Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Faille de sécurité Intel: Comment mettre son noyau à jour ?

bruno

bipede a écrit…c'est pourquoi il ne faut lancer que des scripts de source sûre (Intel ou Canonical).

Idéalement il ne faut lancer aucun script, d'où qu'il vienne, sans en avoir analysé et compris le code.

nam1962

nam1962 a écritPour la détection, il y aurait un moyen simple (à confirmer)

Tiens, je suis passé de :

~]$ cat /proc/cpuinfo| grep bugs
bugs		: cpu_insecure
bugs		: cpu_insecure
bugs		: cpu_insecure
bugs		: cpu_insecure

~]$ cat /proc/cpuinfo | grep bugs
bugs		: cpu_meltdown
bugs		: cpu_meltdown
bugs		: cpu_meltdown
bugs		: cpu_meltdown

herve33

Slt,
avec quel OS, et les màj ont été faites ?

nam1962

Là c'est une Manjaro unstable avec kernel 4.14, sur ma Xub, toujours :

~]$ cat /proc/cpuinfo | grep bugs
bugs		: 
bugs		:

Lifesaver

La maj de ce matin ne m'a résolu que la faille Meltdown, c'est normal à ce stade ?

Spectre and Meltdown mitigation detection tool v0.21

Checking for vulnerabilities against live running kernel Linux 4.13.0-25-generic #29-Ubuntu SMP Mon Jan 8 21:14:41 UTC 2018 x86_64

CVE-2017-5753 [bounds check bypass] aka 'Spectre Variant 1'
* Checking count of LFENCE opcodes in kernel:  NO  (only 42 opcodes found, should be >= 70)
> STATUS:  VULNERABLE  (heuristic to be improved when official patches become available)

CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigation 1
*   Hardware (CPU microcode) support for mitigation:  NO 
*   Kernel support for IBRS:  NO 
*   IBRS enabled for Kernel space:  NO 
*   IBRS enabled for User space:  NO 
* Mitigation 2
*   Kernel compiled with retpoline option:  NO 
*   Kernel compiled with a retpoline-aware compiler:  NO 
> STATUS:  VULNERABLE  (IBRS hardware + kernel support OR kernel with retpoline are needed to mitigate the vulnerability)

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

nam1962

Même résultat chez moi sur Manjaro et Xubuntu

Nicolas13

Bonjour,

Idem mais on dirait qu'il y a une nouvelle version en préparation :

Préparation du dépaquetage de .../linux-libc-dev_[b]4.4.0-109.132[/b]_amd64.deb ...
Dépaquetage de linux-libc-dev:amd64 (4.4.0-109.132) sur (4.4.0-108.131) ...
Paramétrage de linux-libc-dev:amd64 (4.4.0-109.132) ...

Lifesaver

Et pour l'instant, aucun benchmark de phoronix suite que j'ai pu testé ne m'indique la moindre perte de performance côté cpu

Nicolas13

LifeSaver : Il y a 3 failles.

D'après ton rapport la faille CVE-2017-5754 est corrigée de ton côté (et du miens aussi).
Edit : C'est bien ce que tu signales dans ton message, j'ai répondu un peu vite ^^

Nicolas13

Ca bouge :

Linux machine2Lamp 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64 x86_64 x86_64 GNU/Linux

[supprimé]

une mise a jour ce matin et une maintenant sur xubunti 16.04

cat /proc/cpuinfo| grep bugs
bugs		:
bugs		:
bugs		:
bugs		:

  uname -r
4.4.0-109-generic

pas de problèmes de redémarrage

LeoMajor

bonjour,

mettre à jour, flasher le bios/efi de la carte mère, pour les machines de plus de 5 ans.

