Seitenkanal-Sicherheitslücken von Mikroprozessoren (CVE-2017-5715, CVE-2017-5753 und CVE-2017-5754): Auswirkungen auf Dell Produkte

CVE-ID: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Dell sind die neuen Seitenkanal-Sicherheitslücken (auch Meltdown oder Spectre) bekannt, die viele moderne Mikroprozessoren betreffen. Diese Lücken wurden von einem Team von Sicherheitsexperten analysiert und die Analyse dazu wurde am 3. Januar 2018 veröffentlicht. Bisher wurden keine "realen" Exploits dieser Schwachstellen gemeldet, obwohl Forscher Proof-of-Concepts erstellt haben.

Patch-Anweisungen

Aktualisierung 11. Oktober 2019:

Es gibt drei wesentliche Komponenten, die zur Verringerung des Risikos der oben genannten Sicherheitslücken angewendet werden sollten:

1. Wenden Sie das Prozessor-Mikrocode-Update über die BIOS-Aktualisierung, die nachfolgend im Abschnitt Betroffene Dell Produkte aufgeführt ist, an.
2. Wenden Sie den entsprechenden Betriebssystem-Patch an. Siehe Abschnitt Patch-Anweisungen für Betriebssystem unten.
3. Für die zutreffenden Systeme wenden Sie das NVIDIA Treiberpaket an, das im Abschnitt Dell Client Produkte mit NVIDIA GPU aufgelistet ist. Für Plattformen mit GeForce Experience (GFE) Software enthält das Treiberpaket außerdem eine eingegrenzte Version von GFE.

Die Betriebssystem-Patches bieten Schutz vor Spectre (Variante 1) und Meltdown (Variante 3). Das NVIDIA Treiber-Update bietet eine Eingrenzung für Spectre (Variante 1). Das Microcode-Update ist nur für Spectre (Variante 2), CVE-2017-5715 erforderlich.

Dell wird diesen Artikel aktualisieren, sobald neue Informationen verfügbar sind, darunter auch betroffene Geräte und Schritte zur Fehlerbehebung.

Dell empfiehlt den Kunden, die Best Practices zum Schutz vor Malware generell zu befolgen, um diese Sicherheitslücken zu schließen. So sollen z. B. Softwareaktualisierungen zügig durchgeführt, unbekannte Hyperlinks und Websites nicht angeklickt, Dateien oder Anwendungen von unbekannten Quellen nicht heruntergeladen und Passwortrichtlinien eingehalten werden. Kunden sollten auch Sicherheitssoftware zum Schutz vor Malware (Advanced Threat Prevention Software oder Antivirensoftware) nutzen.

Hinweise:

• Die Liste der betroffenen Plattformen für Dell Client-Produkte wird aktualisiert, sobald Informationen zur Verfügung stehen.
• Weitere Informationen zu Dell EMC Produkten (Dell PowerEdge-Server, -Storage und -Netzwerke) finden Sie im Dell Wissensdatenbank-Artikel Microprocessor Side-Channel Attacks (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Auswirkungen auf Dell EMC Produkte (Dell Enterprise Server, Storage und Netzwerke).

Betroffene Dell Produkte für Verbraucher und gewerbliche Kunden

Die unten aufgelisteten Systeme sind betroffen und erhalten einen Firmware-Patch über die Dell BIOS-Aktualisierung. Die Daten in den Listen sind Schätzungen und werden für Kunden zur besseren Planung bereitgestellt. Sobald die Download-Pakete zur Verfügung stehen, werden die entsprechenden Links hinzugefügt.

Hinweise:

• Stellen Sie vor Installation der neuen BIOS-Version sicher, dass die aktuellsten Windows Updates installiert worden sind.
• Die angegebenen Daten sind geschätzte Verfügbarkeitsdaten und können ohne vorherige Ankündigung geändert werden.
• Die Daten unten sind im deutschen Format aufgelistet: TT.MM.JJ
• Diese Patches können auch die Firmwarekomponente des Intel ME/TXE Advisory (INTEL-SA-00086) enthalten.
• Die folgende Tabelle enthält einen Link zur Produktseite für Ihren Dell Computer, der das aktuellste verfügbare BIOS enthält. Befolgen Sie die Anweisungen zum Fortfahren.

