Prozessorfehler mit katastrophalen Ausmaßen

Berichtigung · 7. Januar 2018

Und nun sind wir wieder mal soweit,
dass völlige Unklarheit allerorten für die nackte Wahrheit gehalten wird.

Die Patches, die derzeit ausgerollt werden, betreffen lediglich Meltdown.
Und das ist nur für Intelprozessoren wirklich relevant.

Die beiden Spectre Lücken werden damit NICHT gestopft.

Tatsächlich wird es sogar Jahre dauern, bis da wirklich alle Löcher gestopft sind.
Denn da hilft es eben nicht, wenn man einen gepatchted Microcode samt einigen Änderungen im VirtualMemoryManagement vornimmt.
Da müssen im Prinzip alle Anwendungen, die davon betroffen sind, umgeschrieben werden.
Nach meiner Meinung weiß man da grade mal von 0,5% betroffenen Applikationen.
Wenn überhaupt.

Aber wir haben ja schon den Patch eingespielt.
Alles gut.

Sauerland · 7. Januar 2018

Code

zypper patch-info openSUSE-2018-1
Repository-Daten werden geladen...
Installierte Pakete werden gelesen...




Informationen zu Patch openSUSE-2018-1:
---------------------------------------
Repository       : openSUSE-Leap-42.3-Update          
Name             : openSUSE-2018-1                    
Version          : 1                                  
Arch             : noarch                             
Anbieter         : maint-coord@suse.de                
Status           : angewendet                         
Kategorie        : security                           
Schweregrad      : important                          
Erstellt am      : Do 04 Jan 2018 11:41:53 CET        
Interaktiv       : ---                                
Zusammenfassung  : Security update for kernel-firmware
Beschreibung     :                                    
    This update for kernel-firmware fixes the following issues:


    - Add microcode_amd_fam17h.bin (bsc#1068032 CVE-2017-5715)


    This new firmware disables branch prediction on AMD family 17h
    processor to mitigate a attack on the branch predictor that could
    lead to information disclosure from e.g. kernel memory (bsc#1068032
    CVE-2017-5715).


    This update was imported from the SUSE:SLE-12-SP2:Update update project.
Bereitstellungen : patch:openSUSE-2018-1 = 1          
Konflikte        : [3]                                
    kernel-firmware.noarch < 20170530-14.1
    kernel-firmware.src < 20170530-14.1
    ucode-amd.noarch < 20170530-14.1

Alles anzeigen

Code

zypper patch-info openSUSE-2018-4
Repository-Daten werden geladen...
Installierte Pakete werden gelesen...




Informationen zu Patch openSUSE-2018-4:
---------------------------------------
Repository       : openSUSE-Leap-42.3-Update      
Name             : openSUSE-2018-4                
Version          : 1                              
Arch             : noarch                         
Anbieter         : maint-coord@suse.de            
Status           : angewendet                     
Kategorie        : security                       
Schweregrad      : important                      
Erstellt am      : Fr 05 Jan 2018 08:52:46 CET    
Interaktiv       : ---                            
Zusammenfassung  : Security update for ucode-intel
Beschreibung     :                                




    This update for ucode-intel fixes the following issues:


    The CPU microcode for Haswell-X, Skylake-X and Broadwell-X chipsets
    was updated to report both branch prediction control via CPUID flag and
    ability to control branch prediction via an MSR register.


    This update is part of a mitigation for a branch predictor based
    information disclosure attack, and needs additional code in the Linux
    Kernel to be active (bsc#1068032 CVE-2017-5715)
Bereitstellungen : patch:openSUSE-2018-4 = 1      
Konflikte        : [9]                            
    ucode-intel.i586 < 20170707-13.1
    ucode-intel.src < 20170707-13.1
    ucode-intel-blob.i586 < 20170707-13.1
    ucode-intel-debuginfo.i586 < 20170707-13.1
    ucode-intel-debugsource.i586 < 20170707-13.1
    ucode-intel.x86_64 < 20170707-13.1
    ucode-intel-blob.x86_64 < 20170707-13.1
    ucode-intel-debuginfo.x86_64 < 20170707-13.1
    ucode-intel-debugsource.x86_64 < 20170707-13.1

Alles anzeigen

Code

zypper patch-info openSUSE-2018-2
Repository-Daten werden geladen...
Installierte Pakete werden gelesen...




