Vulnerabilità del canale laterale a microprocessore (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impatto sui prodotti di Dell

ID CVE: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Dell è a conoscenza delle vulnerabilità di analisi canale laterale, note anche come "Meltdown" e "Spectre", che possono riguardare molti dei moderni microprocessori, come è stato descritto e diffuso pubblicamente da un team di ricercatori della sicurezza il 3 gennaio 2018. Nessun exploit "reale" di queste vulnerabilità è stato segnalato finora, sebbene i ricercatori abbiano prodotto modelli di prova.

Indicazioni sulle patch

Aggiornamento del 11/10/2019:

Vi sono tre componenti essenziali che devono essere applicati per prevenire le suddette vulnerabilità:

1. Applicare l'aggiornamento con microcodice del processore tramite l'aggiornamento del BIOS elencato nella sezione Prodotti Dell interessati di seguito.
2. Applicare la patch del sistema operativo appropriata. Vedere la sezione Indicazioni su patch del sistema operativo di seguito.
3. Per i sistemi applicabili, implementare il pacchetto di driver NVIDIA elencato nella sezione Prodotti client Dell con GPU NVIDIA riportata di seguito. Per le piattaforme che includono il software GeForce Experience (GFE), il pacchetto di driver includerà anche la versione di GFE che previene il problema.

Le patch del sistema operativo forniscono una misura di prevenzione per le minacce Spectre (variante 1) e Meltdown (variante 3). L'aggiornamento del driver NVIDIA fornisce una misura di prevenzione per Spectre (variante 1). L'aggiornamento con microcodice è richiesto solo per la minaccia Spectre (variante 2), CVE-2017-5715.

Dell aggiornerà il presente articolo con le informazioni che diventeranno man mano disponibili, inclusi i prodotti interessati e le operazioni di risoluzione.

Dell raccomanda ai clienti di attenersi in generale alle best practice di sicurezza per la protezione da malware, al fine di proteggere i propri dispositivi da possibili exploit di queste vulnerabilità. Queste best practice includono l'installazione tempestiva degli aggiornamenti software, evitare collegamenti ipertestuali e siti Web sconosciuti, non scaricare file o applicazioni da fonti sconosciute e il rispetto dei protocolli per le password sicure. I clienti devono inoltre utilizzare il software di protezione per proteggersi dai malware (software per Advanced Threat Prevention o antivirus).

Note:

• L'elenco delle piatteforme interessate per i prodotti client Dell verrà aggiornato non appena saranno disponibili nuove informazioni.
• Per informazioni sulla Dell EMC prodotti (Dell PowerEdge Server, storage e networking), fare riferimento all'articolo Dell Knowledge base a microprocessore attacchi canale laterale (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Impatto sui prodotti di Dell EMC (dell Enterprise Server, storage e networking).

Prodotti client commerciali e per privati Dell interessati

I sistemi riportati di seguito sono interessati dal problema e riceveranno una patch del firmware tramite una nuova versione del BIOS Dell (aggiornamento del BIOS). Le date indicate nell'elenco sono stime fornite per le finalità di pianificazione del cliente e verranno aggiornate con collegamenti per il download dei pacchetti quando disponibili.

Note:

• Prima di installare le nuove versioni del BIOS, assicurarsi che gli aggiornamenti di Windows siano aggiornati.
• Le date indicate sono stime della disponibilità e sono soggette a modifica senza preavviso.
• Le date di seguito sono riportate nel formato statunitense MM/GG/AA
• Le patch potrebbero includere anche il componente firmware dell'avviso Intel ME/TXE (INTEL-SA-00086); fare riferimento all'articolo della Knowledge Base di Dell relativo all'avviso Intel ME/TXE per i dettagli completi.
• La tabella di seguito contiene un link alla pagina del prodotto per il computer Dell contenente l'ultima versione del BIOS disponibile; seguire le istruzioni riportate.

