微處理器旁路漏洞 (CVE-2017-5715、CVE-2017-5753、CVE-2017-5754)：對 Dell 產品的影響

CVE ID：CVE-2017-5715、CVE-2017-5753、CVE-2017-5754

Dell 知道旁路分析漏洞 （稱為 Meltdown 和 Spectre） 影響到許多現代微處理器，安全性研究人員團隊於 2018 年 1 月 3 日已公開說明這些漏洞。迄今為止，尚未報告這些漏洞的“真實世界”漏洞利用，儘管研究人員已經進行了概念驗證。

修補程式指南

更新 10/11/2019：

需要套用三個基本元件，以緩解上述漏洞：

1. 透過以下「 受影響的 Dell 產品 」一節中所列的 BIOS 更新套用處理器微碼更新。
2. 套用適用的作業系統修補程式。請參閱下方 的作業系統修補程式指南 一節。
3. 針對適用的系統，請套用下方「 含 NVIDIA GPU 的 Dell 用戶端產品 」一節中所列的 NVIDIA 驅動程式套件。若為包含 GeForce Experience （GFE） 軟體的平台，驅動程式套件也會包含 GFE 的緩解版本。

作業系統修補程式可緩解 Spectre （變體 1） 和 Meltdown （變體 3）。NVIDIA 驅動程式更新可緩解 Spectre （變異 1）。微碼更新僅適用於 Spectre (變異 2)、CVE-2017-5715。

Dell 會在可用時更新本文章的資訊，包括受影響的產品和補救步驟。

Dell 建議客戶遵循安全性最佳的惡意軟體保護實務，防止此類漏洞遭到濫用的可能性。這些實務包括立即採用軟體更新、避免使用無法辨識的超連結和網站、不從未知來源下載檔案或應用程式，以及遵循安全密碼通訊協定。客戶也應使用安全性軟體來協助防範惡意軟體 （進階威脅預防軟體或防毒軟體）。

注意：

• 受影響的 Dell 用戶端產品平台清單會隨著資訊的提供而更新。
• 如需 Dell EMC 產品 （Dell PowerEdge 伺服器、儲存裝置和網路） 的相關資訊，請參閱 Dell 知識文章 微處理器旁路攻擊 （CVE-2017-5715、CVE-2017-5753、CVE-2017-5754）：對 Dell EMC 產品的影響 （Dell 企業伺服器、儲存裝置和網路）。

受影響的 Dell 消費者和商業用戶端產品

以下系統會受到影響，並將透過 Dell BIOS 版本 （BIOS 更新） 收到已修補的韌體。本清單中的日期僅為客戶規劃用途而提供預估日期，並會在可用時更新下載套件的連結。

注意：

• 在安裝 BIOS 版本之前，請先確認 Windows Update 為最新版本。
• 列出的日期為預估可用日期，如有變更，恕不另行通知。
• 以下日期為美國的 MM/DD/YY 格式
• 這些修補程式也可能包含 Intel ME/TXE Advisory （INTEL-SA-00086） 的韌體元件。
• 下表提供 Dell 電腦產品頁面的連結，其中包含最新的可用 BIOS，請依照後續指示操作。

您將需要執行以下操作：

1. 請瀏覽至 Dell 支援網站。
2. 系統為您提供三個選項可識別您的電腦。

   您可：

   • 在這台電腦下，輕觸或按一下電腦的清單。
     注意：當「這台電腦」下未列出您的電腦時，您可以輕觸或按一下下載及安裝 SupportAssist，其會自動識別您的電腦。請遵循提示下載並安裝 SupportAssist。
   • 輸入產品服務編號、Dell EMC 產品 ID 或型號，接著輕觸或按一下搜尋按鈕，然後從清單中選取您的電腦。
   • 輕觸或按一下瀏覽所有產品：您必須選取您的裝置類型、品牌名稱，然後選擇產品型號。
     注意：如需更多資訊，請參閱 Dell 知識文章如何尋找 Dell 電腦的產品型號，或是觀看以下影片。
3. 輕觸或按一下驅動程式與下載標籤。
4. 使用「類別：」下的下拉式功能表，選取 BIOS。
5. 輕觸或按一下電腦列出的最新 BIOS 右側 的下載 ，然後依照提示操作。

注意：

• ThinOS 8.4 版及更新版本不會受到影響。
  根據設計，ThinOS 是「封閉」作業系統，也就是唯有 Dell 提供的軟體才能在 ThinOS 上執行。ThinOS 上沒有網頁瀏覽器或其他介面可瀏覽、下載或安裝軟體。在 8.4 版中，ThinOS 推出了軟體更新或套件的數位簽章驗證。因此，使用者 （包括系統管理員） 無法在 ThinOS 上下載或安裝其他軟體，包括可利用底層 CPU 漏洞的惡意軟體。客戶應將裝置更新至最新版本的 ThinOS。Dell 將持續監控情況。

請參閱相關章節

您將需要執行以下操作：

1. 請瀏覽至 Dell 支援網站。
2. 系統為您提供三個選項可識別您的電腦。

   您可：

   • 在這台電腦下，輕觸或按一下電腦的清單。
     注意：當「這台電腦」下未列出您的電腦時，您可以輕觸或按一下下載及安裝 SupportAssist，其會自動識別您的電腦。請遵循提示下載並安裝 SupportAssist。
   • 輸入產品服務編號、Dell EMC 產品 ID 或型號，接著輕觸或按一下搜尋按鈕，然後從清單中選取您的電腦。
   • 輕觸或按一下瀏覽所有產品：您必須選取您的裝置類型、品牌名稱，然後選擇產品型號。
     注意：如需更多資訊，請參閱 Dell 知識文章如何尋找 Dell 電腦的產品型號，或是觀看以下影片。
3. 使用作業系統：下的下拉式功能表，選取電腦上安裝的作業系統。
4. 使用「類別：」下的下拉式功能表，選取影片。
5. 輕觸或按一下電腦列出的最新影像或圖形驅動程式右側的下載，然後依照提示操作。

作業系統修補程式指南

下列作業系統會受到影響，應依照適用作業系統諮詢中提供的指示進行更新。

Microsoft 公告：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat：https://access.redhat.com/security/vulnerabilities/speculativeexecution

蘇塞： https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu： https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

Chrome OS： https://support.google.com/faqs/answer/7622138#chromeos

參考資料

Intel 安全性公告：https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

NVIDIA 安全性公告：

• 安全性公告：CPU 推測側通道漏洞的 NVIDIA 驅動程式安全性更新
• 安全性公告：CPU 推測側通道漏洞的 NVIDIA GeForce Experience （GFE） 安全性更新

AMD 更新：http://www.amd.com/en/corporate/speculative-execution

Google Project Zero 部落格文章：https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

研究論文：https://meltdownattack.com