Qual é o status do Ubuntu nas vulnerabilidades do Meltdown e do Specter?

Question

___ answer992233 ___

Descobriu-se que uma nova classe de ataques de canal lateral afeta a maioria dos processadores, incluindo processadores da Intel, AMD e ARM. O ataque permite que processos maliciosos do espaço do usuário leiam a memória do kernel e códigos maliciosos nos convidados para ler a memória do hipervisor.

Para resolver o problema, são necessárias atualizações para o kernel do Ubuntu e o microcódigo do processador. Atualizações são anunciadas em Comunicados de Segurança do Ubuntu . Atualizações relacionadas ao Meltdown / Specter agora foram anunciadas, cobrindo atualizações do kernel e de alguns softwares do espaço do usuário.

As seguintes atualizações foram lançadas:

• As atualizações do kernel do Ubuntu estão disponíveis em USN 3522-1 (para o Ubuntu 16.04 LTS), < href="https://usn.ubuntu.com/usn/usn-3523-1/"> USN 3523-1 (para o Ubuntu 17.10), USN 3522-2 (para o Ubuntu 14.04 LTS (HWE)) e USN-3524-1 (para o Ubuntu 14.04 LTS).
• Atualizações adicionais do kernel (que incluem mitigações para variantes de Specter e mitigações adicionais para o Meltdown) foram disponibilizadas em 22 de janeiro de 2018 em USN-3541-2 (para o Ubuntu 16.04 LTS (HWE)), USN-3540 -1 (para o Ubuntu 16.04 LTS), USN-3541-1 (para o Ubuntu 17.10), USN-3540-2 (para Ubuntu 14.04 LTS (HWE)), USN-3542-1 (para o Ubuntu 14.04 LTS), USN-3542-2 (para o Ubuntu 12.04 LTS (HWE)).
• O USN-3516-1 fornece atualizações do Firefox.
• O USN-3521-1 fornece atualizações de drivers da NVIDIA.
• O USN-3531-1 fornece atualizações de microcódigo da Intel. Devido a regressões, as atualizações do microcódigo foram revertidas por enquanto ( USN-3531-2 ).

Os usuários devem instalar imediatamente as atualizações à medida que são lançadas da maneira normal . Uma reinicialização é necessária para que as atualizações do kernel e do microcódigo entrem em vigor.

Os usuários podem verificar se os patches de isolamento da tabela de páginas do kernel estão ativos após a reinicialização.

Atualizações para o Ubuntu 17.04 (Zesty Zapus) não serão fornecidas como chegou ao fim da vida em 13 de janeiro de 2018.

Antes de as atualizações de segurança serem lançadas, Dustin Kirkland forneceu mais detalhes sobre quais atualizações esperar em um post no blog , incluindo menções às atualizações do kernel, bem como às atualizações do microcódigo, do gcc e do qemu da CPU.

Kiko Reis, da Canonical, escreveu um descrição acessível do impacto dessas vulnerabilidades e suas mitigações para usuários do Ubuntu em 24 de janeiro de 2018.

A equipe de segurança do Ubuntu está mantendo seu status atual sobre esses problemas e uma FAQ técnica oficial que detalha as variantes de vulnerabilidades individuais específicas e suas migrações sob diferentes casos de uso.

    

___ tag123security ___ Security abrange um amplo conjunto de tópicos, incluindo Usuários, Permissões, Autenticação, Autorização, Atualizações, Firewall, Endurecimento, etc. ___ qstnhdr ___ Qual é o status do Ubuntu nas vulnerabilidades do Meltdown e do Specter? ___ answer992617 ___

Há coisas específicas a serem lembradas aqui, e isso é retirado de algumas das listas de discussão de segurança e análise que eu estou indo além do Ubuntu:

1. O ataque Meltdown pode ser corrigido em um nível do kernel. Isso ajudará a proteger contra o conjunto de vulnerabilidades do Meltdown.

2. O vetor de ataque Spectre é muito mais difícil de proteger, mas também é muito mais difícil para os criminosos explorarem. Embora existam patches de software para vetores de ataque conhecidos , como um vetor de ataque LLVM que pode ser corrigido, o problema central é que para realmente corrigir o Spectre você precisa alterar o funcionamento e comportamento do hardware da CPU. Isso dificulta muito a proteção, porque somente vetores de ataque conhecidos podem ser realmente corrigidos. Todos os softwares precisam de hardening individual para esse problema, o que significa que é um desses "um patch não conserta todos" os tipos de ofertas.

Agora, para as grandes perguntas:

• O Ubuntu estará corrigindo as vulnerabilidades do Meltdown e do Specter?
  • A resposta é yes , mas é difícil de fazer, os patches chegam ao Kernel, mas as equipes Kernel e Security testam à medida que vão e provavelmente verão regressões inesperadas ao longo do caminho Teremos que corrigir para corrigir problemas inesperados. As equipes de Segurança e Kernel estão trabalhando nisso.

