Вразливості побічних каналів мікропроцесора (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Вплив на продукти Dell

CVE ID: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Dell знає про вразливості аналізу побічних каналів, відомі як Meltdown і Spectre, які впливають на багато сучасних мікропроцесорів і були публічно описані командою дослідників безпеки 3 січня 2018 року. Досі не було зафіксовано жодних «реальних» експлойтів цих вразливостей, хоча дослідники надали докази концепцій.

Керівництво нашивкою

Оновлення 11.10.2019:

Існує три основні компоненти, які потрібно застосувати для пом'якшення вищезазначених вразливостей:

1. Застосуйте оновлення мікрокоду процесора через оновлення BIOS, наведене в розділі Dell Products Affected нижче.
2. Застосуйте відповідний патч операційної системи. Дивіться розділ з рекомендаціями щодо патчів ОС нижче.
3. Для відповідних систем застосуйте пакет драйверів NVIDIA, наведений у розділі Dell Client Products with NVIDIA GPU нижче. Для платформ, що містять програмне забезпечення GeForce Experience (GFE), пакет драйверів також включатиме пом'якшену версію GFE.

Патчі операційної системи забезпечують пом'якшення Spectre (Варіант 1) та Meltdown (Варіант 3). Оновлення драйвера NVIDIA забезпечує захист від Spectre (Варіант 1). Оновлення мікрокоду потрібне лише для Spectre (Варіант 2), CVE-2017-5715.

Dell оновлюватиме цю статтю інформацією у міру її появи, включаючи уражені продукти та кроки з усунення.

Dell рекомендує клієнтам дотримуватися найкращих практик безпеки для захисту від шкідливого ПЗ загалом, щоб уникнути можливої експлуатації цих вразливостей. Ці практики включають швидке впровадження оновлень програмного забезпечення, уникнення невизнаних посилань і вебсайтів, відмову від завантаження файлів чи додатків з невідомих джерел та дотримання протоколів захищених паролів. Клієнтам також слід використовувати програмне забезпечення для захисту від шкідливого ПЗ (розширене програмне забезпечення для запобігання загрозам або антивірус).

Примітки:

• Список постраждалих платформ для клієнтських продуктів Dell буде оновлюватися у міру появи інформації.
• Для отримання інформації про продукти Dell EMC (Dell PowerEdge Servers, Storage and Networking) зверніться до статті Dell Knowledge Base «Мікропроцесорні побічні канальні атаки» (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Вплив на продукти Dell EMC (Dell Enterprise Servers, Storage and Networking).

Постраждали споживчі та комерційні клієнтські продукти Dell

Системи нижче зазнали впливу і отримають оновлену прошивку через оновлення Dell BIOS (оновлення BIOS). Дати у цьому списку є оцінками, наданими для цілей планування клієнтів, і будуть оновлені посиланнями на завантаження пакетів, коли буде доступно.

Примітки:

• Перед встановленням релізів BIOS, будь ласка, переконайтеся, що оновлення Windows оновлені.
• Зазначені дати є орієнтовними датами доступності і можуть змінюватися без попередження.
• Дати наведені нижче у форматі США MM/DD/YY
• Ці патчі також можуть містити компонент прошивки Intel ME/TXE Advisory (INTEL-SA-00086).
• У таблиці нижче наведено посилання на сторінку продукту вашого комп'ютера Dell з останнім доступним BIOS, дотримуйтесь наступних інструкцій.

Вам потрібно зробити наступне:

1. Перейдіть на сайт підтримки Dell .
2. Вам пропонують три варіанти ідентифікації вашого комп'ютера.

