Eu instalei a atualização mais recente do microcódigo da Intel para usar a correção da variante # 2 do Spectre, mas o verificador de Spectre & Meltdown ainda mostra que o IBRS / IBPB não pode ser usado.
CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigation 1
* Kernel is compiled with IBRS/IBPB support: YES
* Currently enabled features
* IBRS enabled for Kernel space: NO
* IBRS enabled for User space: NO
* IBPB enabled: NO
* Mitigation 2
* Kernel has branch predictor hardening (arm): NO
* Kernel compiled with retpoline option: NO
* Kernel compiled with a retpoline-aware compiler: NO
> STATUS: VULNERABLE (Your kernel is compiled with IBRS but your CPU microcode is lacking support to successfully mitigate the vulnerability)
O dmesg mostra que a última revisão está instalada.
# dmesg | grep microcode
[ 1.199842] microcode: CPU0 sig=0x206d7, pf=0x1, revision=0x713
[ 1.199860] microcode: CPU1 sig=0x206d7, pf=0x1, revision=0x713
[ 1.199877] microcode: CPU2 sig=0x206d7, pf=0x1, revision=0x713
[ 1.199898] microcode: CPU3 sig=0x206d7, pf=0x1, revision=0x713
[ 1.199966] microcode: Microcode Update Driver: v2.01 <[email protected]>, Peter Oruba
A CPU é Intel(R) Xeon(R) CPU E5-2420 0 @ 1.90GHz e o tipo de host é ESXi-5.1.0-20130402001-standard
As versões do ESXi anteriores à versão 5.5 não suportam os recursos necessários para a passagem do hipervisor do IBPB e do IBRS. Consulte a entrada do VMware KB para obter detalhes.
Para atenuar a variante 2 do Spectre, você precisa atualizar o ESXi ou alternar para um kernel habilitado para retpolina.