Informationen zu Patch openSUSE-2018-2:
---------------------------------------
Repository       : openSUSE-Leap-42.3-Update           
Name             : openSUSE-2018-2                     
Version          : 1                                   
Arch             : noarch                              
Anbieter         : maint-coord@suse.de                 
Status           : angewendet                          
Kategorie        : security                            
Schweregrad      : important                           
Erstellt am      : Fr 05 Jan 2018 08:20:26 CET         
Interaktiv       : reboot                              
Zusammenfassung  : Security update for the Linux Kernel
Beschreibung     :                                     




    The openSUSE Leap 42.3 kernel was updated to 4.4.104 to receive various security and bugfixes.


    This update adds mitigations for various side channel attacks against
    modern CPUs that could disclose content of otherwise unreadable memory
    (bnc#1068032).


    - CVE-2017-5753 / "SpectreAttack": Local attackers on systems with
      modern CPUs featuring deep instruction pipelining could use attacker
      controllable speculative execution over code patterns in the Linux
      Kernel to leak content from otherwise not readable memory in the same
      address space, allowing retrieval of passwords, cryptographic keys
      and other secrets.


      This problem is mitigated by adding speculative fencing on affected
      code paths throughout the Linux kernel.




    - CVE-2017-5715 / "SpectreAttack": Local attackers on systems with modern
      CPUs featuring branch prediction could use mispredicted branches to
      speculatively execute code patterns that in turn could be made to
      leak other non-readable content in the same address space, an attack
      similar to CVE-2017-5753.


      This problem is mitigated by disabling predictive branches, depending
      on CPU architecture either by firmware updates and/or fixes in the
      user-kernel privilege boundaries.


      Please also check with your CPU / Hardware vendor on updated firmware
      or BIOS images regarding this issue.


      As this feature can have a performance impact, it can be disabled
      using the "nospec" kernel commandline option.




    - CVE-2017-5754 / "MeltdownAttack": Local attackers on systems with
      modern CPUs featuring deep instruction pipelining could use code
      patterns in userspace to speculative executive code that would read
      otherwise read protected memory, an attack similar to CVE-2017-5753.


      This problem is mitigated by unmapping the Linux Kernel from the user
      address space during user code execution, following a approach called
      "KAISER". The terms used here are "KAISER" / "Kernel Address Isolation"
      and "PTI" / "Page Table Isolation".


      Note that this is only done on affected platforms.


      This feature can be enabled / disabled by the "pti=[on|off|auto]" or
      "nopti" commandline options.




    The following security bugs were fixed:
.
.
.
.
.
.

Alles anzeigen

Agnes · 7. Januar 2018

Zitat von Berichtigung

Aber wir haben ja schon den Patch eingespielt.
Alles gut.

?

Code

# uname -a
Linux 4.4.104-39-default #1 SMP Thu Jan 4 08:11:03 UTC 2018 (7db1912) x86_64 x86_64 x86_64 GNU/Linux
# zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz
#

Wenn der Patch im Kernel 4.4.104 eingespielt wäre, müsste doch

Zitat von zgrep

CONFIG_PAGE_TABLE_ISOLATION=y

liefern. Tut er aber nicht.

@Sauerland Eine schwere Frage:
Worauf beziehen sich die Angaben zu Spectre & Meltdown im "patch-info openSUSE-2018-2: The openSUSE Leap 42.3 kernel was updated to 4.4.104 to receive various security and bugfixes."?

Sauerland · 7. Januar 2018

Du hast einen Intel Prozessor?