   Або:

   • Торкніться або натисніть на список вашого комп'ютера під ЦИМ КОМП'ютером.
     Примітка. Якщо немає списку вашого комп'ютера під ЦИМ КОМП'ютером, ви можете натиснути або натиснути Завантажити та встановити SupportAssist, що автоматично ідентифікує ваш комп'ютер. Дотримуйтесь підказок, щоб завантажити та встановити SupportAssist.
   • Введіть Service Tag, Dell EMC Product ID або Model, потім натисніть або натисніть кнопку Пошук і виберіть свій комп'ютер зі списку.
   • Натисніть або натисніть Перегляньте всі продукти: Вам потрібно обрати тип пристрою, назву бренду, а потім модель продукту.
     Примітка. Для отримання додаткової інформації зверніться до статті Dell Knowledge Base « Як визначити номер моделі вашого комп'ютера Dell » або відео нижче.
3. Натисніть або натисніть вкладку ДРАЙВЕРИ та ЗАВАНТАЖЕННЯ .
4. Використовуючи випадаюче меню під Category:, оберіть BIOS.
5. Натисніть або натисніть «Завантажити » праворуч від останнього BIOS вашого комп'ютера, а потім виконайте вказівки.

Примітка.

• Версії ThinOS 8.4 і новіші не підпадають.
  ThinOS, за задумом, є «закритою» ОС, тобто лише програмне забезпечення, надане Dell, може працювати на ThinOS. У ThinOS немає веб-браузера чи іншого інтерфейсу для перегляду, завантаження чи встановлення програмного забезпечення. У версії 8.4 ThinOS запровадила перевірку цифрових підписів оновлень програмного забезпечення або пакетів. Таким чином, користувачі (включаючи адміністраторів) не можуть завантажувати або встановлювати інше програмне забезпечення на ThinOS, включно з шкідливим ПЗ, яке може експлуатувати вразливості в базовому процесорі. Клієнтам слід оновити свої пристрої до останньої версії ThinOS. Dell продовжить стежити за ситуацією.

Див. пов'язані розділи

Вам потрібно зробити наступне:

1. Перейдіть на сайт підтримки Dell .
2. Вам пропонують три варіанти ідентифікації вашого комп'ютера.

   Або:

   • Торкніться або натисніть на список вашого комп'ютера під ЦИМ КОМП'ютером.
     Примітка. Якщо немає списку вашого комп'ютера під ЦИМ КОМП'ютером, ви можете натиснути або натиснути Завантажити та встановити SupportAssist, що автоматично ідентифікує ваш комп'ютер. Дотримуйтесь підказок, щоб завантажити та встановити SupportAssist.
   • Введіть Service Tag, Dell EMC Product ID або Model, потім натисніть або натисніть кнопку Пошук і виберіть свій комп'ютер зі списку.
   • Натисніть або натисніть Перегляньте всі продукти: Вам потрібно обрати тип пристрою, назву бренду, а потім модель продукту.
     Примітка. Для отримання додаткової інформації зверніться до статті Dell Knowledge Base « Як визначити номер моделі вашого комп'ютера Dell » або відео нижче.
3. Використовуючи випадаюче меню в розділі Operating System:, оберіть операційну систему, встановлену на вашому комп'ютері.
4. Використовуючи випадаюче меню в розділі Category:, виберіть Відео.
5. Натисніть або натисніть «Завантажити» праворуч від останнього драйвера відео або графіки для вашого комп'ютера, а потім виконайте вказівки.

Рекомендації щодо патчів ОС

Операційні системи, перелічені нижче, підпадають під вплив і мають бути оновлені відповідно до інструкцій, наведених у рекомендації для відповідної операційної системи.

Консультація Microsoft: https://msrc.microsoft.com/update-guide/en-us/vulnerability/ADV180002/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

Джерела

Консультація Intel з безпеки: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

Бюлетені безпеки NVIDIA:

• Бюлетень безпеки: Оновлення безпеки драйверів NVIDIA для вразливостей у спекулятивних побічних каналах процесора
• Бюлетень безпеки: Оновлення безпеки NVIDIA GeForce Experience (GFE) щодо вразливостей у спекулятивних побічних каналах процесора

Оновлення AMD: http://www.amd.com/en/corporate/speculative-execution

Блог Google Project Zero: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Наукові статті: https://meltdownattack.com