Mikro işlemci tarafı kanal güvenlik açıkları (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Dell ürünleriyle ilgili etki

CVE KIMLIĞI: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Dell, bir güvenlik araştırma ekibi tarafından 3 Ocak 2018 tarihinde yayınlanan ve çok sayıda modern mikroişlemciyi etkileyen yan kanal çözümleme saldırılarından (Meltdown ve Spectre olarak da bilinir) haberdardır. Bu tarihe kadar bu saldırılardan "gerçek dünyada" faydalanıldığı bir olay bildirilmese de araştırmacılar kavram kanıtları oluşturmuştur.

Yama Kılavuzu

Güncelleme 11.10.2019:

Yukarıda bahsedilen saldırıları hafifletmek için uygulanması gereken üç önemli bileşen bulunmaktadır:

1. Aşağıda Etkilenen Dell Ürünleri bölümünde listelenen BIOS güncelleştirmeleri aracılığıyla işlemci mikrokod güncelleştirmesini uygulayın.
2. Geçerli işletim sistemi yamasını uygulayın. Aşağıdaki İşletim Sistemi Yama Kılavuzu bölümüne başvurun.
3. Geçerli sistemler için aşağıdaki NVIDIA GPU'lu Dell İstemci Ürünleri bölümünde listelenen NVIDIA sürücü paketini uygulayın. GeForce Experience (GFE) yazılımını içeren platformlar için sürücü paketi GFE'nin hafifletilmiş sürümünü de içerecektir.

Spectre (Varyant 1) ile Meltdown (Varyant 3) için İşletim Sistemi yamaları hafifletme sağlar. NVIDIA sürücü güncelleştirmesi Spectre (Varyant 1) için hafifletme sağlar. Mikrokod güncelleştirmesi yalnızca CVE-2017-5715 kimlikli Spectre (Varyant 2) için gereklidir.

Dell, bu makaleyi etkilenen ürünler ve sorun giderme adımları da dahil olmak üzere bilgi sahibi oldukça güncelleştirecektir.

Dell, sistem açıklıklarından yararlanma tehlikesine karşı müşterilerine, genel olarak kötü amaçlı yazılımlardan korunmak için en iyi güvenlik uygulamalarını izlemesini önerir. Bu uygulamalar arasında yazılım güncelleştirmelerini derhal yapmak, tanımadığınız köprülerden ve web sitelerinden kaçınmak, bilinmeyen kaynaklardan dosya veya uygulama indirmemek ve güvenli parola protokollerini izlemek bulunur. Aynı zamanda müşteriler, kötü amaçlı yazılımlardan korunmalarına yardımcı olması için güvenlik yazılımı (gelişmiş tehdit engelleme yazılımı veya antivirüs) kullanmalıdır.

Notlar:

• Dell müşteri ürünlerine ait etkilenen platform listesi, bilgiler mevcut oldukça güncelleştirilecektir.
• Dell EMC ürünleri (Dell PowerEdge sunucuları, depolama ve ağ) ile ilgili daha fazla bilgi için, Dell Bilgi Bankası makalesi mikro Işlemcisi yan kanal saldırılarına (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754) bakın: Dell EMC ürünlerine (Dell Kurumsal sunucular, depolama ve ağ) etkisi.

Etkilenen Dell Tüketici ve Ticari İstemci Sistemleri

Etkilenen sistemler aşağıda belirtildiği gibidir ve Dell BIOS sürümü (BIOS güncelleştirmesi) yoluyla yamalanmış bellenim güncelleştirmesi alacaktır. Bu listede verilen tarihler, müşteri planlaması için sağlanan tahminlerdir ve mevcut olduklarında paketlerin indirilmesine yönelik bağlantılarla güncelleştirilecektirler.

Notlar:

• BIOS sürümlerini yüklemeden önce lütfen Windows Güncelleştirmelerinizin en yeni sürümde olduğundan emin olun.
• Listelenen tarihler tahmini yayınlanma tarihleridir ve bildirimde bulunmaksızın değişikliğe tabidir.
• Aşağıdaki tarihler, AA/GG/YY şeklinde ABD tarih biçimindedir
• Bu yamalar, Intel ME/TXE Advisory (INTEL-SA-00086) bellenim bileşenini de içerebilir. Bilgilerin tamamı için lütfen Intel ME/TXE danışmanlık sayfasıyla ilgili Dell Knowledge Base makalesine başvurun.
• Aşağıdaki tabloda, Dell bilgisayarınız için en yeni BIOS'u içeren ürün sayfasına bir bağlantı bulunmaktadır, devam eden talimatları uygulayın.