• Quando correções estarão disponíveis?

  • Eu lhe darei a mesma resposta que recebi da equipe do Kernel: "Quando estamos confiantes de que os patches funcionam e de que não quebramos mais nada ao longo do caminho."

    Agora, uma grande coisa a considerar: era uma data específica para uma divulgação pública de 9 de janeiro, que deveria coincidir com uma versão de correções. No entanto, a divulgação aconteceu no dia 3 de janeiro. A equipe do kernel e a equipe de segurança ainda têm como alvo a data de 9 de janeiro, mas esse não é um prazo firme, e pode haver atrasos se algo importante nos núcleos for interrompido no processo

• Existe algum lugar em que eu deveria procurar mais atualizações sobre o Meltdown e o Specter?

  • Sim, na verdade. A equipe do Ubuntu Security tem um artigo da base de conhecimento sobre Specter e Meltdown, e é aí que você vai notar alguns relatórios de status sobre a linha do tempo para as correções serem lançadas e quais não.

    Você deve também assistir ao site Notificações de Segurança da Equipe de Segurança do Ubuntu, e ficar de olho para o anúncio de correções sendo disponibilizadas para os kernels.

Outros links relevantes que você deve ficar de olho:

• Base de Conhecimento da Equipe de Segurança do Ubuntu - Espectro e Fusão
• Rastreador CVE do Ubuntu - Meltdown - CVE-2017-5754
• Rastreador CVE do Ubuntu - Spectre - 1 de 2 - CVE-2017- 5715
• Rastreador CVE do Ubuntu - Spectre - 2 de 2 - CVE-2017- 5753

___

Answer 1

Descobriu-se que uma nova classe de ataques de canal lateral afeta a maioria dos processadores, incluindo processadores da Intel, AMD e ARM. O ataque permite que processos maliciosos do espaço do usuário leiam a memória do kernel e códigos maliciosos nos convidados para ler a memória do hipervisor.

Para resolver o problema, são necessárias atualizações para o kernel do Ubuntu e o microcódigo do processador. Atualizações são anunciadas em Comunicados de Segurança do Ubuntu . Atualizações relacionadas ao Meltdown / Specter agora foram anunciadas, cobrindo atualizações do kernel e de alguns softwares do espaço do usuário.

As seguintes atualizações foram lançadas:

• As atualizações do kernel do Ubuntu estão disponíveis em USN 3522-1 (para o Ubuntu 16.04 LTS), < href="https://usn.ubuntu.com/usn/usn-3523-1/"> USN 3523-1 (para o Ubuntu 17.10), USN 3522-2 (para o Ubuntu 14.04 LTS (HWE)) e USN-3524-1 (para o Ubuntu 14.04 LTS).
• Atualizações adicionais do kernel (que incluem mitigações para variantes de Specter e mitigações adicionais para o Meltdown) foram disponibilizadas em 22 de janeiro de 2018 em USN-3541-2 (para o Ubuntu 16.04 LTS (HWE)), USN-3540 -1 (para o Ubuntu 16.04 LTS), USN-3541-1 (para o Ubuntu 17.10), USN-3540-2 (para Ubuntu 14.04 LTS (HWE)), USN-3542-1 (para o Ubuntu 14.04 LTS), USN-3542-2 (para o Ubuntu 12.04 LTS (HWE)).
• O USN-3516-1 fornece atualizações do Firefox.
• O USN-3521-1 fornece atualizações de drivers da NVIDIA.
• O USN-3531-1 fornece atualizações de microcódigo da Intel. Devido a regressões, as atualizações do microcódigo foram revertidas por enquanto ( USN-3531-2 ).

Os usuários devem instalar imediatamente as atualizações à medida que são lançadas da maneira normal . Uma reinicialização é necessária para que as atualizações do kernel e do microcódigo entrem em vigor.

Os usuários podem verificar se os patches de isolamento da tabela de páginas do kernel estão ativos após a reinicialização.

Atualizações para o Ubuntu 17.04 (Zesty Zapus) não serão fornecidas como chegou ao fim da vida em 13 de janeiro de 2018.

Antes de as atualizações de segurança serem lançadas, Dustin Kirkland forneceu mais detalhes sobre quais atualizações esperar em um post no blog , incluindo menções às atualizações do kernel, bem como às atualizações do microcódigo, do gcc e do qemu da CPU.

Kiko Reis, da Canonical, escreveu um descrição acessível do impacto dessas vulnerabilidades e suas mitigações para usuários do Ubuntu em 24 de janeiro de 2018.

