Изпечатай

[cybercop]

Те и не бързат. Надявам се, че вече са променили надменното си поведение от последните години в стил "Проблемите ти не ни засягат" и също ще работят по въпроса. Последното обновяване в Stretch беше преди 10-15 дни.
П.П.: Като гледам, как поддържат Jessie, направо се плаша. Добре, че има backports main хранилище за ядрото на Stretch.

[cybercop]

Прясна новина : http://news.softpedia.com/news/linux-kernels-4-14-11-4-9-74-4-4-109-3-16-52-and-3-2-97-patch-meltdown-flaw-519215.shtml

Ако не ви затруднява, нека всеки сподели, кога е постъпила кръпката в неговата дистрибуция.

[wfw]

малко нова информация по темата:

https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html

https://security.googleblog.com/2018/01/more-details-about-mitigations-for-cpu_4.html

и разширена информация по втория пост:

https://googleprojectzero.blogspot.bg/2018/01/reading-privileged-memory-with-side.html

Проблема вече става не-само-интел...

[wfw]

за изтриване..

[jet]

Ако пробива може да стане с Джаваскрипт - по-горе някой писа за отворени портове ... пак да си помисли.
На Дебиан работата не била красива, ако някоя дистрибуция е "красива" т.е. казват че всичко им е пачнато - лъжат като дърти ?!..гани.
За някои от проблемите няма решение (т.е. има, но нов хардуер, който дори не е проектиран още).
От Интел даже още няма коментар.

[cybercop]

Тази сутрин, актуализираното ядро постъпи в Debian. Очарован съм от тази бърза реакция.

[wfw]

Yves-Alexis Perez corsac@debian.org
   
00:25 (9 hours ago)
   
to debian-securit.
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

- -------------------------------------------------------------------------
Debian Security Advisory DSA-4078-1                   security@debian.org
https://www.debian.org/security/                        Yves-Alexis Perez
January 04, 2018                      https://www.debian.org/security/faq
- -------------------------------------------------------------------------

Package        : linux
CVE ID         : CVE-2017-5754

Multiple researchers have discovered a vulnerability in Intel processors,
enabling an attacker controlling an unprivileged process to read memory from
arbitrary addresses, including from the kernel and all other processes running
on the system.

This specific attack has been named Meltdown and is addressed in the Linux
kernel for the Intel x86-64 architecture by a patch set named Kernel Page Table
Isolation, enforcing a near complete separation of the kernel and userspace
address maps and preventing the attack. This solution might have a performance
impact, and can be disabled at boot time by passing `pti=off' to the kernel
command line.

We also identified a regression for ancient userspaces using the vsyscall
interface, for example chroot and containers using (e)glibc 2.13 and older,
including those based on Debian 7 or RHEL/CentOS 6. This regression will be
fixed in a later update.

The other vulnerabilities (named Spectre) published at the same time are not
addressed in this update and will be fixed in a later update.

For the oldstable distribution (jessie), this problem will be fixed in a
separate update.

For the stable distribution (stretch), this problem has been fixed in
version 4.9.65-3+deb9u2.

We recommend that you upgrade your linux packages.

For the detailed security status of linux please refer to
its security tracker page at:
https://security-tracker.debian.org/tracker/linux

Further information about Debian Security Advisories, how to apply
these updates to your system and frequently asked questions can be
found at: https://www.debian.org/security/

Mailing list: debian-security-announce@lists.debian.org

Това е официалното съобщение. Копирам го, защото има подсказки как може да се спре пач-а по време на зареждане и че кръпката решава само единия от двата проблема.

[cybercop]

Кръпката си беше само за Meltdown. Това, което ме зарадва беше реакцията. Още с излизането на деветката, усетих някакво оживление в Debian и се радвам, че се връщат хубавите времена от времето на Squeeze.

[makeme]

https://insights.ubuntu.com/2018/01/04/ubuntu-updates-for-the-meltdown-spectre-vulnerabilities/

Интересното е, че всички са знаели и са се споразумели да не издават преди да излезе ъпдейта при всички ОС:

Canonical engineers have been working on this since we were made aware under the embargoed disclosure (November 2017) and have worked through the Christmas and New Years holidays

I say “unfortunately”, in part because there was a coordinated release date of January 9, 2018, agreed upon by essentially every operating system, hardware, and cloud vendor in the world. By design, operating system updates would be available at the same time as the public disclosure of the security vulnerability.

[makeme]

Скриптче, да си чеквате:
https://github.com/speed47/spectre-meltdown-checker

При мен всичко е VULNERABLE Ubuntu 16.04 - 4.4.0-104-generic

[cybercop]

Ядрото в Ubuntu 16.04 не е обновявано. Поне до тази сутрин.

[spec1a]

Ядрото в Ubuntu 16.04 не е обновявано. Поне до тази сутрин.

   Така е,за съжаление.
   По отношение на браузърите:
   Твърди се ,че файърфокс (от версия 57.0.4) и,вероятно хром,
са пачнати, и не са уязвими.
   Доколко това е вярно,е съвсем отделен въпрос...

[cybercop]

Ядрото в Ubuntu 16.04 не е обновявано. Поне до тази сутрин.

   Така е,за съжаление.
   По отношение на браузърите:
   Твърди се ,че файърфокс (от версия 57.0.4) и,вероятно хром,
са пачнати, и не са уязвими.
   Доколко това е вярно,е съвсем отделен въпрос...

На нищо не вярвам. Още преди дни, прочетох, че защитата трябва да е на няколко нива и само с актуализация на ядрото няма да мине. И не съм сигурен, че е за съжаление. Обикновено в Ubuntu вкарват кръпките почти незабавно и винаги преди Debian (там закърпиха само Meltdown). В случая стана обратното и подозирам, че си има конкретна причина.
Премахнах и intel-microcode, защото от Intel са ми най- съмнителни и, кой знае, каква неприятна изненада ще ми сервират, докато ме пазят.

[Acho]

Е сега с АМД-та ли ще караме, или с Мотороли и Трансмета, деа и Интела му ?

Къде е Роко, да си каже тежката дума за АМД-то ?

[cybercop]

Е сега с АМД-та ли ще караме, или с Мотороли и Трансмета, деа и Интела му ?

Къде е Роко, да си каже тежката дума за АМД-то ?

AMD са в същото положение. Но, от Intel ще го отнесат най- голям, защото са знаели от доста време и са го криели.