Faille de sécurité Intel: Comment mettre son noyau à jour ?

uboops · Le 25/02/2018, à 14:50

grandtoubab a écrit :

pour ce qui est du noyau pour Debian stable ça progresse

root@debian:/# grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Not affected
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Mitigation: __user pointer sanitization
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Mitigation: Full AMD retpoline - vulnerable module loaded
root@debian:/# uname --all
Linux debian 4.9.0-6-amd64 #1 SMP Debian 4.9.82-1+deb9u2 (2018-02-21) x86_64 GNU/Linux
root@debian:/#

... Oui question stabilité, chez Ubuntu il y a du laissé allé je trouve (même pour les LTS) , j'aimais bien la 10.04LTS, la 12.04LTS ... mais depuis c'est décevant (en même temps, à la longue je suis tenté d'activer les dépots backport ) ... Les LTS devraient être tous les 4 ans je trouve.

Edit;
Sinon avec le kernel vanilla 4.15.7 c'est apparemment réglé ...

date ; cat /proc/cmdline ; grep -e name -e micro  -e bugs /proc/cpuinfo ; grep . /sys/devices/system/cpu/vulnerabilities/* ; lsb_release -a

BOOT_IMAGE=/boot/vmlinuz-4.15.7 root=UUID=....
model name	: Intel(R) Atom(TM) CPU N280   @ 1.66GHz
microcode	: 0x212
bugs		:
model name	: Intel(R) Atom(TM) CPU N280   @ 1.66GHz
microcode	: 0x212
bugs		:
/sys/devices/system/cpu/vulnerabilities/meltdown:Not affected
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Not affected
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Not affected
No LSB modules are available.
Distributor ID:	Ubuntu
Description:	Ubuntu 14.04.5 LTS
Release:	14.04
Codename:	trusty

Sinon, il est apparemment possible de mettre à jour la sécurité micro-processeur , via le package intel-microcode ... voir ici:
https://forum.ubuntu-fr.org/viewtopic.p … #p21881295

... et si le noyau le permet:

Enable CONFIG_BLK_DEV_INITRD, CONFIG_MICROCODE, and CONFIG_MICROCODE_INTEL
General setup --->
(*) Initial RAM filesystem and RAM disk (initramfs/initrd) support
Processor type and features --->
<*> CPU microcode loading support
(*) Intel microcode loading support

... Ce qui du coup recrée une faille de sécurité potentielle ;-)

Dernière modification par uboops (Le 02/03/2018, à 17:32)

abecidofugy · Le 07/03/2018, à 19:15

Après Meltdown et Spectre, comment sécuriser les processeurs? https://lejournal.cnrs.fr/billets/apres … 1520294889

uboops · Le 08/03/2018, à 13:53

abecidofugy a écrit :

Après Meltdown et Spectre, comment sécuriser les processeurs? https://lejournal.cnrs.fr/billets/apres … 1520294889

... Plus besoin de virus, ça devient du piratage furtif ou quasi,, à la nano-seconde près ;-)

xubu1957 · Le 29/03/2018, à 21:01

Bonjour,

traduction a écrit :

MISE À JOUR DE LA SÉCURITÉ : Nouveau fichier de données micro-code en amont 20180312 à fournir.
Prise en charge du microcode IBRS/IBPB/STIBP pour l'atténuation de la variante 2 de Spectre.

Updated on Package name Release Repository Level New Version
Old Version
...
03-29 17:07 UTC intel-microcode artful main updates 3.20180312.0~ubuntu17.10.1
3.20180108.0+really20170707ubuntu17.10.1
...
03-29 16:07 UTC intel-microcode xenial main security 3.20180312.0~ubuntu16.04.1
3.20180108.0+really20170707ubuntu16.04.1
03-29 16:07 UTC intel-microcode trusty main updates 3.20180312.0~ubuntu14.04.1
3.20180108.0+really20170707ubuntu14.04.1
03-29 16:07 UTC intel-microcode trusty main security 3.20180312.0~ubuntu14.04.1
3.20180108.0+really20170707ubuntu14.04.1
03-29 15:07 UTC intel-microcode artful main security 3.20180312.0~ubuntu17.10.1
3.20180108.0+really20170707ubuntu17.10.1

Dans > ubuntuupdates.org

jbmuffat · Le 29/03/2018, à 21:59

La mise à jour n'est pas automatiquement proposée?

