Debian DLA-1446-1: intel-microcodeのセキュリティ更新（Spectre）

medium Nessus プラグイン ID 111359

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

セキュリティ研究者が、悪意のある目的で使用された場合、異なるベンダーのプロセッサーやオペレーティングシステムを使用する複数のタイプのコンピューターデバイスから機密データを不適切に収集する可能性がある、2つのソフトウェア分析方法を特定しました。

これには、intel-microcodeパッケージの更新（有償）が必要です。jessie-backports-sloppyのバージョンをすでにインストールしているユーザーは、アップグレードする必要はありません。

CVE-2018-3639- Speculative Store Bypass（SSB）（Variant 4としても知られています）

- 以前のすべてのメモリ書き込みのアドレスがわかる前に投機的実行および投機的実行のメモリ読み取りを利用するマイクロプロセッサを備えたシステムでは、サイドチャネル分析を使用したローカルユーザーアクセスによる攻撃者への不正な情報漏洩が発生する可能性があります。

CVE-2018-3640- Rogue System Register Read（RSRE）（Variant 3aとしても知られています）

投機的実行を利用し、システムレジスターの投機的読み取りを実行するマイクロプロセッサを搭載したシステムでは、ローカルユーザーのアクセス権を持つ攻撃者が、サイドチャネル分析を介してシステムパラメーターを不正に漏洩する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン 3.20180703.2~deb8u1で修正されました。

intel-microcodeパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。