Spekulatiivisen suorituksen sivukanavan haavoittuvuudet (CVE-2018-3615, CVE-2018-3620 ja CVE-2018-3646): Vaikutus Dell-tietokoneisiin ja Thin Client -tuotteisiin

CVE-tunnus: CVE-2018-3615, CVE-2018-3620 ja CVE-2018-3646

Dell on tietoinen hiljattain ilmoitetusta suorittimen Speculative Execution -haavoittuvuuksien luokasta (CVE-2018-3615, CVE-2018-3620 ja CVE-2018-3646), joista käytetään yhteisnimitystä L1TF (L1 Terminal Fault) ja joka koskee Intelin mikroprosessoreja. Lisätietoja näistä haavoittuvuuksista on Intelin julkaisemassa tietoturvatiedotteessa.

Dell tutkii näiden haavoittuvuuksien vaikutusta tuotteisiimme, ja pyrimme lieventämään niitä yhdessä Intelin ja muiden alan kumppanien kanssa. Korjaustoimet saattavat vaihdella tuotteen mukaan ja edellyttää käyttöjärjestelmän, VMM:n (Virtual Machine Manager) ja muiden ohjelmisto-osien päivittämistä. Korjaustoimet tietoturvatiedotteissa CVE-2018-3639 ja CVE-2018-3640 julkaistun mikrokoodin avulla riittävät.

Dell suosittelee, että asiakkaat suojautuvat näiden haavoittuvuuksien mahdolliselta väärinkäytöltä tuleviin päivityksiin saakka noudattamalla yleisiä haittaohjelmilta suojautumiseen liittyviä turvallisuusohjeita. Suosittelemme esimerkiksi ohjelmistopäivitysten ripeää asentamista, tuntemattomien hyperlinkkien ja sivustojen välttämistä, tiedostojen ja sovellusten lataamista ainoastaan tunnetuista lähteistä sekä ajantasaisten virustorjuntaratkaisujen ja kattavien suojausratkaisujen käyttämistä.

Dell-työasematuotteet, joita ongelma koskee

Ongelma koskee seuraavia järjestelmiä, joihin ladataan päivitetty laiteohjelmisto Dell BIOS -julkaisun (BIOS-päivityksen) kautta. Luettelon päivämäärät riippuvat siitä, milloin suoritinvalmistajat toimittavat mikrokoodin. Arvioidut päivämäärät toimitetaan asiakkaille suunnittelua varten. Niihin lisätään ladattavien pakettien linkit, kun ne ovat saatavilla.

Edellä mainittujen haavoittuvuuksien poistamiseksi on otettava käyttöön kaksi keskeistä osaa:

1. BIOS, joka on mainittu tiedotteiden CVE-2018-3639 ja CVE-2018-3640 tuotetaulukoissa
2. Käyttöjärjestelmän ja hypervisorin päivitykset

Lisätietoja muista Dell-tuotteista on https://www.dell.com/support/article/sln318303.

Ulkoiset viitteet

• Intel: https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00161.html
• Microsoft: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/adv180018
• RedHat: https://access.redhat.com/security/vulnerabilities/L1TF
• SuSe: https://www.suse.com/c/suse-addresses-the-l1-terminal-fault-issue/
• Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/L1TF
• VMWare: https://kb.vmware.com/kb/55636