Ubuntu1988 · Le 29/03/2018, à 23:36

Non, le microcode est propriétaire et soumis à des brevets, Ubuntu ne peut pas le proposer par défaut, comme la lecture des DVD. Cela dit, si vous le pouvez, préférez la mise à jour du BIOS

Martial34 · Le 30/03/2018, à 01:51

Je viens de recevoir automatiquement la mise à jour 3.20180312.0~ubuntu16.04.1 pour Xenial.

xubu1957 · Le 30/03/2018, à 05:12

Bonjour,

Jamais deux sans trois !

Un papier publié par plusieurs universités présente une nouvelle faille de sécurité au sein des processeurs Intel. Nommée BranchScope, elle serait similaire à la deuxième variante de Spectre, puisqu’elle repose sur l’exploitation du prédicteur de branchement du processeur. Très simplement, plusieurs process utilisant le même coeur partagent un même prédicteur de branchement. Tout comme Spectre, BranchScope peut manipuler le prédicteur pour créer plusieurs branches, les surveiller, et récupérer des données compromettantes qui seraient stockées en mémoire lors de l’exécution de certaines prédictions.

> tomshardware.fr/articles/intel-processeur-branchscop

> linuxfr.org/

xubu1957 · Le 06/04/2018, à 07:22

Bonjour,

Des infos dans :

> lemondeinformatique Linux 4.16 mieux armé contre Meltdown et Spectre

> developpez.com Linux kernel 4.16 est disponible avec des correctifs contre Meltdown et Spectre
Pour l'architecture arm64 et de nombreux autres ajouts.

Anacamptis3 · Le 25/04/2018, à 08:26

Bonjour,
J'ai vérifié l'état de fiabilité de mon système en installant le spectre-meltdown checker.
Pour meltdown, pas de vulnérabilité.
Mais pour spectre, je suis vulnérable au 3 variants.
Chez asus, j' ai chargé le fichier permettant une mise à jour de la carte mere et du bios: PRIME-B250M-A-ASUS-1010.CAP
Pouvez vous me guider pour savoir comment procéder?

nam1962 · Le 25/04/2018, à 09:54

A priori ce que tu cherches à faire est complètement inutile.
Un système à jour suffit amplement.
Donne le retour complet de spectre-meltdown checker et également :

cat /etc/apt/sources.list
ls /etc/apt/sources.list.d -1

jnq · Le 25/04/2018, à 11:14

Bonjour la mise ajour du bios permet de mettre a jour le micro code de votre processeur pour ces failles ce qui n'est pas inutile. Attention toutefois les dernier bios asus active par défaut le secure boot. Il faut supprimer les clefs dans le bios.
Sinon votre ubuntu ne démarrera plus. C'est ce qui m'est arrivé et j'ai été bon pour une réinstallation.

bruno · Le 25/04/2018, à 11:55

La mise à jour du BIOS est toujours risquée, il vaut mieux s'abstenir. D'autant plus que les mises à jour du microcode des processeurs Intel n'ont pas bonne presse auprès du père de Linux.

uboops · Le 25/04/2018, à 12:11

Pour info, la mise à jour des micro-codes peut se faire par plusieurs biais, le kernel lui-même avec un noyau linux récent, ou via les packages, ex: (le bios c'est en effet toujours risqué et en plus pas toujours possible)
intel-microcode
amd64-microcode

Anacamptis3 · Le 25/04/2018, à 17:15

Finalement, j'ai pu faire une mise à jour du bios via internet directement à partir du bios. Je n'ai pas eu de problème pour redémarrer ubuntu 17.10.
Pour ce qui est du contrôle des vulnérabilités voici:

sudo sh spectre-meltdown-checker.sh
Spectre and Meltdown mitigation detection tool v0.37+

Checking for vulnerabilities on current system
Kernel is Linux 4.13.0-39-generic #44-Ubuntu SMP Thu Apr 5 14:25:01 UTC 2018 x86_64
CPU is Intel(R) Core(TM) i5-7400 CPU @ 3.00GHz

