Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Faille de sécurité Intel: Comment mettre son noyau à jour ?

corradoventu

Sur Ubuntu Artful j'ai installé la PPA de https://launchpad.net/~canonical-kernel-team/+archive/ubuntu/spectre/ ... ça marche ...

corrado@corrado-p6-aa:~$ sudo ./Downloads/spectre-meltdown-checker-master/spectre-meltdown-checker.sh
[sudo] password for corrado: 
Spectre and Meltdown mitigation detection tool v0.34+

Checking for vulnerabilities on current system
Kernel is Linux 4.13.0-33-generic #36-Ubuntu SMP Tue Feb 6 20:30:50 UTC 2018 x86_64
CPU is Intel(R) Core(TM) i3-7100 CPU @ 3.90GHz

Hardware check
* Hardware support (CPU microcode) for mitigation techniques
  * Indirect Branch Restricted Speculation (IBRS)
    * SPEC_CTRL MSR is available:  NO 
    * CPU indicates IBRS capability:  NO 
  * Indirect Branch Prediction Barrier (IBPB)
    * PRED_CMD MSR is available:  NO 
    * CPU indicates IBPB capability:  NO 
  * Single Thread Indirect Branch Predictors (STIBP)
    * SPEC_CTRL MSR is available:  NO 
    * CPU indicates STIBP capability:  NO 
  * Enhanced IBRS (IBRS_ALL)
    * CPU indicates ARCH_CAPABILITIES MSR availability:  NO 
    * ARCH_CAPABILITIES MSR advertises IBRS_ALL capability:  NO 
  * CPU explicitly indicates not being vulnerable to Meltdown (RDCL_NO):  NO 
  * CPU microcode is known to cause stability problems:  NO  (model 158 stepping 9 ucode 0x5e)
* CPU vulnerability to the three speculative execution attacks variants
  * Vulnerable to Variant 1:  YES 
  * Vulnerable to Variant 2:  YES 
  * Vulnerable to Variant 3:  YES 

CVE-2017-5753 [bounds check bypass] aka 'Spectre Variant 1'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Kernel has array_index_mask_nospec:  NO 
* Checking count of LFENCE instructions following a jump in kernel...  NO  (only 5 jump-then-lfence instructions found, should be >= 30 (heuristic))
> STATUS:  NOT VULNERABLE  (Mitigation: OSB (observable speculation barrier, Intel v6))

CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Mitigation 1
  * Kernel is compiled with IBRS/IBPB support:  NO 
  * Currently enabled features
    * IBRS enabled for Kernel space:  NO 
    * IBRS enabled for User space:  NO 
    * IBPB enabled:  NO 
* Mitigation 2
  * Kernel compiled with retpoline option:  YES 
  * Kernel compiled with a retpoline-aware compiler:  YES  (kernel reports full retpoline compilation)
  * Retpoline enabled:  YES 
> STATUS:  NOT VULNERABLE  (Mitigation: Full generic retpoline)

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
* Running as a Xen PV DomU:  NO 
> STATUS:  NOT VULNERABLE  (Mitigation: PTI)

A false sense of security is worse than no security at all, see --disclaimer
corrado@corrado-p6-aa:~$

Ubuntu1988

Pour rappel, Intel n'arrête pas de dire qu'il faut éviter de se précipiter sur les patchs qui sortent, d'autant plus que le PPA en question, ça reste des noyaux en release candidate, pas exempts de bugs donc à installer en connaissance de cause. La faille est non seulement difficilement exploitable de base (faut être visé à un instant T) mais les divers patchs ne font que la rendre encore plus difficile, sans réellement la colmater, vu qu'elle est propre au matériel donc, pour les non initiés, mieux vaut attendre une mise à jour officiellement disponible que prendre le risque de foirer son système en jouant les apprentis sorciers

nam1962

+1000 !

grandtoubab

Etat des lieux

root@debian:/# grep bugs /proc/cpuinfo
bugs		: tlb_mmatch apic_c1e fxsave_leak sysret_ss_attrs null_seg amd_e400 spectre_v1 spectre_v2
bugs		: tlb_mmatch apic_c1e fxsave_leak sysret_ss_attrs null_seg amd_e400 spectre_v1 spectre_v2
root@debian:/# spectre-meltdown-checker 
Spectre and Meltdown mitigation detection tool v0.34

Checking for vulnerabilities on current system
Kernel is Linux 4.14.0-3-amd64 #1 SMP Debian 4.14.17-1 (2018-02-14) x86_64
CPU is AMD Athlon(tm) II P340 Dual-Core Processor

