Erime ve Spectre - İşlenmemiş bir hipervizörün konuk çekirdeğini yamalamak VM'ler arası bellek sızıntılarını önler mi?

Güvenlik açıklarının geniş çaplı yayılmasından 24 saat sonra Rackspace, Spectre ve Meltdown konusunda sessizdir. Tüm Xen hipervizörlerini yamalamak için bir planları yok. Tüm yeni platform sunucuları, savunmasız olan HVM sunucularıdır. Eski PV sunucuları savunmasız değildir.

HVM misafirlerimin Linux çekirdeğini güncelledim, ancak Rackspace hipervizörlerinden hiçbirini güncellemedi. Konuk çekirdeğini ekli olmayan bir hipervizörde güncellemek "kötü adam" VM'lerinin yamalanmış ana bilgisayarımdan sızan belleğe erişmesini engelleyecek mi?

Güvenlik açıklarını anladığım kadarıyla, hayır - spekülatif önbellek saldırıları, CPU'nun tüm rastgele koruma adreslerini, hafızayı herhangi bir rastgele adresten alan bir işleme karşı atlar.

Bunun komşu VM'leri (saldırıya karşı korunmak için yamalar bile) ve hipervizörün çekirdek bellek alanını içereceğine inanıyorum - ancak doğrudan bellek ifşasına karşı koruyacak bir şey olsa bile, potansiyel de var saldırganın hiper denetimciye daha eksiksiz erişim elde etmek için çekirdek belleğe erişimlerini kullanabileceğini unutmayın.

Üzerinde çalışan tüm sanal makinelere güvenmiyorsanız, işlenmemiş bir hipervizörde hassas bir iş yükü yürütme riskini almak istemezsiniz.

Spectre ve Meltdown.

Nereden başlayalım? Kötü, yani bulutta bilgisayarınızı, iş istasyonunuzu, sunucunuzu veya sunucunuzu etkileyebilecek veya etkilemeyecek bir şeyin çok kötü bir basın bülteni. Evet tamamen öyle ama ilişkili CPU'ya yerel erişiminiz olmalı, bu bir PC veya Telefon olabilir, Apple bir örnek oluşturdu, ancak ARM CPU'sunu düşünelim, bu nedenle (özelliği destekleyen her Mobil platform / mikrokod maruziyeti / OS / etc / etc'den CPU üzerinde çok fazla kontrol)

Konsol erişimi veya en azından sisteme erişen uzak kullanıcı, cihaz girişini düşünmek istiyorum Uygulama cihazın CPU üzerinde çalışıyor olması gerekir ....

Şu anda, bu güvenlik açıklarından yararlanmanın bilinen tek yolu yerel / doğrudan CPU'ya erişmektir (SSH / VNC'ye sahip olduğunuzda yine uzaktan olabilir)

Aşağıda şimdiye kadar bulduğum yamalar var.

VMWare has released a security advisory for their ESXi, Workstation and Fusion products: VMSA-2018-0002
[https://www.vmware.com/us/security/advisories/VMSA-2018-0002.html][1]

RedHat has released a security advisory for their qemu product:  [https://access.redhat.com/errata/RHSA-2018:0024][1]

Amazon has released a security advisory for their Amazon Linux AMI product: ALAS-2018-939

https://alas.aws.amazon.com/ALAS-2018-939.htm l

Şimdi bu konuya şu anda en iyi yanıt olmalı

BSD dostlarımız ne dedi?

Kötü google; (

aynı Powershell kontrolü;)

Linux Çekirdeği Tamam, ilginç bir hafta geçirdik ve şimdiye kadar herkes neden tüm normal x86 sayfa tablosu yalıtım yamalarını tüm normal sürüm zamanlama kurallarına uymadan birleştirdiğimizi biliyor.

Geri gelebilir ve bu yazıyı düzenleyebilirim. Emin değilim konu (vahşi kadar) gerçek bir sorun uzun sumru olmayacak. Google, burada açıklama çıkış tarihlerini gerçekten izlemiş olmalı! Google için -1