Hardware check
* Hardware support (CPU microcode) for mitigation techniques
  * Indirect Branch Restricted Speculation (IBRS)
    * SPEC_CTRL MSR is available:  YES 
    * CPU indicates IBRS capability:  YES  (SPEC_CTRL feature bit)
  * Indirect Branch Prediction Barrier (IBPB)
    * PRED_CMD MSR is available:  YES 
    * CPU indicates IBPB capability:  YES  (SPEC_CTRL feature bit)
  * Single Thread Indirect Branch Predictors (STIBP)
    * SPEC_CTRL MSR is available:  YES 
    * CPU indicates STIBP capability:  YES  (Intel STIBP feature bit)
  * Enhanced IBRS (IBRS_ALL)
    * CPU indicates ARCH_CAPABILITIES MSR availability:  NO 
    * ARCH_CAPABILITIES MSR advertises IBRS_ALL capability:  NO 
  * CPU explicitly indicates not being vulnerable to Meltdown (RDCL_NO):  NO 
  * CPU microcode is known to cause stability problems:  NO  (model 158 stepping 9 ucode 0x84 cpuid 0x906e9)
* CPU vulnerability to the three speculative execution attack variants
  * Vulnerable to Variant 1:  YES 
  * Vulnerable to Variant 2:  YES 
  * Vulnerable to Variant 3:  YES 

CVE-2017-5753 [bounds check bypass] aka 'Spectre Variant 1'
* Mitigated according to the /sys interface:  YES  (Mitigation: OSB (observable speculation barrier, Intel v6))
* Kernel has array_index_mask_nospec (x86):  NO 
* Kernel has the Red Hat/Ubuntu patch:  YES 
* Kernel has mask_nospec64 (arm):  NO 
> STATUS:  NOT VULNERABLE  (Mitigation: OSB (observable speculation barrier, Intel v6))

CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigated according to the /sys interface:  YES  (Mitigation: Full generic retpoline, IBPB (Intel v4))
* Mitigation 1
  * Kernel is compiled with IBRS support:  YES 
    * IBRS enabled and active:  NO 
  * Kernel is compiled with IBPB support:  YES 
    * IBPB enabled and active:  YES 
* Mitigation 2
  * Kernel has branch predictor hardening (arm):  NO 
  * Kernel compiled with retpoline option:  YES 
    * Kernel compiled with a retpoline-aware compiler:  YES  (kernel reports full retpoline compilation)
  * Kernel supports RSB filling:  YES 
> STATUS:  NOT VULNERABLE  (Full retpoline + IBPB are mitigating the vulnerability)

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Mitigated according to the /sys interface:  YES  (Mitigation: PTI)
* Kernel supports Page Table Isolation (PTI):  YES 
  * PTI enabled and active:  YES 
  * Reduced performance impact of PTI:  YES  (CPU supports INVPCID, performance impact of PTI will be greatly reduced)
* Running as a Xen PV DomU:  NO 
> STATUS:  NOT VULNERABLE  (Mitigation: PTI)

A false sense of security is worse than no security at all, see --disclaimer

Anacamptis3 · Le 25/04/2018, à 17:18

$ cat /etc/apt/sources.list
# deb cdrom:[Ubuntu 17.04 _Zesty Zapus_ - Release amd64 (20170412)]/ zesty main restricted

# See http://help.ubuntu.com/community/UpgradeNotes for how to upgrade to
# newer versions of the distribution.
deb http://mirror.unix-solutions.be/ubuntu/ artful main restricted universe
deb-src http://mirror.unix-solutions.be/ubuntu/ artful main universe restricted multiverse #Added by software-properties
deb-src http://fr.archive.ubuntu.com/ubuntu/ zesty main restricted

## Major bug fix updates produced after the final release of the
## distribution.
deb http://mirror.unix-solutions.be/ubuntu/ artful-updates main restricted universe
deb-src http://mirror.unix-solutions.be/ubuntu/ artful-updates main universe restricted multiverse #Added by software-properties
deb-src http://fr.archive.ubuntu.com/ubuntu/ zesty-updates main restricted