Aşağıdakileri yapmanız gerekir:

1. Dell Destek web sitesine gidin.
2. Bilgisayarınızın tanımlanması için üç seçenek sunulur.

   Aşağıdakilerden birini yapabilirsiniz:

   • Bilgisayarınız için THIS PC (BU BİLGİSAYAR) öğesinin altındaki listeye dokunun veya tıklayın.
     Not: Not: Bilgisayarınızda THIS PC (BU BİLGİSAYAR) öğesinin altında bir liste yoksa Download & Install SupportAssist (SupportAssist'i İndir ve Yükle) öğesine dokunabilir veya tıklayabilirsiniz. Bu seçenek, bilgisayarınızı sizin için otomatik olarak tanımlar. SupportAssist'i indirip yüklemek için istemleri izleyin.
   • Servis Etiketini, Dell EMC Ürün Kimliğini veya Modeli girin, ardından Search (Ara) düğmesine dokunun veya tıklayın ve listeden bilgisayarınızı seçin.
   • Browse all products (Tüm ürünlere göz at) öğesine dokunun ya da tıklayın: Sahip olduğunuz aygıtın türünü, marka adını ve ardından ürün modelini seçmeniz gerekir.
     Not: Not: Daha fazla bilgi için Dell Bilgisayarınızın Model Numarasını Belirleme başlıklı Dell Knowledge Base makalesine veya aşağıdaki videoya başvurun.
3. Drivers & downloads (Sürücüler ve indirmeler) sekmesine dokunun veya tıklayın.
4. Kategori öğesinin altındaki açılır menüyü kullanarak BIOS öğesini seçin.
5. Bilgisayarınız için listelenen en yeni BIOS'un sağındaki İndir öğesine dokunun ya da tıklayın ve ardından, istemleri uygulayın.

Not:

• ThinOS 8.4 ve üzeri sürümler etkilenmemiştir.
  ThinOS tasarımı gereği "kapalı" bir işletim sistemidir; yani yalnızca Dell'in sağladığı yazılımlar ThinOS'de çalıştırılabilir. ThinOS'de yazılımlara göz atmak, yazılımları indirmek veya yüklemek için bir web tarayıcısı ya da başka bir arayüz bulunmaz. ThinOS, 8.4 sürümünde yazılım güncelleştirmeleri veya paketlerin dijital imza ile doğrulanması özelliğini sunmuştur. Bu yüzden kullanıcılar (Yöneticiler dahil) ThinOS'de başka yazılımları indiremez veya yükleyemez; buna temel CPU'daki açıklıklardan yararlanabilecek kötü amaçlı yazılımlar da dahildir. Müşteriler, aygıtlarında ThinOS'i en güncel sürümle güncelleştirmelidir. Dell, durumu izlemeye devam edecektir.

Aşağıdakileri yapmanız gerekir:

1. Dell Destek web sitesine gidin.
2. Bilgisayarınızın tanımlanması için üç seçenek sunulur.

   Aşağıdakilerden birini yapabilirsiniz:

   • Bilgisayarınız için THIS PC (BU BİLGİSAYAR) öğesinin altındaki listeye dokunun veya tıklayın.
     Not: Not: Bilgisayarınızda THIS PC (BU BİLGİSAYAR) öğesinin altında bir liste yoksa Download & Install SupportAssist (SupportAssist'i İndir ve Yükle) öğesine dokunabilir veya tıklayabilirsiniz. Bu seçenek, bilgisayarınızı sizin için otomatik olarak tanımlar. SupportAssist'i indirip yüklemek için istemleri izleyin.
   • Servis Etiketini, Dell EMC Ürün Kimliğini veya Modeli girin, ardından Search (Ara) düğmesine dokunun veya tıklayın ve listeden bilgisayarınızı seçin.
   • Browse all products (Tüm ürünlere göz at) öğesine dokunun ya da tıklayın: Sahip olduğunuz aygıtın türünü, marka adını ve ardından ürün modelini seçmeniz gerekir.
     Not: Not: Daha fazla bilgi için Dell Bilgisayarınızın Model Numarasını Belirleme başlıklı Dell Knowledge Base makalesine veya aşağıdaki videoya başvurun.
3. İşletim Sistemi altındaki açılır menüyü kullanarak bilgisayarınızda yüklü olan İşletim Sistemini seçin.
4. Kategori öğesinin altındaki açılır menüyü kullanarak Video öğesini seçin.
5. Bilgisayarınız için listelenen en yeni Video veya Grafik sürücüsünün sağındaki Download (İndir) öğesine dokunun ya da tıklayın ve ardından istemleri uygulayın.

İşletim Sistemi Yama Kılavuzu

Aşağıda listelenen işletim sistemleri durumdan etkilenmiştir ve geçerli işletim sistemine yönelik danışmanlık sayfasında sağlanan talimatlar takip edilerek güncelleştirilmelidir.

Microsoft Advisory: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

Referanslar

Intel Security Advisory: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

NVIDIA Güvenlik Bültenleri:

• Güvenlik Bülteni: Security Bulletin: NVIDIA Driver Security Updates for CPU Speculative Side Channel Vulnerabilities (Güvenlik Bülteni: CPU Spekülatif Yan Kanal Saldırıları İçin NVIDIA Sürücüsü Güvenlik Güncelleştirmeleri)
• Güvenlik Bülteni: Güvenlik Bülten: NVIDIA GeForce Experience (GFE) Security Updates for CPU Speculative Side Channel Vulnerabilities (CPU Spekülatif Yan Kanal Saldırıları İçin NVIDIA GeForce Experience (GFE) Güvenlik Güncelleştirmeleri)

AMD Güncelleştirmesi: http://www.amd.com/en/corporate/speculative-execution

Google Project Zero Blog Gönderisi: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Araştırma makaleleri: https://meltdownattack.com