact sur les serveurs, le stockage et la mise en réseau Dell Technologies

Question : Comment puis-je me protéger contre ces failles de sécurités ?
Réponse : Trois failles de sécurité sont associées à Meltdown et Spectre. Les clients doivent déployer un correctif de système d’exploitation à partir de leur fournisseur de système d’exploitation pour les trois vulnérabilités. Seule spectre variante 2 (CVE-2017-5715) nécessite une mise à jour du BIOS avec le microcode fourni par le fournisseur du processeur. Actuellement, Intel ne dispose pas encore d’une mise à jour de microcode disponible pour se protéger contre la vulnérabilité spectre variante 2.

Voir le tableau ci-dessous:
 

Variante de correctif	Mise à jour du microcode requise ?	Correctif requis pour le système d’exploitation?
Spectre (variante 1) CVE-2017-5753	Aucune	Oui
Spectre (variante 2) CVE-2017-5715	Oui	Oui
Meltdown (variante 3) CVE-2017-5754	Aucune	Oui

Question : Quelle est la recommandation actuelle de Dell Technologies concernant la mise à jour des correctifs du système d’exploitation?
Réponse: Reportez-vous aux liens de guidage des correctifs du fournisseur du système d’exploitation.

Question : Dell Technologies dispose-t-il d’une liste de produits d’entreprise qui ne sont pas concernés?
Réponse: Dell Technologies dispose d’une liste de produits d’entreprise qui ne sont pas concernés. Reportez-vous à la section Produits Dell ne nécessitant aucun correctif pour ces trois vulnérabilités CVE .

Question: Que dois-je faire si j’exécute un serveur virtuel ?
Réponse : L’hyperviseur et tous les systèmes d’exploitation invités doivent être mis à jour.

Question: Les navigateurs Internet sont-ils potentiellement concernés? (exploitation de JavaScript variante 2) ?
Réponse : Oui, les navigateurs Internet peuvent être affectés par la vulnérabilité Spectre et la plupart des navigateurs ont fourni des versions ou des correctifs mis à jour pour atténuer cette vulnérabilité potentielle. Pour plus d’informations, reportez-vous aux liens ci-dessous pour Chrome, Internet Explorer et Mozilla.

Question : Qu’en est-il d’iDRAC et de PERC ?
Réponse : Les contrôleurs PERC et iDRAC sont des systèmes fermés qui ne permettent pas l’exécution du code tiers (utilisateur). Spectre et Meltdown nécessitent tous deux la possibilité d’exécuter du code arbitraire sur le processeur. Du fait de cette organisation de code fermée, aucun périphérique ne risque d’être exploité par un microprocesseur d’analyse par canal auxiliaire.

Question : Qu’en est-il des appliances ? Y a-t-il d’autres applications qui ne sont pas affectées?
Réponse: Les systèmes fermés qui ne permettent pas l’exécution du code tiers (utilisateur) ne sont pas vulnérables.

Question: Qu’en est-il des processeurs AMD Opteron ?
Réponse : https://www.amd.com/en/corporate/speculative-execution.

Question : J’ai entendu dire que la vulnérabilité affecte les microprocesseurs depuis au moins 10 ans. Jusqu’à quelle date Dell offre-t-il sa mise à jour du BIOS ?
Réponse : Dell travaille avec Intel pour fournir le BIOS requis avec des correctifs de microcode pour les systèmes PowerEdge qui remontent à notre gamme de produits de 11ème génération. Toutes les mises à jour du BIOS qui contiennent des mises à jour de microcode pour le correctif de sécurité dépendent des fournisseurs de processeurs concernés fournissant des mises à jour de code à Dell Technologies.

Question: Dell Technologies fournira-t-il un support technique pour les systèmes hors garantie?
Réponse: Dell Technologies ne fournit pas de support technique pour les serveurs Dell Technologies PowerEdge qui ne disposent pas d’un contrat de support valide. Les clients peuvent accéder aux documents de support mis à disposition du public sur le site de support technique Dell, quel que soit le statut de leur contrat de support actuel.

Question : Dell Technologies fournira-t-il des correctifs pour les systèmes hors garantie?
Réponse: Les produits de serveur Dell Technologies PowerEdge ne nécessitent pas de contrat de support valide pour pouvoir accéder à nos pages de support et de téléchargement. Les mises à jour du BIOS du serveur PowerEdge sont disponibles sur le site de support Dell Technologies pour tous les utilisateurs, quel que soit l’état actuel du contrat de support. Reportez-vous à la section BIOS mises à jour du BIOS/micrologiciel/pilote pour les serveurs PowerEdge et les produits de mise en réseau pour connaître la disponibilité du BIOS. Les correctifs du système d’exploitation doivent être obtenus auprès de votre fournisseur de système d’exploitation. Reportez-vous aux liens de la section Instructions relatives aux correctifs du système d’exploitation .

Question: Qu’en est-il des nouveaux processeurs AMD EPYC ?
Réponse : Pour les déclarations publiques d’AMD sur Meltdown (CVE-2017-5754) Spectre variante 1 (CVE-2017-5753) et Spectre variante 2 (CVE-2017-5715) en ce qui concerne les processeurs AMD, voir https://www.amd.com/en/corporate/speculative-execution.
Pour spectre variante 1 (CVE-2017-5753), le correctif du système d’exploitation applicable résout ce problème.

Question: Quand les mises à jour du BIOS seront-elles disponibles pour les systèmes PowerEdge basés sur AMD EYPC qui sont concernés par Spectre ?
Réponse : Dell EMC a publié des mises à jour du BIOS pour les plates-formes 14G (R7425, R7415 et R6415) qui sont disponibles sur nos pages de support produit. Les installations en usine de ces BIOS étaient disponibles le 17 janvier 2018.

Question: Quand le BIOS avec mises à jour du microcode Intel sera-t-il installé en usine sur les systèmes PowerEdge basés sur Intel ?  
Réponse : Le BIOS des serveurs PowerEdge 14G et 13G (à l’exception du R930) devrait être disponible en usine le 6 mars 2018.  Le BIOS du PowerEdge R930 devrait être disponible en usine d’ici le 9 mars 2018.