A equipe de segurança do Ubuntu está mantendo seu status atual sobre esses problemas e uma FAQ técnica oficial que detalha as variantes de vulnerabilidades individuais específicas e suas migrações sob diferentes casos de uso.

    

Answer 2

Há coisas específicas a serem lembradas aqui, e isso é retirado de algumas das listas de discussão de segurança e análise que eu estou indo além do Ubuntu:

1. O ataque Meltdown pode ser corrigido em um nível do kernel. Isso ajudará a proteger contra o conjunto de vulnerabilidades do Meltdown.

2. O vetor de ataque Spectre é muito mais difícil de proteger, mas também é muito mais difícil para os criminosos explorarem. Embora existam patches de software para vetores de ataque conhecidos , como um vetor de ataque LLVM que pode ser corrigido, o problema central é que para realmente corrigir o Spectre você precisa alterar o funcionamento e comportamento do hardware da CPU. Isso dificulta muito a proteção, porque somente vetores de ataque conhecidos podem ser realmente corrigidos. Todos os softwares precisam de hardening individual para esse problema, o que significa que é um desses "um patch não conserta todos" os tipos de ofertas.

Agora, para as grandes perguntas:

• O Ubuntu estará corrigindo as vulnerabilidades do Meltdown e do Specter?
  • A resposta é yes , mas é difícil de fazer, os patches chegam ao Kernel, mas as equipes Kernel e Security testam à medida que vão e provavelmente verão regressões inesperadas ao longo do caminho Teremos que corrigir para corrigir problemas inesperados. As equipes de Segurança e Kernel estão trabalhando nisso.

• Quando correções estarão disponíveis?

  • Eu lhe darei a mesma resposta que recebi da equipe do Kernel: "Quando estamos confiantes de que os patches funcionam e de que não quebramos mais nada ao longo do caminho."

    Agora, uma grande coisa a considerar: era uma data específica para uma divulgação pública de 9 de janeiro, que deveria coincidir com uma versão de correções. No entanto, a divulgação aconteceu no dia 3 de janeiro. A equipe do kernel e a equipe de segurança ainda têm como alvo a data de 9 de janeiro, mas esse não é um prazo firme, e pode haver atrasos se algo importante nos núcleos for interrompido no processo

• Existe algum lugar em que eu deveria procurar mais atualizações sobre o Meltdown e o Specter?

  • Sim, na verdade. A equipe do Ubuntu Security tem um artigo da base de conhecimento sobre Specter e Meltdown, e é aí que você vai notar alguns relatórios de status sobre a linha do tempo para as correções serem lançadas e quais não.

    Você deve também assistir ao site Notificações de Segurança da Equipe de Segurança do Ubuntu, e ficar de olho para o anúncio de correções sendo disponibilizadas para os kernels.

Outros links relevantes que você deve ficar de olho:

• Base de Conhecimento da Equipe de Segurança do Ubuntu - Espectro e Fusão
• Rastreador CVE do Ubuntu - Meltdown - CVE-2017-5754
• Rastreador CVE do Ubuntu - Spectre - 1 de 2 - CVE-2017- 5715
• Rastreador CVE do Ubuntu - Spectre - 2 de 2 - CVE-2017- 5753

Answer 3

___ answer992233 ___

Descobriu-se que uma nova classe de ataques de canal lateral afeta a maioria dos processadores, incluindo processadores da Intel, AMD e ARM. O ataque permite que processos maliciosos do espaço do usuário leiam a memória do kernel e códigos maliciosos nos convidados para ler a memória do hipervisor.

Para resolver o problema, são necessárias atualizações para o kernel do Ubuntu e o microcódigo do processador. Atualizações são anunciadas em Comunicados de Segurança do Ubuntu . Atualizações relacionadas ao Meltdown / Specter agora foram anunciadas, cobrindo atualizações do kernel e de alguns softwares do espaço do usuário.

As seguintes atualizações foram lançadas:

• As atualizações do kernel do Ubuntu estão disponíveis em USN 3522-1 (para o Ubuntu 16.04 LTS), < href="https://usn.ubuntu.com/usn/usn-3523-1/"> USN 3523-1 (para o Ubuntu 17.10), USN 3522-2 (para o Ubuntu 14.04 LTS (HWE)) e USN-3524-1 (para o Ubuntu 14.04 LTS).
• Atualizações adicionais do kernel (que incluem mitigações para variantes de Specter e mitigações adicionais para o Meltdown) foram disponibilizadas em 22 de janeiro de 2018 em USN-3541-2 (para o Ubuntu 16.04 LTS (HWE)), USN-3540 -1 (para o Ubuntu 16.04 LTS), USN-3541-1 (para o Ubuntu 17.10), USN-3540-2 (para Ubuntu 14.04 LTS (HWE)), USN-3542-1 (para o Ubuntu 14.04 LTS), USN-3542-2 (para o Ubuntu 12.04 LTS (HWE)).
• O USN-3516-1 fornece atualizações do Firefox.
• O USN-3521-1 fornece atualizações de drivers da NVIDIA.
• O USN-3531-1 fornece atualizações de microcódigo da Intel. Devido a regressões, as atualizações do microcódigo foram revertidas por enquanto ( USN-3531-2 ).

