微处理器端通道漏洞（CVE-2017-5715，CVE-2017-5753，CVE-2017-5754）：对 Dell 产品的影响

CVE ID：CVE-2017-5715，CVE-2017-5753，CVE-2017-5754

2018年1月3日，安全研究人员团队公开了边信道分析漏洞（称为Meltdown和Spectre），Dell已经意识到此次攻击对许多现代微处理器造成了影响。即便研究人员已经生成概念验证，但目前为止并未报告有“实际”利用这类漏洞的情况出现。

修补程序指南

2019/10/11 更新：

需要应用三种基本组件以缓解上述漏洞的风险：

1. 通过下面列出的受影响的戴尔产品部分的BIOS更新，应用处理器微代码更新。
2. 应用合适的操作系统修补程序。请参阅下面的操作系统修补程序指南部分。
3. 对于适用的系统，请应用下面Dell客户端产品与NVIDIA GPU部分列出的NVIDIA驱动程序包。对于包括GeForce Experience (GFE)软件的平台，驱动程序包还包括GFE的缓解版本。

操作系统修补程序可缓解Spectre（变体1）和Meltdown（变体3）。NVIDIA驱动程序更新能够缓解Spectre（变体1）。只需为Spectre（变体2）CVE-2017-5715进行微代码更新。

戴尔将在获得相关信息时（包括受影响的产品和补救措施步骤）对此文章的信息进行更新。

戴尔建议客户遵循恶意软件保护的安全最佳做法，从而防止出现这类漏洞可能被利用的情况。这些做法包括立即采用软件更新、避免访问无法识别的超链接和网站、不从未知来源下载文件或应用程序以及遵循安全密码协议。客户还应使用安全软件来帮助抵御恶意软件（高级威胁防御软件或防病毒软件）。

注：

• 当信息可用时，还将更新戴尔客户端产品受影响的平台列表。
• 有关 Dell EMC 产品（Dell PowerEdge 服务器、存储设备和网络）的信息，请参阅 Dell 知识库文章 微处理器端通道攻击（cve-2017-5715、CVE-2017-5753、cve-2017-5754）：对 Dell EMC 产品（Dell Enterprise 服务器、存储设备和网络）的影响。

受影响的戴尔消费类和商业客户端产品

下列系统受到影响，将通过戴尔BIOS版本（BIOS更新）获取修补固件。列表中的预计日期仅供客户规划使用，将在可用时进行更新，同时提供软件包下载链接。

注：

• 安装BIOS版本之前，请确保Windows更新均为最新版本。
• 列出的日期为预计可用日期，如有更改，恕不另行通知。
• 以下日期均为美国日期格式(MM/DD/YY)
• 这些修补程序可能还包括Intel ME/TXE Advisory (INTEL-SA-00086)的固件组件，请参阅戴尔知识库中有关Intel ME/TXE Advisory的完整详细信息。
• 下表有指向戴尔计算机产品页面的链接，其中包含可用的最新 BIOS，请按照过程说明操作。

您需要执行以下操作：

1. 浏览戴尔支持网站。
2. 您可以通过三个选项来识别您的计算机。

   或者：

   • 轻触或单击 THIS PC 下的计算机列表。
     注：注：如果“THIS PC”下未列出您的计算机，您可以轻触或单击 Download & Install SupportAssist，以自动识别您的计算机。请按照提示下载并安装 SupportAssist。
   • 输入服务编号、Dell EMC 产品 ID 或型号，接着轻触或单击 Search 按钮，然后从列表中选择您的计算机。
   • 轻触或单击 Browse all products：您必须选择您的设备类型、品牌名称和产品型号。
     注：注：有关更多信息，请参阅戴尔知识库文章如何确定戴尔计算机的型号（英文版）或观看下面的视频。
3. 轻触或单击Drivers & downloads（驱动程序和下载）选项卡。
4. 在“类别：”下的下拉菜单中，选择“BIOS”。
5. 轻触或单击为您计算机列出的最新 BIOS 右侧的“下载”，然后按照提示进行操作。

注：

• ThinOS版本8.4和更高版本不受影响。
  ThinOS设计为“限定式”操作系统，也就是说仅戴尔提供的软件可以在ThinOS上运行。ThinOS上没有Web浏览器或其他界面可浏览、下载或安装软件。在版本8.4中，ThinOS引入了软件更新或软件包数字签名验证。因此，用户（包括管理员）无法在ThinOS上下载或安装其他软件，包括可能利用底层CPU中的漏洞的恶意软件。客户应将其设备更新至ThinOS的最新版本。戴尔将继续监视该情况。

您需要执行以下操作：

1. 浏览戴尔支持网站。
2. 您可以通过三个选项来识别您的计算机。

   或者：

   • 轻触或单击 THIS PC 下的计算机列表。
     注：注：如果“THIS PC”下未列出您的计算机，您可以轻触或单击 Download & Install SupportAssist，以自动识别您的计算机。请按照提示下载并安装 SupportAssist。
   • 输入服务编号、Dell EMC 产品 ID 或型号，接着轻触或单击 Search 按钮，然后从列表中选择您的计算机。
   • 轻触或单击 Browse all products：您必须选择您的设备类型、品牌名称和产品型号。
     注：注：有关更多信息，请参阅戴尔知识库文章如何确定戴尔计算机的型号（英文版）或观看下面的视频。
3. 使用 Operating System: 下的下拉菜单，选择计算机上安装的操作系统。
4. 在 Category: 下的下拉菜单中，选择“Video”。
5. 轻触或单击为您计算机列出的最新显卡驱动程序右侧的“Download”，然后按照提示进行操作。

操作系统修补程序指南

下列操作系统受到影响，应按照针对适用操作系统的公告中提供的说明进行更新。

Microsoft Advisory（Microsoft安全公告）：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat：https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe：https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu：https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS：https://support.google.com/faqs/answer/7622138#chromeos

参考材料

Intel Security Advisory（Intel安全公告）：https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

NVIDIA安全公告：

• 安全公告：安全公告：NVIDIA驱动程序针对CPU推测性边信道漏洞的安全更新
• 安全公告：安全公告：NVIDIA GeForce Experience (GFE)针对CPU推测性边信道漏洞的安全更新

AMD更新： http://www.amd.com/en/corporate/speculative-execution

Google Project Zero博客：https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

研究论文：https://meltdownattack.com