Hardware check
* Hardware support (CPU microcode) for mitigation techniques
  * Indirect Branch Restricted Speculation (IBRS)
    * SPEC_CTRL MSR is available:  NO 
    * CPU indicates IBRS capability:  NO 
  * Indirect Branch Prediction Barrier (IBPB)
    * PRED_CMD MSR is available:  NO 
    * CPU indicates IBPB capability:  NO 
  * Single Thread Indirect Branch Predictors (STIBP)
    * SPEC_CTRL MSR is available:  NO 
    * CPU indicates STIBP capability:  NO 
  * Enhanced IBRS (IBRS_ALL)
    * CPU indicates ARCH_CAPABILITIES MSR availability:  NO 
    * ARCH_CAPABILITIES MSR advertises IBRS_ALL capability:  NO 
  * CPU explicitly indicates not being vulnerable to Meltdown (RDCL_NO):  NO 
  * CPU microcode is known to cause stability problems:  NO 
* CPU vulnerability to the three speculative execution attacks variants
  * Vulnerable to Variant 1:  YES 
  * Vulnerable to Variant 2:  YES 
  * Vulnerable to Variant 3:  NO 

CVE-2017-5753 [bounds check bypass] aka 'Spectre Variant 1'
* Mitigated according to the /sys interface:  NO  (kernel confirms your system is vulnerable)
* Kernel has array_index_mask_nospec:  NO 
* Checking count of LFENCE instructions following a jump in kernel:  NO  (only 2 jump-then-lfence instructions found, should be >= 30 (heuristic))
> STATUS:  VULNERABLE  (Kernel source needs to be patched to mitigate the vulnerability)

CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Mitigation 1
  * Kernel is compiled with IBRS/IBPB support:  NO 
  * Currently enabled features
    * IBRS enabled for Kernel space:  NO 
    * IBRS enabled for User space:  NO 
    * IBPB enabled:  NO 
* Mitigation 2
  * Kernel compiled with retpoline option:  YES 
  * Kernel compiled with a retpoline-aware compiler:  YES  (kernel reports full retpoline compilation)
  * Retpoline enabled:  YES 
> STATUS:  NOT VULNERABLE  (Mitigation: Full AMD retpoline)

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Mitigated according to the /sys interface:  YES  (kernel confirms that your CPU is unaffected)
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  NO 
* Running as a Xen PV DomU:  NO 
> STATUS:  NOT VULNERABLE  (your CPU vendor reported your CPU model as not vulnerable)

A false sense of security is worse than no security at all, see --disclaimer
root@debian:/#

biloute_c

bonjour,

Spectre and Meltdown mitigation detection tool v0.33+

Checking for vulnerabilities on current system
Kernel is Linux 4.13.0-33-generic #36~16.04.1-Ubuntu SMP Wed Feb 7 23:32:33 UTC 2018 x86_64
CPU is AMD Athlon(tm) II X2 250 Processor

Hardware check
* Hardware support (CPU microcode) for mitigation techniques
  * Indirect Branch Restricted Speculation (IBRS)
    * SPEC_CTRL MSR is available:  NO 
    * CPU indicates IBRS capability:  NO 
  * Indirect Branch Prediction Barrier (IBPB)
    * PRED_CMD MSR is available:  NO 
    * CPU indicates IBPB capability:  NO 
  * Single Thread Indirect Branch Predictors (STIBP)
    * SPEC_CTRL MSR is available:  NO 
    * CPU indicates STIBP capability:  NO 
  * Enhanced IBRS (IBRS_ALL)
    * CPU indicates ARCH_CAPABILITIES MSR availability:  NO 
    * ARCH_CAPABILITIES MSR advertises IBRS_ALL capability:  NO 
  * CPU explicitly indicates not being vulnerable to Meltdown (RDCL_NO):  NO 
  * CPU microcode is known to cause stability problems:  NO 
* CPU vulnerability to the three speculative execution attacks variants
  * Vulnerable to Variant 1:  YES 
  * Vulnerable to Variant 2:  YES 
  * Vulnerable to Variant 3:  NO 

CVE-2017-5753 [bounds check bypass] aka 'Spectre Variant 1'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Kernel has array_index_mask_nospec:  NO 
* Checking count of LFENCE opcodes in kernel:  YES  (94 opcodes found, which is >= 70, heuristic to be improved when official patches become available)
> STATUS:  NOT VULNERABLE  (Mitigation: OSB (observable speculation barrier, Intel v6))

CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Mitigation 1
  * Kernel is compiled with IBRS/IBPB support:  NO 
  * Currently enabled features
    * IBRS enabled for Kernel space:  NO 
    * IBRS enabled for User space:  NO 
    * IBPB enabled:  NO 
* Mitigation 2
  * Kernel compiled with retpoline option:  YES 
  * Kernel compiled with a retpoline-aware compiler:  YES  (kernel reports full retpoline compilation)
  * Retpoline enabled:  YES 
> STATUS:  NOT VULNERABLE  (Mitigation: Full AMD retpoline)