Os usuários devem instalar imediatamente as atualizações à medida que são lançadas da maneira normal . Uma reinicialização é necessária para que as atualizações do kernel e do microcódigo entrem em vigor.

Os usuários podem verificar se os patches de isolamento da tabela de páginas do kernel estão ativos após a reinicialização.

Atualizações para o Ubuntu 17.04 (Zesty Zapus) não serão fornecidas como chegou ao fim da vida em 13 de janeiro de 2018.

Antes de as atualizações de segurança serem lançadas, Dustin Kirkland forneceu mais detalhes sobre quais atualizações esperar em um post no blog , incluindo menções às atualizações do kernel, bem como às atualizações do microcódigo, do gcc e do qemu da CPU.

Kiko Reis, da Canonical, escreveu um descrição acessível do impacto dessas vulnerabilidades e suas mitigações para usuários do Ubuntu em 24 de janeiro de 2018.

A equipe de segurança do Ubuntu está mantendo seu status atual sobre esses problemas e uma FAQ técnica oficial que detalha as variantes de vulnerabilidades individuais específicas e suas migrações sob diferentes casos de uso.

    

___ tag123security ___ Security abrange um amplo conjunto de tópicos, incluindo Usuários, Permissões, Autenticação, Autorização, Atualizações, Firewall, Endurecimento, etc. ___ qstnhdr ___ Qual é o status do Ubuntu nas vulnerabilidades do Meltdown e do Specter? ___ answer992617 ___

Há coisas específicas a serem lembradas aqui, e isso é retirado de algumas das listas de discussão de segurança e análise que eu estou indo além do Ubuntu:

1. O ataque Meltdown pode ser corrigido em um nível do kernel. Isso ajudará a proteger contra o conjunto de vulnerabilidades do Meltdown.

2. O vetor de ataque Spectre é muito mais difícil de proteger, mas também é muito mais difícil para os criminosos explorarem. Embora existam patches de software para vetores de ataque conhecidos , como um vetor de ataque LLVM que pode ser corrigido, o problema central é que para realmente corrigir o Spectre você precisa alterar o funcionamento e comportamento do hardware da CPU. Isso dificulta muito a proteção, porque somente vetores de ataque conhecidos podem ser realmente corrigidos. Todos os softwares precisam de hardening individual para esse problema, o que significa que é um desses "um patch não conserta todos" os tipos de ofertas.

Agora, para as grandes perguntas:

• O Ubuntu estará corrigindo as vulnerabilidades do Meltdown e do Specter?
  • A resposta é yes , mas é difícil de fazer, os patches chegam ao Kernel, mas as equipes Kernel e Security testam à medida que vão e provavelmente verão regressões inesperadas ao longo do caminho Teremos que corrigir para corrigir problemas inesperados. As equipes de Segurança e Kernel estão trabalhando nisso.

• Quando correções estarão disponíveis?

  • Eu lhe darei a mesma resposta que recebi da equipe do Kernel: "Quando estamos confiantes de que os patches funcionam e de que não quebramos mais nada ao longo do caminho."

    Agora, uma grande coisa a considerar: era uma data específica para uma divulgação pública de 9 de janeiro, que deveria coincidir com uma versão de correções. No entanto, a divulgação aconteceu no dia 3 de janeiro. A equipe do kernel e a equipe de segurança ainda têm como alvo a data de 9 de janeiro, mas esse não é um prazo firme, e pode haver atrasos se algo importante nos núcleos for interrompido no processo

• Existe algum lugar em que eu deveria procurar mais atualizações sobre o Meltdown e o Specter?

  • Sim, na verdade. A equipe do Ubuntu Security tem um artigo da base de conhecimento sobre Specter e Meltdown, e é aí que você vai notar alguns relatórios de status sobre a linha do tempo para as correções serem lançadas e quais não.

    Você deve também assistir ao site Notificações de Segurança da Equipe de Segurança do Ubuntu, e ficar de olho para o anúncio de correções sendo disponibilizadas para os kernels.

Outros links relevantes que você deve ficar de olho:

• Base de Conhecimento da Equipe de Segurança do Ubuntu - Espectro e Fusão
• Rastreador CVE do Ubuntu - Meltdown - CVE-2017-5754
• Rastreador CVE do Ubuntu - Spectre - 1 de 2 - CVE-2017- 5715
• Rastreador CVE do Ubuntu - Spectre - 2 de 2 - CVE-2017- 5753

___