Sie müssen Folgendes tun:

1. Rufen Sie die Dell Supportwebsite auf.
2. Sie haben drei Möglichkeiten, Ihren Computer zu identifizieren.

   Entweder:

   • Tippen oder klicken Sie auf die Liste für Ihren Computer unter DIESER PC.
     Hinweis: Wenn unter „Dieser PC“ kein Eintrag für Ihren Computer vorhanden ist, können Sie auf SupportAssist herunterladen und installieren tippen oder klicken, wodurch Ihr Computer automatisch für Sie identifiziert wird. Folgen Sie den Anweisungen zum Herunterladen und Installieren von SupportAssist.
   • Geben Sie die Service-Tag-Nummer, Dell EMC Produkt-ID oder das Modell ein und tippen Sie dann auf die Schaltfläche Suchen, wählen Sie Ihren Computer aus der Liste aus.
   • Tippen oder klicken Sie auf Alle Dokumente durchsuchen: Sie müssen den Gerätetyp, den Markennamen und dann das Produktmodell auswählen.
     Hinweis: Weitere Informationen finden Sie in folgendem Dell Wissensdatenbank-Artikel: Anweisungen zur Ermittlung der Modellnummer Ihres Dell Computers oder im folgenden Video.
3. Tippen oder klicken Sie auf die Registerkarte Treiber und Downloads.
4. Wählen Sie im Drop-down-Menü unter Kategorie: BIOS aus.
5. Tippen oder klicken Sie auf Herunterladen rechts neben dem neuesten BIOS für Ihren Computer und befolgen Sie die Anweisungen.

Hinweis:

• ThinOS-Versionen 8.4 und höher sind nicht betroffen.
  ThinOS ist per Design ein "geschlossenes" Betriebssystem, d. h., nur von Dell bereitgestellte Software kann auf ThinOS ausgeführt werden. Es gibt auf ThinOS keinen Webbrowser oder andere Benutzeroberflächen, um Software zu durchsuchen, zu downloaden oder zu installieren. Mit ThinOS Version 8.4 wurde die digitale Signaturüberprüfung von Softwareaktualisierungen bzw. -paketen eingeführt. Dementsprechend können Benutzer (einschließlich Administratoren) in ThinOS keine andere Software herunterladen oder installieren, das betrifft auch Malware, die Sicherheitslücken in der zugrunde liegenden CPU ausnutzen könnte. Kunden sollten ihre Geräte auf die neueste ThinOS Version aktualisieren. Dell wird die Situation weiterhin beobachten.

Siehe zugehörige Abschnitte

Sie müssen Folgendes tun:

1. Rufen Sie die Dell Supportwebsite auf.
2. Sie haben drei Möglichkeiten, Ihren Computer zu identifizieren.

   Entweder:

   • Tippen oder klicken Sie auf die Liste für Ihren Computer unter DIESER PC.
     Hinweis: Wenn unter „Dieser PC“ kein Eintrag für Ihren Computer vorhanden ist, können Sie auf SupportAssist herunterladen und installieren tippen oder klicken, wodurch Ihr Computer automatisch für Sie identifiziert wird. Folgen Sie den Anweisungen zum Herunterladen und Installieren von SupportAssist.
   • Geben Sie die Service-Tag-Nummer, Dell EMC Produkt-ID oder das Modell ein und tippen Sie dann auf die Schaltfläche Suchen, wählen Sie Ihren Computer aus der Liste aus.
   • Tippen oder klicken Sie auf Alle Dokumente durchsuchen: Sie müssen den Gerätetyp, den Markennamen und dann das Produktmodell auswählen.
     Hinweis: Weitere Informationen finden Sie in folgendem Dell Wissensdatenbank-Artikel: Anweisungen zur Ermittlung der Modellnummer Ihres Dell Computers oder im folgenden Video.
3. Wählen Sie im Drop-Down-Menü unter Betriebssystem: das Betriebssystem aus, das auf Ihrem Computer installiert ist.
4. Wählen Sie im Drop-Down-Menü unter Kategorie: die Option „Video“ aus.
5. Tippen oder klicken Sie auf „Herunterladen“ rechts neben dem neuesten Video- oder Grafiktreiber, der für Ihren Computer aufgeführt ist, und befolgen Sie die Anweisungen.

Patch-Anweisungen für Betriebssystem

Die unten aufgeführten Betriebssysteme sind betroffen und sollten gemäß den Anweisungen in den Sicherheitsempfehlungen für das entsprechende Betriebssystem aktualisiert werden.

Microsoft Sicherheitsempfehlung: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

Referenzen

Intel Sicherheitsempfehlung: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

NVIDIA Security Bulletins:

• Sicherheitsbulletin: NVIDIA-Treibersicherheitsupdates für CPU-Sicherheitslücken im spekulativen Seitenkanal
• Sicherheitsbulletin: NVIDIA GeForce Experience (GFE) Sicherheitsupdates für CPU-Sicherheitslücken im spekulativen Seitenkanal

AMD Update: http://www.amd.com/en/corporate/speculative-execution

Google Project Zero Blogpost: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Forschungsberichte: https://meltdownattack.com