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Mitigated according to the /sys interface:  YES  (kernel confirms that your CPU is unaffected)
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  NO 
* Running as a Xen PV DomU:  NO 
> STATUS:  NOT VULNERABLE  (your CPU vendor reported your CPU model as not vulnerable)

A false sense of security is worse than no security at all, see --disclaimer

Grâce a ce ppa

http://ppa.launchpad.net/canonical-kernel-team/spectre/ubuntu

Même résultat avec mon portable et proc intel i3

uboops

nam1962 a écritIntéressant :

~]$ grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Mitigation: PTI
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Vulnerable
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Vulnerable: Minimal generic ASM retpoline

Ça contredit mon #207 d'ailleurs. (suis en 4.14)

Ubuntu 16.04LTS + depuis kernel 4.15 règle certaines choses)

cat /proc/cmdline 
BOOT_IMAGE=/boot/vmlinuz-4.15.3-x64-localmodconfig-01.efi ...
usr@PC:~$ grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Mitigation: PTI
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Mitigation: __user pointer sanitization
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Vulnerable: Minimal generic ASM retpoline

uboops

corradoventu a écritSur Ubuntu Artful j'ai installé la PPA de https://launchpad.net/~canonical-kernel-team/+archive/ubuntu/spectre/ ... ça marche ...

corrado@corrado-p6-aa:~$ sudo ./Downloads/spectre-meltdown-checker-master/spectre-meltdown-checker.sh
Spectre and Meltdown mitigation detection tool v0.34+
Checking for vulnerabilities on current system
Kernel is Linux 4.13.0-33-generic #36-Ubuntu SMP Tue Feb 6 20:30:50 UTC 2018 x86_64
CPU is Intel(R) Core(TM) i3-7100 CPU @ 3.90GHz
Hardware check
...
A false sense of security is worse than no security at all, see --disclaimer

Bonjour,
... ça marche ... mais pour combien de temps? ;-)
Merci, mais question témérité j'ai mes limites, il y a beaucoup trop de nouveautés dans ce PPA pour moi, il veut me faire plein de mise à jour dans synaptic après (la stabilité du système risque d'être compromise en pré-versions, il faut tester en virtual machine ;-))

xubu1957
Bonjour,
Une nouvelle couillonnade > une-faille-zero-day-dans-flash-permet-de-pirater-les-pc-a-volonte

... idem ... J'ai jamais aimé cette usine à gaz flash

Alex10336

Pendant ce temps là sur debian...

fournit [...] une prise en charge pour la compilation de mises à jour du noyau Linux avec « Retpoline » activé.

grandtoubab

pour ce qui est du noyau pour Debian stable ça progresse

root@debian:/# grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Not affected
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Mitigation: __user pointer sanitization
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Mitigation: Full AMD retpoline - vulnerable module loaded
root@debian:/# uname --all
Linux debian 4.9.0-6-amd64 #1 SMP Debian 4.9.82-1+deb9u2 (2018-02-21) x86_64 GNU/Linux
root@debian:/#

Alex10336

@grantoubab: Le patch est arrivé avec les fix de:
CVE-2017-5715 CVE-2017-5754 CVE-2017-13166 CVE-2018-5750 CVE-2017-5753

linux 4.9.82-1+deb9u2 sur stretch ( https://lists.debian.org/debian-security-announce/2018/msg00046.html )

uboops

grandtoubab a écritpour ce qui est du noyau pour Debian stable ça progresse

root@debian:/# grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Not affected
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Mitigation: __user pointer sanitization
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Mitigation: Full AMD retpoline - vulnerable module loaded
root@debian:/# uname --all
Linux debian 4.9.0-6-amd64 #1 SMP Debian 4.9.82-1+deb9u2 (2018-02-21) x86_64 GNU/Linux
root@debian:/#

... Oui question stabilité, chez Ubuntu il y a du laissé allé je trouve (même pour les LTS) , j'aimais bien la 10.04LTS, la 12.04LTS ... mais depuis c'est décevant (en même temps, à la longue je suis tenté d'activer les dépots backport ) ... Les LTS devraient être tous les 4 ans je trouve.