## N.B. software from this repository is ENTIRELY UNSUPPORTED by the Ubuntu
## team. Also, please note that software in universe WILL NOT receive any
## review or updates from the Ubuntu security team.
deb-src http://fr.archive.ubuntu.com/ubuntu/ zesty universe
deb-src http://fr.archive.ubuntu.com/ubuntu/ zesty-updates universe

## N.B. software from this repository is ENTIRELY UNSUPPORTED by the Ubuntu 
## team, and may not be under a free licence. Please satisfy yourself as to 
## your rights to use the software. Also, please note that software in 
## multiverse WILL NOT receive any review or updates from the Ubuntu
## security team.
deb http://mirror.unix-solutions.be/ubuntu/ artful multiverse
deb-src http://fr.archive.ubuntu.com/ubuntu/ zesty multiverse
deb http://mirror.unix-solutions.be/ubuntu/ artful-updates multiverse
deb-src http://fr.archive.ubuntu.com/ubuntu/ zesty-updates multiverse

## N.B. software from this repository may not have been tested as
## extensively as that contained in the main release, although it includes
## newer versions of some applications which may provide useful features.
## Also, please note that software in backports WILL NOT receive any review
## or updates from the Ubuntu security team.
deb-src http://fr.archive.ubuntu.com/ubuntu/ zesty-backports main restricted universe multiverse

## Uncomment the following two lines to add software from Canonical's
## 'partner' repository.
## This software is not part of Ubuntu, but is offered by Canonical and the
## respective vendors as a service to Ubuntu users.
deb http://archive.canonical.com/ubuntu artful partner
deb-src http://archive.canonical.com/ubuntu artful partner

deb http://mirror.unix-solutions.be/ubuntu/ artful-security main restricted universe
deb-src http://mirror.unix-solutions.be/ubuntu/ artful-security main universe restricted multiverse #Added by software-properties
deb-src http://security.ubuntu.com/ubuntu zesty-security main restricted
deb-src http://security.ubuntu.com/ubuntu zesty-security universe
deb http://mirror.unix-solutions.be/ubuntu/ artful-security multiverse
deb-src http://security.ubuntu.com/ubuntu zesty-security multiverse
deb http://mirror.unix-solutions.be/ubuntu/ artful-proposed multiverse main restricted universe
deb-src http://mirror.unix-solutions.be/ubuntu/ artful-proposed multiverse main restricted universe #Added by software-properties

Anacamptis3 · Le 25/04/2018, à 17:20

$ ls /etc/apt/sources.list.d -1
opera-stable.list
opera-stable.list.distUpgrade
opera-stable.list.save
rebuntu16-ubuntu-avidemux_unofficial-artful.list
rebuntu16-ubuntu-avidemux_unofficial-artful.list.save
rolfbensch-ubuntu-sane-git-artful.list
rolfbensch-ubuntu-sane-git-artful.list.save
rvm-ubuntu-smplayer-artful.list
skype-stable.list
skype-stable.list.save
videolan-ubuntu-stable-daily-artful.list
videolan-ubuntu-stable-daily-artful.list.save
vincent-vandevyvre-ubuntu-vvv-artful.list
vincent-vandevyvre-ubuntu-vvv-artful.list.save

nam1962 · Le 25/04/2018, à 21:49

Sourire, je m'en doutais un peu...
- tu n'as aucun souci avec meltdown et spectre (les 3 sont "mitigated", donc traités)
- tes dépôts sont un bazar total avec un mélange de zesty et de artful et pire : les dépôts proposed totalement toxiques (comment as tu fait la mise à niveau ???)
- tes ppa ne sont pas beaucoup mieux avec des ppa abandonnés (skype ou inutiles (vlc est dasn les dépôts, sane et smplayer aussi)
Le mieux serait de faire une clean install : profite de ce que la 18.04 vienne de sortir pour ce faire et bloque les mises à niveau sur LTS.

