Nachdem die Hersteller (endlich) nach und nach de Patches für Meltdown und Spectre der ersten Generationen released haben – wurden inzwischen wieder neue Schwachstellen entdeckt. Teilweise zeigt sich hier, dass Änderungen durchgeführt werden müssen, die viel tiefer gehen als bisher gedacht. Auch die Tatsache, dass zwischen Hardwarehersteller der CPUs wie Intel und AMD und den OS-Entwicklern der „schwarze Peter“ ständig hin-und hergeschoben wird zeigt meiner Meinung nach wie unerwartet die Lücken kamen und wie schlecht man darauf vorbereitet war.
CERT-Bund Meldung
—————–
KURZINFO CB-K18/0682 UPDATE 3
Titel: Prozessoren verschiedener Hersteller: Mehrere
Schwachstellen ermöglichen Umgehen von
Sicherheitsvorkehrungen
Datum: 28.05.2018
Software: Cisco Router, Intel Prozessor, VMware ESXi, VMware
Fusion, VMware vCenter Server (VirtualCenter), Oracle
Linux, Red Hat Enterprise Linux, SUSE Linux, Cisco
Unified Computing System (UCS), Citrix Systems
XenServer 7.0, Citrix Systems XenServer 7.1, Citrix
Systems XenServer 7.2, Citrix Systems XenServer 7.3,
Citrix Systems XenServer 7.4, Open Source QEMU,
Oracle VM, Debian Linux
Plattform: CISCO Appliance, Linux, Sonstiges, UNIX, Windows
Auswirkung: Umgehen von Sicherheitsvorkehrungen
Remoteangriff: Nein
Risiko: mittel
CVE Liste: CVE-2018-3639, CVE-2018-3640
Bezug: https://www.debian.org/security/2018/dsa-4210
REVISIONS HISTORIE
Version: 13
New remediations available
Version: 12
addae Product Citrix
Version: 12
Added references
Version: 8
New remediations available
Version: 6
New remediations available
Version: 4
referenzen
Version: 3
änderungen
Version: 1
Initial Release
BESCHREIBUNG
Der Prozessor ist das zentrale Rechenwerk eines Computers.
Ein lokaler Angreifer kann mehrere Schwachstellen in Prozessoren
unterschiedlicher Hersteller ausnutzen, um Sicherheitsvorkehrungen zu
umgehen.
[1] Intel Security Advisory INTEL-SA-00115 vom 2018-05-21
<https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00115.html>
[2] VmWare Security Advisory VMSA-2018-0012
<https://www.vmware.com/security/advisories/VMSA-2018-0012.html>
[3] Microsoft Advisory ADV180012
<https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180012>
[4] Cisco Security Advisory cisco-sa-20180521-cpusidechann
<https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180521-cpusidechannel>
[5] AMD Security Advisory
<https://www.amd.com/en/corporate/security-updates>
[6] Microsoft Advisory ADV180013
<https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180013>
[7] RedHat CVE Database
<https://access.redhat.com/security/cve/cve-2018-3639>
[8] RedHat CVE Database
<https://access.redhat.com/security/cve/cve-2018-3640>
[9] Citrix Security Advisory CTX235225 vom 2018-05-22
<https://support.citrix.com/article/CTX235225>
[10] Oracle Linux Security Advisory ELSA-2018-4114 vom 2018-05-23
<http://linux.oracle.com/errata/ELSA-2018-4114.html>
[11] Red Hat Security Advisory RHSA-2018:1635 vom 2018-05-22
<http://rhn.redhat.com/errata/RHSA-2018-1635.html>
[12] Red Hat Security Advisory RHSA-2018:1636 vom 2018-05-22
<http://rhn.redhat.com/errata/RHSA-2018-1636.html>
[13] SUSE Security Update SUSE-SU-2018:1377-1 vom 2018-05-23
<https://www.suse.com/support/update/announcement/2018/suse-su-20181377-1.html>
[14] SUSE Security Update SUSE-SU-2018:1366-1 vom 2018-05-23
<https://www.suse.com/support/update/announcement/2018/suse-su-20181366-1.html>
[15] SUSE Security Update SUSE-SU-2018:1376-1 vom 2018-05-23
<https://www.suse.com/support/update/announcement/2018/suse-su-20181376-1.html>
[16] SUSE Security Update SUSE-SU-2018:1378-1 vom 2018-05-23
<https://www.suse.com/support/update/announcement/2018/suse-su-20181378-1.html>
[17] Oraclevm-errata OVMSA-2018-0223 vom 2018-05-23
<https://oss.oracle.com/pipermail/oraclevm-errata/2018-May/000858.html>
[18] Update des Cisco Security Advisory cisco-sa-20180521-cpusidechann
vom 2018-05-23
<https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180521-cpusidechannel>
[19] Debian Security Advisory DSA-4210 vom 2018-05-25
<https://www.debian.org/security/2018/dsa-4210>
Mit freundlichen Grüßen
das Team CERT-Bund
——————————
Bundesamt für Sicherheit in der Informationstechnik (BSI)
Referat CK 22
Godesberger Allee 185 -189
53175 Bonn
Postfach 20 03 63
53133 Bonn
Telefon:
+49 (0)228 99 9582 222
Telefax:
+49 (0)228 99 9582 5427
E-Mail: wid-kontakt@bsi.bund.de
Internet: www.cert-bund.de
——————————
Die Authentizität dieser Nachricht kann anhand der digitalen Signatur überprüft werden. Die hierfür zum Einsatz kommenden öffentlichen Schlüssel sowie die Verfahren sind auf den Seiten des CERT-Bund https://www.cert-bund.de/wid-sig aufgeführt und erläutert.
Die Inhalte dieser CERT-Bund Kurzinfo repräsentieren den Kenntnisstand des BSI zum Zeitpunkt der Versendung. Eine Haftung für eventuelle Schäden oder Konsequenzen, die durch die direkte oder indirekte Nutzung der Inhalte entstehen, wird, außer für die Fälle der Verletzung von Leben, Körper und Gesundheit sowie von Vorsatz oder grober Fahrlässigkeit, ausgeschlossen.