Edit;
Sinon avec le kernel vanilla 4.15.7 c'est apparemment réglé ...

date ; cat /proc/cmdline ; grep -e name -e micro  -e bugs /proc/cpuinfo ; grep . /sys/devices/system/cpu/vulnerabilities/* ; lsb_release -a

BOOT_IMAGE=/boot/vmlinuz-4.15.7 root=UUID=....
model name	: Intel(R) Atom(TM) CPU N280   @ 1.66GHz
microcode	: 0x212
bugs		:
model name	: Intel(R) Atom(TM) CPU N280   @ 1.66GHz
microcode	: 0x212
bugs		:
/sys/devices/system/cpu/vulnerabilities/meltdown:Not affected
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Not affected
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Not affected
No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 14.04.5 LTS
Release:	14.04
Codename:	trusty

Sinon, il est apparemment possible de mettre à jour la sécurité micro-processeur , via le package intel-microcode ... voir ici:
https://forum.ubuntu-fr.org/viewtopic.php?pid=21881295#p21881295

... et si le noyau le permet:

Enable CONFIG_BLK_DEV_INITRD, CONFIG_MICROCODE, and CONFIG_MICROCODE_INTEL
General setup --->
(*) Initial RAM filesystem and RAM disk (initramfs/initrd) support
Processor type and features --->
<*> CPU microcode loading support
(*) Intel microcode loading support

... Ce qui du coup recrée une faille de sécurité potentielle ;-)

abecidofugy

Après Meltdown et Spectre, comment sécuriser les processeurs? https://lejournal.cnrs.fr/billets/apres-meltdown-et-spectre-comment-securiser-les-processeurs?utm_term=Autofeed&utm_campaign=Echobox&utm_medium=Social&utm_source=Facebook#link_time=1520294889

uboops

abecidofugy a écritAprès Meltdown et Spectre, comment sécuriser les processeurs? https://lejournal.cnrs.fr/billets/apres-meltdown-et-spectre-comment-securiser-les-processeurs?utm_term=Autofeed&utm_campaign=Echobox&utm_medium=Social&utm_source=Facebook#link_time=1520294889

... Plus besoin de virus, ça devient du piratage furtif ou quasi,, à la nano-seconde près ;-)

xubu1957

Bonjour,

traduction a écritMISE À JOUR DE LA SÉCURITÉ : Nouveau fichier de données micro-code en amont 20180312 à fournir.
Prise en charge du microcode IBRS/IBPB/STIBP pour l'atténuation de la variante 2 de Spectre.

Updated on Package name Release Repository Level New Version
Old Version
...
03-29 17:07 UTC intel-microcode artful main updates 3.20180312.0~ubuntu17.10.1
3.20180108.0+really20170707ubuntu17.10.1
...
03-29 16:07 UTC intel-microcode xenial main security 3.20180312.0~ubuntu16.04.1
3.20180108.0+really20170707ubuntu16.04.1
03-29 16:07 UTC intel-microcode trusty main updates 3.20180312.0~ubuntu14.04.1
3.20180108.0+really20170707ubuntu14.04.1
03-29 16:07 UTC intel-microcode trusty main security 3.20180312.0~ubuntu14.04.1
3.20180108.0+really20170707ubuntu14.04.1
03-29 15:07 UTC intel-microcode artful main security 3.20180312.0~ubuntu17.10.1
3.20180108.0+really20170707ubuntu17.10.1

Dans > ubuntuupdates.org

jbmuffat

La mise à jour n'est pas automatiquement proposée?

Ubuntu1988

Non, le microcode est propriétaire et soumis à des brevets, Ubuntu ne peut pas le proposer par défaut, comme la lecture des DVD. Cela dit, si vous le pouvez, préférez la mise à jour du BIOS

Martial34

Je viens de recevoir automatiquement la mise à jour 3.20180312.0~ubuntu16.04.1 pour Xenial.

xubu1957

Bonjour,

Jamais deux sans trois !

Un papier publié par plusieurs universités présente une nouvelle faille de sécurité au sein des processeurs Intel. Nommée BranchScope, elle serait similaire à la deuxième variante de Spectre, puisqu’elle repose sur l’exploitation du prédicteur de branchement du processeur. Très simplement, plusieurs process utilisant le même coeur partagent un même prédicteur de branchement. Tout comme Spectre, BranchScope peut manipuler le prédicteur pour créer plusieurs branches, les surveiller, et récupérer des données compromettantes qui seraient stockées en mémoire lors de l’exécution de certaines prédictions.

> tomshardware.fr/articles/intel-processeur-branchscop

> linuxfr.org/

xubu1957

Bonjour,

Des infos dans :

> lemondeinformatique Linux 4.16 mieux armé contre Meltdown et Spectre

> developpez.com Linux kernel 4.16 est disponible avec des correctifs contre Meltdown et Spectre
Pour l'architecture arm64 et de nombreux autres ajouts.

Anacamptis3

Bonjour,
J'ai vérifié l'état de fiabilité de mon système en installant le spectre-meltdown checker.
Pour meltdown, pas de vulnérabilité.
Mais pour spectre, je suis vulnérable au 3 variants.
Chez asus, j' ai chargé le fichier permettant une mise à jour de la carte mere et du bios: PRIME-B250M-A-ASUS-1010.CAP
Pouvez vous me guider pour savoir comment procéder?

« Page précédente Page suivante »