Ubuntu1988

Mettre le bios à jour n'est pas une opération à prendre à la légère, d'autant plus que dans ce cas, la faille est directement sur la matériel, donc que ça soit patché depuis le bios ou depuis l'OS, c'est peu ou proue la même chose, à la différence que quand la maj de l'OS foire, c'est plus facilement récupérable que si c'est celle du bios

Après, pour le BIOS, pour ceux qui tiennent vraiment à le mettre à jour, penser à sauvegarder la version actuelle avant de la mettre à jour en cas de souci

grandtoubab

bilounoir a écritune mise a jour ce matin et une maintenant sur xubunti 16.04

cat /proc/cpuinfo| grep bugs
bugs		:
bugs		:
bugs		:
bugs		:

  uname -r
4.4.0-109-generic

pas de problèmes de redémarrage

j'aurai tendance à dire qu'aucun de tes 4 coeurs de cpu n'a été patché, ce n'est pas forcémént une bonne nouvelle.
a priori quand une faille est patchée , un label est listée
http://wiki.osdev.org/CPU_Bugs

A la date du 2018 Jan 07 c'est le linux 4.4.0-108.131 Xenial 16.04 qui est patché
https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

bipede

Après la mise à jour du noyau de la 17.10 sur mon laptop :

alain@alain-Inspiron-15-3567:~$ cat /proc/cpuinfo| grep bugs
bugs		: cpu_insecure
bugs		: cpu_insecure
bugs		: cpu_insecure
bugs		: cpu_insecure
alain@alain-Inspiron-15-3567:~$ uname -r
4.13.0-25-generic
alain@alain-Inspiron-15-3567:~$

et sur mon desktop :

alain@alain-MS-7758:~$ cat /proc/cpuinfo| grep bugs
bugs		: cpu_insecure
bugs		: cpu_insecure
bugs		: cpu_insecure
bugs		: cpu_insecure
alain@alain-MS-7758:~$ uname -r
4.13.0-25-generic
alain@alain-MS-7758:~$

nam1962

Et les patchs Bios sont encore loin d'être dispos (si ils le sont un jour)

bruno

grandtoubab a écrit

bilounoir a écritune mise a jour ce matin et une maintenant sur xubunti 16.04

cat /proc/cpuinfo| grep bugs
bugs		:
bugs		:
bugs		:
bugs		:

  uname -r
4.4.0-109-generic

pas de problèmes de redémarrage

J'aurais tendance à dire qu'on ne sait pas quel processeur il utilise, ni s'il a installé intel-microcode/amd-microcode…

Le noyau 4.4.0-109 contient bien le patch KPTI (au moins pour les processeurs Intel).

Et on ne « patche » pas un processeur. Les noyaux Linux ont été patchés pour ~~corriger~~ atténuer l'impact des défaut matériels de certains processeurs (algo permettant d'exécuter des instructions en mode spéculatif)

bruno

nam1962 a écritEt les patchs Bios sont encore loin d'être dispos (si ils le sont un jour)

OSEF, le microcode (propriétaire) des processeur peut-être chargé au démarrage, c'est le rôle des paquets (tout à fait facultatifs) comme amd-microcode/ intel-microcode.

grandtoubab

bruno a écrit
nam1962 a écritEt les patchs Bios sont encore loin d'être dispos (si ils le sont un jour)
OSEF, le microcode (propriétaire) des processeur peut-être chargé au démarrage, c'est le rôle des paquets (tout à fait facultatifs) comme amd-microcode/ intel-microcode.

tout a fait

apt list *microcode*

amd64-microcode/testing,stable,unstable,now 3.20160316.3 amd64  [installé]
intel-microcode/testing,unstable 3.20171215.1 amd64
microcode.ctl/testing,stable,unstable 1.18~0+nmu2 amd64

on vient bien qu'Intel a été patché plus recemment

bruno

Oui, et Intel a vraiment tardé a publier ces correctifs. Sur Debian testing, il y en a déjà au moins une partie :

intel-microcode (3.20171215.1) unstable; urgency=high

* Add supplementary-ucode-CVE-2017-5715.d/: (closes: #886367)

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=886367

« Page précédente Page suivante »