Agnes · 7. Januar 2018

Code

# cat /proc/cpuinfo 
processor	: 0
vendor_id	: AuthenticAMD
cpu family	: 18
model		: 1
model name	: AMD A8-3870 APU with Radeon(tm) HD Graphics

Was wird bei dir angezeigt? Also nicht Linux Kernel 4.14.12, den zu gestern getestet hast, sondern 4.4.104.

Sauerland · 7. Januar 2018

Zitat von Sauerland

Note that this is only done on affected platforms.

.......
LEAP 42.3 CPU critical bugs Meltdown and Spectre

Berichtigung · 7. Januar 2018

Zitat von Berichtigung

...Die Patches, die derzeit ausgerollt werden, betreffen lediglich Meltdown.
Und das ist nur für Intelprozessoren wirklich relevant....

Ohne Intel kein CONFIG_PAGE_TABLE_ISOLATION

Agnes · 7. Januar 2018

Zitat von Sauerland

LEAP 42.3 CPU critical bugs Meltdown and Spectre

ucode und firmware für Spectre „Variant 2“ — CVE-2017-5715 sind bei mir schon installiert.

Bash

# zypper search -i --verbose ucode-amd kernel-firmware
Loading repository data...
Reading installed packages...


S  | Name            | Type    | Version       | Arch   | Repository                     
---+-----------------+---------+---------------+--------+--------------------------------
i+ | kernel-firmware | package | 20170530-14.1 | noarch | Hauptaktualisierungs-Repository
    name: kernel-firmware
i+ | kernel-firmware | package | 20170530-14.1 | noarch | (System Packages)              
    name: kernel-firmware
i+ | ucode-amd       | package | 20170530-14.1 | noarch | Hauptaktualisierungs-Repository
    name: ucode-amd
i+ | ucode-amd       | package | 20170530-14.1 | noarch | (System Packages)              
    name: ucode-amd

Alles anzeigen

Wie finde ich jetzt heraus, ob der Patch für Meltdown im Kernel 4.4.104 drinsteckt und der Code bei meiner CPU wirklich deaktiviert ist?

Geht das nicht per:
zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz und
dmesg | grep isolation ?

Sauerland · 7. Januar 2018

Siehe oben......

AMD ist von Melton nicht betroffen........
Bzw. schon, mit kernel-panic beim ausführen von 32 bit Anwendungen......

Übrigens:

Zitat

- CVE-2017-5754 / "MeltdownAttack": Local attackers on systems with
modern CPUs featuring deep instruction pipelining could use code
patterns in userspace to speculative executive code that would read
otherwise read protected memory, an attack similar to CVE-2017-5753.
This problem is mitigated by unmapping the Linux Kernel from the user
address space during user code execution, following a approach called
"KAISER". The terms used here are "KAISER" / "Kernel Address Isolation"
and "PTI" / "Page Table Isolation".
Note that this is only done on affected platforms.
This feature can be enabled / disabled by the "pti=[on|off|auto]" or
"nopti" commandline options.

Code

lscpu | grep -Ei 'pti|kaiser'

Agnes · 7. Januar 2018

Zitat von Sauerland
Code
lscpu | grep -Ei 'pti|kaiser'

…liefert bei mir keine Ausgabe.
Steckt da vielleicht im Kernel 4.4.104 noch ein älterer Code als im Kernel 4.14.12?

Prozessorfehler mit katastrophalen Ausmaßen

Fehler bei der Validitätsprüfung

Neue Clonezilla-Version aktualisiert Unterbau

Schleswig-Holstein migriert nach Linux - Windows und Microsoft Office werden ersetzt durch Linux und LibreOffice

[Leap15.5] Keine Soundausgabe über Bluetooth

Neuinstallation leap 15.5: init Prozess scheitert beim Booten - Kernel Panik

A_Kueb

Kukulkan

vpn

Nidrnox

hudel

Teilen

Tags