Sårbarheder i mikroprocessorens sidekanal (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Indvirkning på Dell-produkter

CVE-id: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Dell er bekendt med sikkerhedsrisiciene for sidekanalanalyse, også kaldet Meltdown og Spectre, som påvirker mange moderne mikroprocessorer, og som blev offentligt beskrevet af en gruppe sikkerhedsefterforskere den 3. januar 2018. Ingen "virkelige" udnyttelse af disse sårbarheder er blevet rapporteret til dato, selvom forskere har produceret proof-of-concepts.

Vejledning til programrettelse

Opdatering 11-10-19:

Der er tre afgørende komponenter, som skal anvendes for at begrænse de ovenfor nævnte sikkerhedsrisici:

1. Anvend mikrokodeopdateringen til processoren via BIOS-opdateringen, der fremgår i afsnittet Berørte Dell-produkter nedenfor.
2. Anvend det relevante operativsystem-patch. Se afsnittet Vejledning til programrettelse i operativsystemeth Guidance nedenfor.
3. På omfattede systemer anvendes NVIDIA-driverpakken angivet i afsnittet Dell-forbrugerprodukter med NVIDIA GPU nedenfor. Til platforme, der inkluderer GFE-software (GeForce Experience), omfatter driverpakken også den begrænsede version af GFE.

Sikkerhedsrettelser til operativsystemer leverer afhjælpning mod Spectre (Variant 1) og Meltdown (Variant 3). NVIDIA-driveropdateringen leverer afhjælpning mod Spectre (Variant 1). Mikrokodeopdateringen er kun nødvendig for Spectre (Variant 2), CVE-2017-5715.

Dell opdaterer denne artikel med oplysninger, efterhånden som de bliver tilgængelige, inklusive berørte produkter og afhjælpningstrin.

Dell anbefaler kunderne at følge bedste praksis for sikkerhed i forbindelse med malwarebeskyttelse, hovedsageligt for at beskytte mod en eventuel udnyttelse af disse sårbarheder. Disse tiltag omfatter hurtig implementering af softwareopdateringer, at undgå ukendte hyperlinks og websteder, at undlade at downloade filer eller programmer fra ukendte kilder samt at følge sikre adgangskodeprotokoller. Kunden bør også benytte sikkerhedssoftware for at hjælpe med at beskytte mod malware (avanceret software til trusselsforhindring eller antivirus).

Bemærk:

• Listen over berørte platforme for Dell-forbrugerprodukter opdateres, efterhånden som oplysningerne bliver tilgængelige.
• Du kan finde oplysninger om Dell EMC-produkter (Dell PowerEdge-servere, storage og netværk) i følgende artikel i Dell Knowledge Base : Microprocessor Side-Channel Attacks (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Indvirkning på Dell EMC-produkter (Dell Enterprise-servere, storage og netværk).

Berørte Dell-forbrugersystemer og kommercielle klientprodukter

Nedenstående systemer påvirkes og vil modtage programrettet firmware via Dell BIOS-udgivelse (BIOS-opdatering). Datoer på listen er anslåede og stilles til rådighed til kundeplanlægningsformål og opdateres med links til downloadpakker, når de er tilgængelige.

Bemærk:

• Før installation af BIOS-udgivelser, bør du sikre, at Windows Update er opdateret.
• De anførte datoer er anslåede datoer for tilgængelighed og kan ændres uden varsel.
• Nedenstående datoer er i US-format, dvs. MM/DD/YY
• Disse programrettelser kan også omfatte firmwarekomponenten i Intel ME/TXE Advisory (INTEL-SA-00086).
• Tabellen nedenfor har et link til produktsiden for din computer fra Dell, der indeholder den nyeste tilgængelige BIOS.

