Jump to content
Doso

Meltdown & Spectre CPU Bugs - Notfallpatches

Empfohlene Beiträge

Hört sich ziemlich gruselig an. Sowohl Amazon als auch Microsoft führen gerade Notfallwartungsarbeiten an ihren Cloud Angeboten durch. Man kann nämlich über den Fehler die Isolierung von virtuellen Systemen aushebeln, also Speicher von fremden Systemen lesen. Microsoft und die Linux Community haben außer der Reihe Patches veröffentlicht. 

 



Allgemeine Infos: https://meltdownattack.com

Mögliche Auswirkung, Passwörter auslesen: https://twitter.com/misc0110/status/948706387491786752

 

Microsft KB Artikel:



 

  • Like 1

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Gilt das wirklich für ALLE Prozessoren oder nur die aktuellen bzw. die von den letzten Jahren? 

 

Heise hat in diesem Artikel (https://www.heise.de/newsticker/meldung/Prozessor-Bug-Intel-Chef-stiess-hunderttausende-Aktien-ab-Boersenkurs-sackt-ab-3932649.html)

geschrieben: 

"Berichten zufolge soll die Sicherheitslücke zahlreiche Intel-Prozessoren der letzten Dekade betreffen."

Zahlreiche bedeutet für mich noch nicht alle  :confused:

 

Außerdem: Was ist eigentlich mit VMWare? 

Hier gibt es seit gestern ebenfalls einen Patch: https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html

 

Leider bin ich auf diesem Gebiet nicht sehr bewandert: Bedeutet das wenn ich diesen Patch in meiner VMWare Umgebung einspiele sind meine VMs sind nicht mehr gefährdet ?!?

So wie ich das aus dem Heise Artikel lese sieht dann jeder Prozess/(VM?!?) nur sein Speicherbereich, wenn die Lücke geschlossen ist?!?

bearbeitet von ssd_rider

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Der Fehler liegt letztlich an Verfahren in der CPU, und das ist länger drin. Daher kann man eigentlich davon ausgehen das quasi alles davon betroffen ist.

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Dringend Frage zu dem Thema:

 

Ich habe einen physischen Hyper-V-Host mit vielen VMs als Gastbetriebssysteme. Muss hier nur der physische Hyper-V-Host gepatcht werden oder jede einzelne VM? Es geht mir nur um die Sicherheitspatches für die CPU und den Chipsatz.

 

Vielen Dank!

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Alles + ggf. Registry Einstellungen setzen.

 

Wobei Patches aktuell teilweise noch gar nicht über Windows Update / WSUS zur Verfügung stehen bzw. noch gar nicht zur Verfügung stehen (Windows Server 2016).

bearbeitet von Doso

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Alles + ggf. Registry Einstellungen setzen.

Hallo Dosco, Danke für dein Feedback. Es wäre schön, wenn du das begründest. Eine VM besitzt doch nur einen vCPU mit virtuellen Kernen und wird in den virtuellen Geräteinformationen doch von den Integrationsdiensten von Hyper-V verwaltet.

 

Gruß

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Du patcht den Host damit nicht eine VM die Daten einer anderen VM zu fassen bekommt. Aber in einer VM laufen ja auch Anwendungen die dann zumindest die Daten anderer Anwendungen zu gesicht bekommen.

 

Ungepatchter Host: Webserver A liest die Daten der ERP Anwendung B aus.

Gepatchter Host, ungepatchte VM Webserver A: Anwendung liest den privaten Schlüssel eines SSL Zertifikates der Anwendung Apache aus.

 

So zumindest habe ich es verstanden.

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Spricht was dafür nur eins von beiden zu aktualisieren? Bitte jetzt nicht das bisher nicht bewertbare Performancethema.

Hallo Norbert, ja :-)

Über 100 virtuelle Systeme, verteilt auf 4-5 physischen Hosts. Den Host patchen geht ja fix, aber gleich 100 virtuelle Gastsysteme....außerdem möchte der Kunde ja auch eine fundierte Aussage haben. Wie handelst du das so?

 

Gruß

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Ich patche beides. Und zwar im nächsten patchzyklus. 100vms auf einem Host?

20 VMs pro performanter Host. 5 Hosts insgesamt = 100 VMs.

Leider brauch' ich eine Argumentation warum ich auch die Notfallpatches auch auf den VMs installiere. Hast du da eine qualitative Begründung?

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Moin,

 

solage die Patches das Betriebssystem betreffen und nicht die Firmware der betroffenen CPUs (was schwerlich gelingen dürfte), müssen wohl alle Betriebssysteme gepatcht werden, die möglicherweise eine der betroffenen CPU-Funktionen nutzen. Da auch VMs direkt mit der CPU kommunizieren (sie werden vom Hypervisor ja nur gesteuert, aber er führt nicht die Instruktionen für die VMs aus), müssen ziemlich sicher auch die VMs gepatcht werden.

 

Gruß, Nils

  • Like 1

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Erstelle ein Benutzerkonto oder melde dich an, um zu kommentieren

Du musst ein Benutzerkonto haben, um einen Kommentar verfassen zu können

Benutzerkonto erstellen

Neues Benutzerkonto für unsere Community erstellen. Es ist einfach!

Neues Benutzerkonto erstellen

Anmelden

Du hast bereits ein Benutzerkonto? Melde dich hier an.

Jetzt anmelden

×