Jump to content
Sign in to follow this  
Doso

Meltdown & Spectre CPU Bugs - Notfallpatches

Recommended Posts

Hört sich ziemlich gruselig an. Sowohl Amazon als auch Microsoft führen gerade Notfallwartungsarbeiten an ihren Cloud Angeboten durch. Man kann nämlich über den Fehler die Isolierung von virtuellen Systemen aushebeln, also Speicher von fremden Systemen lesen. Microsoft und die Linux Community haben außer der Reihe Patches veröffentlicht. 

 



Allgemeine Infos: https://meltdownattack.com

Mögliche Auswirkung, Passwörter auslesen: https://twitter.com/misc0110/status/948706387491786752

 

Microsft KB Artikel:



 

  • Like 1

Share this post


Link to post
Share on other sites

Gilt das wirklich für ALLE Prozessoren oder nur die aktuellen bzw. die von den letzten Jahren? 

 

Heise hat in diesem Artikel (https://www.heise.de/newsticker/meldung/Prozessor-Bug-Intel-Chef-stiess-hunderttausende-Aktien-ab-Boersenkurs-sackt-ab-3932649.html)

geschrieben: 

"Berichten zufolge soll die Sicherheitslücke zahlreiche Intel-Prozessoren der letzten Dekade betreffen."

Zahlreiche bedeutet für mich noch nicht alle  :confused:

 

Außerdem: Was ist eigentlich mit VMWare? 

Hier gibt es seit gestern ebenfalls einen Patch: https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html

 

Leider bin ich auf diesem Gebiet nicht sehr bewandert: Bedeutet das wenn ich diesen Patch in meiner VMWare Umgebung einspiele sind meine VMs sind nicht mehr gefährdet ?!?

So wie ich das aus dem Heise Artikel lese sieht dann jeder Prozess/(VM?!?) nur sein Speicherbereich, wenn die Lücke geschlossen ist?!?

Edited by ssd_rider

Share this post


Link to post
Share on other sites

Der Fehler liegt letztlich an Verfahren in der CPU, und das ist länger drin. Daher kann man eigentlich davon ausgehen das quasi alles davon betroffen ist.

Share this post


Link to post
Share on other sites

Dringend Frage zu dem Thema:

 

Ich habe einen physischen Hyper-V-Host mit vielen VMs als Gastbetriebssysteme. Muss hier nur der physische Hyper-V-Host gepatcht werden oder jede einzelne VM? Es geht mir nur um die Sicherheitspatches für die CPU und den Chipsatz.

 

Vielen Dank!

Share this post


Link to post
Share on other sites

Alles + ggf. Registry Einstellungen setzen.

 

Wobei Patches aktuell teilweise noch gar nicht über Windows Update / WSUS zur Verfügung stehen bzw. noch gar nicht zur Verfügung stehen (Windows Server 2016).

Edited by Doso

Share this post


Link to post
Share on other sites

Alles + ggf. Registry Einstellungen setzen.

Hallo Dosco, Danke für dein Feedback. Es wäre schön, wenn du das begründest. Eine VM besitzt doch nur einen vCPU mit virtuellen Kernen und wird in den virtuellen Geräteinformationen doch von den Integrationsdiensten von Hyper-V verwaltet.

 

Gruß

Share this post


Link to post
Share on other sites

Du patcht den Host damit nicht eine VM die Daten einer anderen VM zu fassen bekommt. Aber in einer VM laufen ja auch Anwendungen die dann zumindest die Daten anderer Anwendungen zu gesicht bekommen.

 

Ungepatchter Host: Webserver A liest die Daten der ERP Anwendung B aus.

Gepatchter Host, ungepatchte VM Webserver A: Anwendung liest den privaten Schlüssel eines SSL Zertifikates der Anwendung Apache aus.

 

So zumindest habe ich es verstanden.

Share this post


Link to post
Share on other sites

Spricht was dafür nur eins von beiden zu aktualisieren? Bitte jetzt nicht das bisher nicht bewertbare Performancethema.

Hallo Norbert, ja :-)

Über 100 virtuelle Systeme, verteilt auf 4-5 physischen Hosts. Den Host patchen geht ja fix, aber gleich 100 virtuelle Gastsysteme....außerdem möchte der Kunde ja auch eine fundierte Aussage haben. Wie handelst du das so?

 

Gruß

Share this post


Link to post
Share on other sites

Ich patche beides. Und zwar im nächsten patchzyklus. 100vms auf einem Host?

20 VMs pro performanter Host. 5 Hosts insgesamt = 100 VMs.

Leider brauch' ich eine Argumentation warum ich auch die Notfallpatches auch auf den VMs installiere. Hast du da eine qualitative Begründung?

Share this post


Link to post
Share on other sites

Moin,

 

solage die Patches das Betriebssystem betreffen und nicht die Firmware der betroffenen CPUs (was schwerlich gelingen dürfte), müssen wohl alle Betriebssysteme gepatcht werden, die möglicherweise eine der betroffenen CPU-Funktionen nutzen. Da auch VMs direkt mit der CPU kommunizieren (sie werden vom Hypervisor ja nur gesteuert, aber er führt nicht die Instruktionen für die VMs aus), müssen ziemlich sicher auch die VMs gepatcht werden.

 

Gruß, Nils

  • Like 1

Share this post


Link to post
Share on other sites
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte überlege Dir, ob es nicht sinnvoller ist ein neues Thema zu erstellen.

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Sign in to follow this  

×
×
  • Create New...