Du skal gøre følgende:

1. Gå til Dells supportwebsted .
2. Du har tre muligheder for at finde din computer.

   Du kan:

   • Tryk eller klik på listen for din computer under DENNE PC.
     Bemærk: Når der ikke er en liste over computeren under DENNE PC, kan du trykke eller klikke på Download og installer SupportAssist, der automatisk identificerer din computer for dig. Følg anvisningerne for at downloade og installere SupportAssist.
   • Indtast servicekode, Dell EMC-produkt-id eller model, og tryk eller klik derefter på knappen Søg, og vælg din computer på listen.
   • Tryk eller klik på Gennemse alle produkter: Du skal vælge den type enhed, du har, mærkenavnet og derefter produktmodellen.
     Bemærk: Se artiklen "Sådan finder du modelnummeret på din Dell-computer" i Dell Knowledge Base eller nedenstående video for at få flere oplysninger.
3. Tryk eller klik på fanen DRIVERE OG DOWNLOADS.
4. Gå til rullemenuen under Kategori:, og vælg BIOS.
5. Tryk eller klik på Download til højre for den nyeste BIOS, der er angivet for din computer, og følg derefter vejledningen.

Bemærk:

• ThinOS-version 8.4 og nyere påvirkes ikke.
  ThinOS er designet til at være et "lukket" operativsystem, dvs. at kun Dell-leveret software kan køre på ThinOS. Der er ingen webbrowser eller anden grænseflade, hvor det er muligt at browse, downloade eller installere software på ThinOS. I version 8.4 introducerede ThinOS en digital signatur til bekræftelse af softwareopdateringer eller -pakker. På den måde kan brugere (inklusive administratorer) ikke downloade eller installere software på ThinOS, heriblandt malware, der kunne udnytte sårbarhederne i den underliggende CPU. Kunder bør opdatere deres enheder til den nyeste version af ThinOS. Dell vil fortsat overvåge situationen.

Se relaterede afsnit

Du skal gøre følgende:

1. Gå til Dells supportwebsted .
2. Du har tre muligheder for at finde din computer.

   Du kan:

   • Tryk eller klik på listen for din computer under DENNE PC.
     Bemærk: Når der ikke er en liste over computeren under DENNE PC, kan du trykke eller klikke på Download og installer SupportAssist, der automatisk identificerer din computer for dig. Følg anvisningerne for at downloade og installere SupportAssist.
   • Indtast servicekode, Dell EMC-produkt-id eller model, og tryk eller klik derefter på knappen Søg, og vælg din computer på listen.
   • Tryk eller klik på Gennemse alle produkter: Du skal vælge den type enhed, du har, mærkenavnet og derefter produktmodellen.
     Bemærk: Se artiklen "Sådan finder du modelnummeret på din Dell-computer" i Dell Knowledge Base eller nedenstående video for at få flere oplysninger.
3. Ved hjælp af rullemenuen under Operativsystem skal du vælge det operativsystem, der er installeret på computeren.
4. Brug rullemenuerne under Kategori til at vælge Video.
5. Tryk eller klik på Download til højre for den nyeste video- eller grafikdriver, der er angivet for din computer, og følg derefter vejledningen.

Vejledning til programrettelse i operativsystemet

De operativsystemer, der er angivet på listen nedenfor, er berørt og bør opdateres ved at følge de instruktioner, der gives i meddelelsen for det omfattede operativsystem.

Microsoft-meddelelse: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

Chrome-operativsystem: https://support.google.com/faqs/answer/7622138#chromeos

Referencer

Intel-sikkerhedsmeddelelse: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

NVIDIA-sikkerhedsbulletiner:

• Sikkerhedsbulletin: NVIDIA-driversikkerhedsopdateringer til CPU-spekulative sidekanalsårbarheder
• Sikkerhedsbulletin: GFE-sikkerhedsopdateringer (NVIDIA GeForce Experience) til CPU-spekulative sidekanalsårbarheder

AMD-opdatering: http://www.amd.com/en/corporate/speculative-execution

Google Project Zero-blogindlæg: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Forskningsartikler: https://meltdownattack.com