Chequeando vulnerabilidades de Intel

Me han compartido por el irc un script que permite ver si nos afectan las vulnerabilidades Meltdown y Spectre. Parece que con el nuevo kernel 4.14-0-3 que ya está en testing, se ha arreglado en lo que se refiere a Meltdown  pero no para las 2 variantes de Spectre.

A si que vamos a ver como funciona el script.

Primero lo descargamos:

$ wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh

Y después lo ejecutamos con (como root):

# sh spectre-meltdown-checker.sh

El script nos mostrará si el sistema es vulnerable o no. En mi caso con el kernel 4.14.0-3 vemos que estoy a salvo del Meltdown pero no de las variantes de Spectre.

moonwatcher
Imagen de moonwatcher
Lun, 22/01/2018 - 09:49
rockyiii
Imagen de rockyiii
Desconectado/a
administrator
se unió: 11/01/16
uname -a
Linux R2D2 4.14.0-3-amd64 #1 SMP Debian 4.14.13-1 (2018-01-14) x86_64 GNU/Linux

por el memento no la noto más lenta

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
* Checking if we're running under Xen PV (64 bits): dmesg: fallo al leer el «buffer» del núcleo: Operación no permitida
 UNKNOWN  (dmesg truncated, please reboot and relaunch this script)
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

 

Lun, 22/01/2018 - 12:39
lalo
Imagen de lalo
Desconectado/a
colaborador
se unió: 22/02/16

Al cambiar el kernel de 4.14.0-2-amd64 para 4.14.0-3-amd64 ha dado que el Meltdown

ahora es  NOT VULNERABLE... que bien.

Ahora me empiezo a preocupar con Spectre Variant 1 y 2... sad

Saludos

lalo

Lun, 22/01/2018 - 20:40
Berbellon
Imagen de Berbellon
Desconectado/a
colaborador
se unió: 04/05/16

Simple ...

$ grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Mitigation: PTI
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Vulnerable
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Vulnerable: Minimal generic ASM retpoline

Jue, 25/01/2018 - 10:43
rockyiii
Imagen de rockyiii
Desconectado/a
administrator
se unió: 11/01/16

Parece que la gente de Debian empaquetaron el script https://packages.debian.org/stretch-backports/spectre-meltdown-checker

para los que tengan strerch van a tener que agregar el repositorio

deb http://ftp.de.debian.org/debian stretch-backports main 

Una vez instalado, como root

su
spectre-meltdown-checker

saludos...

Vie, 26/01/2018 - 17:32 (Responder a #4)
Panko
Imagen de Panko
Desconectado/a
moderador
se unió: 18/02/16

Depende... en mi sistema, p.e., no existe vulnerabilities en esa ruta, ni en otra. Si alguien quiere saberlo, que use esa herramienta. También está más actualizada en su github que la empaquetada en debian.

  No hay bar que por bien no venga....
Vie, 26/01/2018 - 17:35 (Responder a #5)
Panko
Imagen de Panko
Desconectado/a
moderador
se unió: 18/02/16

@lalo estás igual que yo... xD

Tengo el mismo modelo de cpu, un i7 de3ª generación, portátil Asus... estamos apañaos.

  No hay bar que por bien no venga....
Sáb, 27/01/2018 - 10:46 (Responder a #6)
lalo
Imagen de lalo
Desconectado/a
colaborador
se unió: 22/02/16

@Panko si, a mi me encanta, ;)

me dura ya varios años...

y muy fiable.

 

Saludos

lalo

Sáb, 27/01/2018 - 18:35
Berbellon
Imagen de Berbellon
Desconectado/a
colaborador
se unió: 04/05/16

@ Panko, Raro que estando en Sid no exista ese directorio/archivos sysfs.

 sysfs/cpu: Add vulnerability folder
    
    commit 87590ce6e373d1a5401f6539f0c59ef92dd924a9 upstream.
    
    As the meltdown/spectre problem affects several CPU architectures, it makes
    sense to have common way to express whether a system is affected by a
    particular vulnerability or not. If affected the way to express the
    mitigation should be common as well.
    
    Create /sys/devices/system/cpu/vulnerabilities folder and files for
    meltdown, spectre_v1 and spectre_v2.
    
    Allow architectures to override the show function.

Para otro lanzamiento del kernel, supongo.

Vie, 16/02/2018 - 22:36
Panko
Imagen de Panko
Desconectado/a
moderador
se unió: 18/02/16

Pues si, en la última actualización en Sid ya aparece:

~$ grep . /sys/devices/system/cpu/vulnerabilities/*
/sys/devices/system/cpu/vulnerabilities/meltdown:Mitigation: PTI
/sys/devices/system/cpu/vulnerabilities/spectre_v1:Vulnerable
/sys/devices/system/cpu/vulnerabilities/spectre_v2:Mitigation: Full generic retpoline

y con  la indicación de lo que se tiene mitigado...

Y la comprobación con el script que rula por ahi, actualizado de git:

la comprobación de la cpu

 

y la comprobación de las vulnerabilidades

 

Ahora, a esperar a la que falta!

  No hay bar que por bien no venga....

te puede interesar

El trabajo en Debian para dispositivos móviles continúa

El trabajo en Debian para dispositivos móviles continúa El trabajo en Debian para dispositivos móviles, es decir, teléfonos, tablets y computadoras de mano, continúa. Durante la reciente DebConf17 en Montreal, Canadá, más de 50 personas tuvieron una...