abecidofugy · Le 05/05/2018, à 17:20

Spectre de retour avec 8 nouvelles failles : https://www.commentcamarche.net/news/58 … es-failles

xubu1957 · Le 08/05/2018, à 09:23

Bonjour,

De nouvelles mises à jour intel-microcode sont disponibles > UbuntuUpdates

Updated on Package name Release Repository Level New Version
Old Version
05-08 02:06 UTC intel-microcode bionic main updates 3.20180425.1~ubuntu0.18.04.1
05-08 02:06 UTC intel-microcode bionic main security 3.20180425.1~ubuntu0.18.04.1
05-08 02:06 UTC intel-microcode artful main updates 3.20180425.1~ubuntu0.17.10.1
3.20180312.0~ubuntu17.10.1
05-08 02:06 UTC intel-microcode artful main security 3.20180425.1~ubuntu0.17.10.1
3.20180312.0~ubuntu17.10.1
05-08 02:06 UTC intel-microcode xenial main updates 3.20180425.1~ubuntu0.16.04.1
3.20180312.0~ubuntu16.04.1
05-08 02:06 UTC intel-microcode xenial main security 3.20180425.1~ubuntu0.16.04.1
3.20180312.0~ubuntu16.04.1
05-08 02:06 UTC intel-microcode trusty main updates 3.20180425.1~ubuntu0.14.04.1
3.20180312.0~ubuntu14.04.1
05-08 02:06 UTC intel-microcode trusty main security 3.20180425.1~ubuntu0.14.04.1
3.20180312.0~ubuntu14.04.1

xubu1957 · Le 22/05/2018, à 16:52

Bonjour,

Un nouvel épisode > preparez-vous-a-une-avalanche-de-nouvelles-failles-cpu dans 01net.com.

JLK · Le 23/05/2018, à 16:09

xubu1957 a écrit :

Bonjour,
Un nouvel épisode > preparez-vous-a-une-avalanche-de-nouvelles-failles-cpu dans 01net.com.

La question que je me pose, est qu'avec toutes ces découvertes de failles et de patches, pourrons-nous encore utiliser un émulateur pour les consoles 8-16 bits avec toutes ces baisses de performances à venir ? (Oui, c'est cynique de ma part...)

uboops · Le 23/05/2018, à 17:28

... Le MiniTel va faire son retour JLK ;-) ... le progrès actuellement c'est la régression.

Dernière modification par uboops (Le 23/05/2018, à 17:29)

Nuliel · Le 23/05/2018, à 17:34

Ou papier crayon, et pour la calculatrice le retour du boulier

seebz · Le 23/05/2018, à 17:48

Salut,
désolé du hors-sujet mais je m'étonne de ne pas (plus ?) voir apparaître le pilote "intel-microcode" dans l'interface "Pilotes additionnels".

Ca a peut-être déjà été dit (auquel cas je m'excuse à l'avance) mais que recommandez-vous pour corriger au mieux ce genre de failles sur Bionic ?

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#251 Le 25/02/2018, à 14:50

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#252 Le 07/03/2018, à 19:15

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#253 Le 08/03/2018, à 13:53

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#254 Le 29/03/2018, à 21:01

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#255 Le 29/03/2018, à 21:59

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#256 Le 29/03/2018, à 23:36

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#257 Le 30/03/2018, à 01:51

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#258 Le 30/03/2018, à 05:12

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#259 Le 06/04/2018, à 07:22

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#260 Le 25/04/2018, à 08:26

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#261 Le 25/04/2018, à 09:54

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#262 Le 25/04/2018, à 11:14

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#263 Le 25/04/2018, à 11:55

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#264 Le 25/04/2018, à 12:11

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#265 Le 25/04/2018, à 17:15

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#266 Le 25/04/2018, à 17:18

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#267 Le 25/04/2018, à 17:20

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#268 Le 25/04/2018, à 21:49

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#269 Le 05/05/2018, à 17:20

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#270 Le 08/05/2018, à 09:23

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#271 Le 22/05/2018, à 16:52

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#272 Le 23/05/2018, à 16:09

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#273 Le 23/05/2018, à 17:28

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#274 Le 23/05/2018, à 17:34

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

#275 Le 23/05/2018, à 17:48

Re : Faille de sécurité Intel: Comment mettre son noyau à jour ?

Pied de page des forums