Sarà necessario effettuare le seguenti operazioni:

1. Accedere al sito web del supporto Dell.
2. Sono disponibili tre opzioni per identificare il computer.

   Effettuare una delle seguenti operazioni:

   • Toccare o cliccare sull'elenco degli elementi del computer in QUESTO PC.
     Nota: Nota: se non è presente un elenco in QUESTO PC, è possibile toccare o cliccare su Scarica e installa SupportAssist, che identificherà automaticamente il computer. Seguire i prompt per scaricare e installarle SupportAssist.
   • Inserire codice di matricola, ID prodotto Dell EMC o modello, quindi toccare o cliccare sul pulsante Cerca e selezionare il computer dall'elenco.
   • Toccare o cliccare su Visualizza tutti i prodotti: È necessario selezionare il tipo di dispositivo che si possiede, il nome del marchio e quindi il modello del prodotto.
     Nota: Nota: per ulteriori informazioni, consultare l'articolo della Knowledge Base di Dell Come trovare il modello di prodotto del computer Dell o il video di seguito.
3. Toccare o cliccare sulla scheda Driver e download.
4. Utilizzando il menu a discesa in Categoria, selezionare BIOS.
5. Toccare o cliccare su Download a destra del BIOS più recente elencato per il computer, quindi seguire i prompt.

Nota:

• ThinOS versione 8.4 e successive non è interessato dal problema.
  ThinOS è progettato come un sistema operativo "chiuso", il che vuol dire che solo il software fornito da Dell può essere eseguito al suo interno. Non vi è alcun browser Web o interfaccia per cercare, scaricare o installare il software su ThinOS. Nella versione 8.4, ThinOS ha introdotto la verifica della firma digitale di pacchetti o aggiornamenti software. Di conseguenza, gli utenti (inclusi gli amministratori) non possono scaricare o installare su ThinOS altri software, che includono il malware in grado di sfruttare le vulnerabilità nella CPU sottostante. I clienti devono aggiornare i propri dispositivi alla versione più recente di ThinOS. Dell continuerà a monitorare la situazione.

Sarà necessario effettuare le seguenti operazioni:

1. Accedere al sito web del supporto Dell.
2. Sono disponibili tre opzioni per identificare il computer.

   Effettuare una delle seguenti operazioni:

   • Toccare o cliccare sull'elenco degli elementi del computer in QUESTO PC.
     Nota: Nota: se non è presente un elenco in QUESTO PC, è possibile toccare o cliccare su Scarica e installa SupportAssist, che identificherà automaticamente il computer. Seguire i prompt per scaricare e installarle SupportAssist.
   • Inserire codice di matricola, ID prodotto Dell EMC o modello, quindi toccare o cliccare sul pulsante Cerca e selezionare il computer dall'elenco.
   • Toccare o cliccare su Visualizza tutti i prodotti: È necessario selezionare il tipo di dispositivo che si possiede, il nome del marchio e quindi il modello del prodotto.
     Nota: Nota: per ulteriori informazioni, consultare l'articolo della Knowledge Base di Dell Come trovare il modello di prodotto del computer Dell o il video di seguito.
3. Utilizzando il menu a discesa sotto Sistema operativo, selezionare il sistema operativo installato sul computer in uso.
4. Utilizzando il menu a discesa in Categoria, selezionare Video.
5. Toccare o cliccare su Scarica a destra del driver della scheda grafica o video più recente elencato per il computer, quindi seguire le istruzioni visualizzate.

Indicazioni su patch del sistema operativo

I sistemi operativi elencati di seguito sono interessati dal problema e devono essere aggiornati seguendo le istruzioni fornite nell'avviso per il sistema operativo corrispondente.

Avviso Microsoft: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

Riferimenti

Avviso di sicurezza Intel: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

Bollettini di sicurezza NVIDIA:

• Bollettino sulla sicurezza: Bollettino di sicurezza: aggiornamenti di sicurezza dei driver NVIDIA per le vulnerabilità speculative dei canali laterali della CPU (in inglese)
• Bollettino sulla sicurezza: Bollettino di sicurezza: aggiornamenti di sicurezza di NVIDIA GeForce Experience (GFE) per le vulnerabilità speculative dei canali laterali della CPU (in inglese)

Aggiornamento AMD: http://www.amd.com/en/corporate/speculative-execution

Post sul blog Google Project Zero: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Pubblicazioni della ricerca: https://meltdownattack.com