Failles de sécurité d’exécution spéculative (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754) : Impact sur les serveurs, le stockage et la gestion de réseau Dell Technologies

Question : Comment puis-je me protéger contre ces failles de sécurités ?
Réponse : Trois failles de sécurité sont associées à Meltdown et Spectre. Les clients doivent déployer un correctif de système d’exploitation auprès de leur fournisseur de système d’exploitation pour les trois failles de sécurité. Seule la variante 2 de Spectre (CVE-2017-5715) nécessite une mise à jour du BIOS avec le microcode fourni par le fournisseur du processeur. Actuellement, Intel ne dispose pas encore d’une mise à jour du microcode pour se protéger contre la vulnérabilité Spectre Variant 2.

Voir le tableau ci-dessous :
 

Variante de correctif	Mise à jour du microcode requise ?	Correctif nécessaire pour le système d’exploitation ?
Spectre (variante 1) CVE-2017-5753	Aucune	Oui
Spectre (variante 2) CVE-2017-5715	Oui	Oui
Meltdown (variante 3) CVE-2017-5754	Aucune	Oui

Question : Quelles sont les recommandations actuelles de Dell Technologies concernant la mise à jour des correctifs du système d’exploitation ?
Réponse : Consultez les liens vers les conseils sur les correctifs du fournisseur du système d’exploitation.

Question : Dell Technologies dispose-t-il d’une liste de produits d’entreprise qui ne sont pas concernés ?
Réponse : Dell Technologies dispose d’une liste de produits d’entreprise qui ne sont pas concernés. Reportez-vous à la section Produits Dell ne nécessitant aucun correctif pour ces trois failles de sécurité CVE .

Question : Que dois-je faire si j’exécute un serveur virtuel ?
Réponse : L’hyperviseur et tous les systèmes d’exploitation invités doivent être mis à jour.

Question : Les navigateurs Internet sont-ils potentiellement concernés ? (exploitation de JavaScript variante 2) ?
Réponse : Oui, les navigateurs Internet peuvent être affectés par la vulnérabilité Spectre et la plupart des navigateurs ont fourni des versions mises à jour ou des correctifs pour atténuer cette vulnérabilité potentielle. Pour plus d’informations, reportez-vous aux liens ci-dessous pour Chrome, Internet Explorer et Mozilla.

Question : Qu’en est-il d’iDRAC et de PERC ?
Réponse : PERC et iDRAC sont des systèmes fermés qui ne permettent pas l’exécution de code tiers (utilisateur). Spectre et Meltdown nécessitent tous deux la possibilité d’exécuter du code arbitraire sur le processeur. Du fait de cette organisation de code fermée, aucun périphérique ne risque d’être exploité par un microprocesseur d’analyse par canal auxiliaire.

Question : Qu’en est-il des appliances ? Y a-t-il d’autres applications qui ne sont pas affectées ?
Réponse : Les systèmes fermés qui ne permettent pas l’exécution de code tiers (utilisateur) ne sont pas vulnérables.

Question : Qu’en est-il des processeurs AMD Opteron ?
Réponse : https://www.amd.com/en/corporate/speculative-execution.

Question : J’ai entendu dire que la vulnérabilité affecte les microprocesseurs depuis au moins 10 ans. Jusqu’à quelle date Dell offre-t-il sa mise à jour du BIOS ?
Réponse : Dell travaille avec Intel pour fournir le BIOS requis avec des correctifs de microcode pour les systèmes PowerEdge qui remontent à notre gamme de produits de 11ème génération. Toutes les mises à jour du BIOS contenant des mises à jour de microcode pour le correctif de sécurité devront être effectuées par les fournisseurs de processeurs concernés à Dell Technologies.

Question : Dell Technologies fournira-t-il un support technique pour les systèmes hors garantie ?
Réponse : Dell Technologies ne fournit pas de support technique pour les serveurs Dell Technologies PowerEdge qui ne disposent pas d’un contrat de support valide. Les clients peuvent accéder aux documents de support mis à disposition du public sur le site de support technique Dell, quel que soit le statut de leur contrat de support actuel.

Question : Dell Technologies fournira-t-il des correctifs pour les systèmes qui ne sont plus sous garantie ?
Réponse : Les produits de serveurs Dell Technologies PowerEdge ne nécessitent pas de contrat de support valide pour accéder à nos pages de support et de téléchargement. Les mises à jour du BIOS du serveur PowerEdge sont disponibles sur le site de support Dell Technologies pour tous les utilisateurs, quel que soit l’état actuel du contrat de support. Reportez-vous à la section Mises à jour du BIOS/micrologiciel/pilote pour les serveurs PowerEdge et les produits de mise en réseau pour connaître la disponibilité du BIOS. Les correctifs du système d’exploitation doivent être obtenus auprès de votre fournisseur de système d’exploitation. Consultez les liens de la section Conseils sur les correctifs du système d’exploitation .

Question : Qu’en est-il des nouveaux processeurs AMD EPYC ?
Réponse : Pour les déclarations publiques d’AMD sur Meltdown (CVE-2017-5754), Spectre Variant 1 (CVE-2017-5753) et Spectre Variant 2 (CVE-2017-5715) en ce qui concerne les processeurs AMD, voir https://www.amd.com/en/corporate/speculative-execution.
Pour Spectre Variant 1 (CVE-2017-5753), le correctif du système d’exploitation applicable résout ce problème.

Question : Quand les mises à jour du BIOS seront-elles disponibles pour les systèmes PowerEdge basés sur AMD EYPC qui sont concernés par Spectre ?
Réponse : Dell EMC a publié des mises à jour du BIOS pour les plates-formes 14G (R7425, R7415 et R6415) qui sont disponibles sur nos pages de support produit. Les installations en usine de ce BIOS étaient disponibles depuis le 17 janvier 2018.

Question : Quand le BIOS avec mises à jour du microcode Intel sera-t-il installé en usine sur les systèmes PowerEdge basés sur Intel ?  
Réponse : Le BIOS des serveurs PowerEdge 14G et 13G (sauf R930) devrait être disponible lors de l’installation en usine le 6 mars 2018.  Le BIOS du serveur PowerEdge R930 devrait être disponible via l’installation en usine d’ici le 9 mars 2018.