Usterki podprocesora bocznego (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Wpływ na produkty Dell

IDENTYFIKATOR CVE: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754

Firma Dell jest świadoma luk w zabezpieczeniach umożliwiających atak metodą analizy „side channel” (znanych także jako Meltdown i Spectre), które zostały opisane publicznie 3 stycznia 2018 roku przez zespół badaczy systemów zabezpieczeń. Wspomniane luki dotyczą wielu współczesnych mikroprocesorów. „Rzeczywiste” wykorzystanie tych luk w zabezpieczeniach nie zostało jeszcze wykryte, choć badacze przedstawili dowody słuszności koncepcji.

Instrukcje instalacji poprawki

Aktualizacja: 11.10.2019 r.:

Istnieją trzy podstawowe komponenty wymagające zastosowanie poprawek w celu wyeliminowania wspomnianych luki w zabezpieczeniach:

1. Należy zastosować aktualizację mikrokodu procesora poprzez uaktualnienie systemu BIOS wyszczególnione w poniższej sekcji Zagrożone produkty firmy Dell.
2. Zastosuj odpowiednie poprawki dla systemu operacyjnego. Zobacz poniższą sekcję Instrukcje instalacji poprawki systemu operacyjnego.
3. W przypadku odpowiednich systemów należy zastosować pakiet sterowników NVIDIA wymieniony poniżej, w sekcji Produkty konsumenckie firmy Dell z procesorem graficznym NVIDIA. W przypadku platform, które zawierają oprogramowanie GeForce Experience (GFE), pakiet sterowników będzie również zawierał poprawioną wersję GFE.

Przypominamy, że poprawki systemów operacyjnych łagodzą skutki zagrożeń związanych z atakami Spectre (wariant 1) i Meltdown (wariant 3). Aktualizacja sterownika karty graficznej NVIDIA łagodzi skutki zagrożeń związanych z atakami Spectre (wariant 1). Aktualizacja mikrokodu jest wymagana tylko w kontekście ataków Spectre (wariant 2), CVE-2017-5715.

Firma Dell będzie aktualizowała ten artykuł na bieżąco, podając w nim zagrożone produkty i czynności naprawcze.

Firma Dell zaleca klientom przestrzeganie najlepszych praktyk dotyczących ochrony przed złośliwym oprogramowaniem w celu zabezpieczenia swoich urządzeń przeciwko próbom wykorzystania tych luk w zabezpieczeniach. Praktyki te obejmują niezwłoczne instalowanie aktualizacji, unikanie korzystania z nierozpoznawanych łączy i stron internetowych, niepobieranie plików lub aplikacji z nieznanych źródeł i postępowanie zgodnie z wytycznymi dotyczącymi bezpiecznego hasła. Klienci powinni również korzystać z oprogramowania zabezpieczającego, aby chronić swoje urządzenia przed złośliwym oprogramowaniem (zaawansowane oprogramowanie zapobiegające zagrożeniom lub program antywirusowy).

Uwagi

• Lista platform dotkniętych omawianym problemem, odnosząca się do produktów konsumenckich firmy Dell, będzie aktualizowana w miarę pojawiania się nowych informacji.
• Aby uzyskać informacje dotyczące produktów Dell EMC (serwerów Dell PowerEdge, pamięci masowej i sieci), zapoznaj się z tematem ataków z podprocesorem z bazy wiedzy Dell (CVE-2017-5715, CVE-2017-5753, CVE-2017-5754): Wpływ na produkty Dell EMC (serwery Dell Enterprise, urządzenia pamięci masowej i sieci).

Zagrożone produkty komercyjne i konsumenckie firmy Dell

Poniższe systemy są zagrożone i otrzymają poprawione oprogramowanie wewnętrzne wraz ze zaktualizowaną wersją systemu BIOS. Daty na tej liście są przybliżone i przeznaczone do celów planowania klienta. Będą aktualizowane o łącza do pobrania pakietów, kiedy tylko będą one dostępne.

Uwagi

• Przed zainstalowaniem wersji BIOS upewnij się, że aktualizacje systemu Windows są aktualne.
• Podane daty są szacowanymi terminami dostępności i mogą zostać zmienione bez powiadomienia.
• Poniższe daty podane są w formacie DD.MM.RRRR.
• Poprawki mogą również zawierać komponent oprogramowania sprzętowego poradnika Intel ME/TXE (INTEL-SA-00086). Skorzystaj z Bazy wiedzy firmy Dell i poradnika Intel ME/TXE, aby uzyskać szczegółowe informacje.
• W poniższej tabeli zamieszczono łącze do strony produktu komputera Dell zawierającej najnowszy system BIOS. Postępuj zgodnie z instrukcjami.

