Säkerhetsproblem på mikroprocessorns sidokanal (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Inverkan på Dell-produkter

CVE-ID: CVE-2017-5715, CVE-2017-5753 och CVE-2017-5754

Dell känner till säkerhetsproblemen på sidokanalen (kallas Meltdown och Spectre) som påverkar många moderna mikroprocessorer. En grupp säkerhetsforskare publicerade informationen som beskrev problemet den 3 januari 2018. Inga "verkliga" utnyttjanden av dessa sårbarheter har rapporterats hittills, även om forskare har tagit fram proof-of-concepts.

Vägledning korrigering

Uppdatering 2019-10-11:

Det finns tre viktiga komponenter som måste användas för att mildra ovan nämnda säkerhetsproblem:

1. Tillämpa uppdatering av processormikrokoden via BIOS-uppdateringen som finns listad i avsnittet Dell-produkter som påverkas nedan.
2. Tillämpa den gällande operativsystemkorrigeringen. Se avsnittet Vägledning för OS-korrigering nedan.
3. Använd NVIDIA-drivrutinspaketet på de system som avses. Det finns listat i Dells kundprodukter med NVIDIA-grafikprocessor i avsnittet nedan. För plattformar med programvaran GeForce Experience (GFE) kommer drivrutinspaketet också omfatta den mildrade versionen av GFE.

Operativsystemkorrigeringarna ger mildrande åtgärder för Spectre (variant 1) och Meltdown (variant 3). Drivrutinsuppdatering av NVIDIA ger mildrande åtgärder för Spectre (Variant 1). Mikrokoduppdateringen är endast nödvändig för Spectre (variant 2), CVE-2017-5715.

Dell kommer att uppdatera denna artikel när mer information blir tillgänglig, inklusive vilka produkter som påverkats och åtgärder.

Dell rekommenderar att kunder i allmänhet följer bästa säkerhetspraxis för skydd mot skadlig programvara för att skydda dig mot de här säkerhetsproblemen. Bästa praxis omfattar att genast införskaffa programvaruuppdateringar, att undvika okända hyperlänkar och webbplatser, att inte hämta filer och program från okända källor och att följa protokoll för säkra lösenord. Kunderna bör också använda säkerhetsprogramvara för att skydda sig mot skadlig programvara (avancerad förebyggande programvara eller antivirus).

Kommentarer:

• Listan över plattformar som påverkas bland Dells kundprodukter uppdateras när vi får mer information.
• Information om Dell EMC-produkter (Dell PowerEdge-servrar, lagring och nätverk) finns i följande artikel i Dells kunskapsbank: Microprocessor Side-Channel Attacks (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Inverkan på Dell EMC-produkter (Dells företagsservrar, lagring och nätverk).

Dells konsumentprodukter och kommersiella klientprodukter som påverkas

Systemen nedan är berörda och kan ta emot korrigerad inbyggd programvara via Dells BIOS-version (BIOS-uppdatering). Tanken är att kunder kan använda de uppskattade datumen i den här listan i planeringssyfte. Listan kommer att uppdateras med länkar till paket som kan hämtas när de blir tillgängliga.

Kommentarer:

• Innan du installerar BIOS-versionerna, se till att Windows-uppdateringarna är uppdaterade.
• De datum som anges är uppskattade tillgänglighetsdatum som kan komma att ändras utan föregående meddelande.
• De datum som nämns nedan är angivna i svenskt datumformat: ÅÅÅÅ-MM-DD
• Dessa korrigeringsfiler kan även innehålla den fasta programvaran för Intel ME/TXE Advisory (INTEL-SA-00086).
• Tabellen nedan innehåller en länk till produktsidan för din Dell-dator med den senaste BIOS-versionen. Gå till den och följ instruktionerna.

Du kommer att behöva göra följande:

1. Gå till Dells supportwebbplats .
2. Du får tre alternativ för att identifiera datorn.

   Gör något av följande:

   • Tryck eller klicka på datorn i listan under THIS PC.
     Obs! Om inte datorn visas under THIS PC pekar eller klickar du på Download & Install SupportAssist så identifieras den automatiskt. Ladda ner och installera SupportAssist genom att följa instruktionerna.
   • Ange Service Tag-numret, Dell EMC-produkt-ID:t eller modellen, tryck eller klicka på Search och välj sedan datorn i listan.
   • Peka eller klicka på Bläddra bland alla produkter: Välj typ av dator, varumärke och produktmodell.
     Obs! Mer information finns i Dells kunskapsbasartikel om att kontrollera vad Dell-datorn har för modellnummer och i videon nedan.
3. Tryck eller klicka på fliken Drivrutiner och hämtningsbara filer.
4. Använd listrutan under Kategori: och välj BIOS.
5. Peka eller klicka på Hämta till höger om den senaste BIOS-versionen för datorn och följ sedan anvisningarna.

Obs!

• ThinOS-version 8.4 och senare påverkas inte.
  ThinOS är i grunden ett "stängt" operativsystem, vilket innebär att endast programvara som tillhandahålls av Dell kan köras på ThinOS. Det finns ingen webbläsare eller annat gränssnitt för att söka efter, hämta eller installera programvara på ThinOS. I version 8.4 av ThinOS introducerades digital signaturverifiering av programvaruuppdateringar/-paket. Det innebär att användare (inklusive administratörer) inte kan hämta eller installera annan programvara på ThinOS, inklusive skadliga program som kan utnyttja säkerhetsproblem i underliggande CPU. Kunder bör uppdatera sina enheter till den senaste versionen av ThinOS. Dell kommer att fortsätta att hålla sig underrättade om situationen.

Se relaterade avsnitt

Du kommer att behöva göra följande:

1. Gå till Dells supportwebbplats .
2. Du får tre alternativ för att identifiera datorn.

   Gör något av följande:

   • Tryck eller klicka på datorn i listan under THIS PC.
     Obs! Om inte datorn visas under THIS PC pekar eller klickar du på Download & Install SupportAssist så identifieras den automatiskt. Ladda ner och installera SupportAssist genom att följa instruktionerna.
   • Ange Service Tag-numret, Dell EMC-produkt-ID:t eller modellen, tryck eller klicka på Search och välj sedan datorn i listan.
   • Peka eller klicka på Bläddra bland alla produkter: Välj typ av dator, varumärke och produktmodell.
     Obs! Mer information finns i Dells kunskapsbasartikel om att kontrollera vad Dell-datorn har för modellnummer och i videon nedan.
3. Använd listrutan under Operativsystem och välj operativsystemet som är installerat på datorn.
4. Använd listrutan under Kategori och välj Video.
5. Tryck eller klicka på Ladda ned till höger om den senaste Intel-grafikdrivrutinen för din dator och följ de instruktioner som visas.

Vägledning för OS-korrigering

Operativsystemen i listan nedan är berörda och bör uppdateras med hjälp av instruktionerna som finns i säkerhetsråden för aktuella operativsystem.

Microsoft säkerhet: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

Referenser

Säkerhetsmeddelande för Intel: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

NVIDIA Säkerhetsrapport:

• Säkerhetsbulletin: Säkerhetsuppdateringar av NVIDIA-drivrutiner för spekulativa sidokanalsårbarheter i processorn
• Säkerhetsbulletin: Säkerhetsuppdateringar för NVIDIA GeForce Experience (GFE) för CPU-spekulativa sidokanalsårbarheter

AMD-uppdatering: http://www.amd.com/en/corporate/speculative-execution

Google Project Zero-blogginlägg: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Forskningsdokument: https://meltdownattack.com