Należy wykonać następujące czynności:

1. Przejdź do witryny pomocy technicznej firmy Dell.
2. Dostępne są trzy sposoby identyfikacji komputera.

   Wykonaj jedną z następujących czynności:

   • Dotknij lub kliknij pozycję komputera w obszarze TEN KOMPUTER.
     Uwaga: Uwaga: jeśli w sekcji TEN KOMPUTER nie ma pozycji dla danego komputera, możesz dotknąć lub kliknąć przycisk Pobierz i zainstaluj aplikację SupportAssist, która automatycznie zidentyfikuje komputer. Postępuj zgodnie z monitami, aby pobrać i zainstalować aplikację SupportAssist.
   • Wprowadź kod Service Tag, identyfikator produktu Dell EMC lub model, a następnie dotknij lub kliknij przycisk Wyszukaj i wybierz komputer z listy.
   • Dotknij lub kliknij pozycję Przeglądaj wszystkie produkty: Należy wybrać typ posiadanego urządzenia, nazwę marki, a następnie model produktu.
     Uwaga: Uwaga: więcej informacji można znaleźć w artykule bazy wiedzy firmy Dell: Sprawdzanie numeru modelu komputera firmy Dell i filmie zamieszczonym poniżej.
3. Dotknij lub kliknij kartę Sterowniki i pliki do pobrania.
4. Wybierz z menu rozwijanego pod nagłówkiem Kategoria opcję BIOS.
5. Dotknij lub kliknij opcję Pobierz po prawej stronie najnowszej wersji systemu BIOS dla danego komputera wymienionej na liście, a następnie postępuj zgodnie z instrukcjami.

Uwaga:

• System ThinOS w wersji 8.4 lub nowszej nie jest zagrożony.
  ThinOS to „zamknięty” system operacyjny, co oznacza, że można w nim uruchomić tylko oprogramowanie firmy Dell. W systemie ThinOS nie ma przeglądarki internetowej ani innego interfejsu służącego do przeglądania, pobierania lub instalowania oprogramowania. W wersji 8.4 systemu ThinOS wprowadzono weryfikację podpisów cyfrowych aktualizacji lub pakietów oprogramowania. W efekcie użytkownicy (w tym administratorzy) nie mogą pobierać ani instalować innego oprogramowania w systemie ThinOS, w tym złośliwego oprogramowania, które mogłoby wykorzystać luki w zabezpieczeniach procesora. Klienci powinni zaktualizować do najnowszej wersji system ThinOS w posiadanych urządzeniach. Firma Dell będzie nadal monitorować sytuację.

Należy wykonać następujące czynności:

1. Przejdź do witryny pomocy technicznej firmy Dell.
2. Dostępne są trzy sposoby identyfikacji komputera.

   Wykonaj jedną z następujących czynności:

   • Dotknij lub kliknij pozycję komputera w obszarze TEN KOMPUTER.
     Uwaga: Uwaga: jeśli w sekcji TEN KOMPUTER nie ma pozycji dla danego komputera, możesz dotknąć lub kliknąć przycisk Pobierz i zainstaluj aplikację SupportAssist, która automatycznie zidentyfikuje komputer. Postępuj zgodnie z monitami, aby pobrać i zainstalować aplikację SupportAssist.
   • Wprowadź kod Service Tag, identyfikator produktu Dell EMC lub model, a następnie dotknij lub kliknij przycisk Wyszukaj i wybierz komputer z listy.
   • Dotknij lub kliknij pozycję Przeglądaj wszystkie produkty: Należy wybrać typ posiadanego urządzenia, nazwę marki, a następnie model produktu.
     Uwaga: Uwaga: więcej informacji można znaleźć w artykule bazy wiedzy firmy Dell: Sprawdzanie numeru modelu komputera firmy Dell i filmie zamieszczonym poniżej.
3. Korzystając z menu rozwijanego w obszarze System operacyjny, wybierz System operacyjny zainstalowany na komputerze.
4. Wybierz z menu rozwijanego pod nagłówkiem Kategoria pozycję Wideo.
5. Kliknij opcję Pobierz po prawej stronie najnowszej wersji sterownika karty graficznej lub wideo wymienionej na liście dla danego komputera, a następnie postępuj zgodnie z instrukcjami.

Instrukcje instalacji poprawki systemu operacyjnego

Problem dotyczy systemów operacyjnych wymienionych poniżej. Należy je zaktualizować, postępując zgodnie z instrukcjami umieszczonymi w biuletynie poświęconym odpowiedniemu systemowi operacyjnemu.

Biuletyn firmy Microsoft: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

Odniesienia

Poradnik zabezpieczeń firmy Intel: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

Biuletyny dot. bezpieczeństwa firmy NVIDIA:

• Biuletyn bezpieczeństwa: Biuletyn dot. bezpieczeństwa: mechanizm przewidywania przetwarzania („speculative execution with known side channels”)
• Biuletyn bezpieczeństwa: Biuletyn dot. bezpieczeństwa: aktualizacje zabezpieczeń oprogramowania NVIDIA GeForce Experience pod kątem potencjalnych ataków typu side-channel

Aktualizacja AMD: http://www.amd.com/en/corporate/speculative-execution

Wpis na blogu Google Project Zero: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

Opracowania: https://meltdownattack.com