SUSE Linux Enterprise 12 SP2 LTSSカーネルが更新され、さまざまなセキュリティ実施およびバグ修正が行われています。

次のセキュリティバグが修正されました：

CVE-2018-3639：最新のCPUの「メモリの曖昧性除去」機能を使用した情報漏洩（別名「Spectre Variant 4」）が緩和されました（bnc#1087082 ）。

新しい起動コマンドラインオプション「spec_store_bypass_disable」が導入されました。これは、次の値に設定できます：

  - auto：カーネルは、CPUモデルに投機的ストアバイパスの実装が含まれているかどうかを検出し、最も適切な緩和策を選択します。

  - on：投機的ストアバイパスを無効にします

  - off：投機的ストアバイパスを有効にします

  - prctl：prctlを介してスレッドごとの投機的ストアバイパスを制御します。投機的ストアバイパスは、デフォルトでプロセスに対して有効になっています。コントロールの状態はforkで継承されます。

  - seccomp：上記の「prctl」と同じですが、明示的にオプトアウトしない限り、すべてのseccompスレッドがSSBを無効にします。

    デフォルトは「seccomp」です。これは、プログラムには緩和策への明示的なオプトインが必要なことを意味します。

    ステータスは、次を含む/sys/devices/system/cpu/vulnerabilities/spec_store_bypassファイルを介して問い合わせることができます：

  - 「Vulnerable」

  - '緩和策：Speculative Store Bypass disabled'

  - '緩和策：Speculative Store Bypass disabled via prctl'

  - '緩和策：Speculative Store Bypass disabled via prctl and seccomp'

次の関連するバグおよびセキュリティ以外のバグが修正されました。cpuid：ゲストへのcpuid.edx.7.0伝播を修正します

ext4：ext4_ind_map_blocks()内のホール長検出を修正します（bsc#1090953）。

ibmvnic：RXまたはTXプールの実際の数を消去します（bsc#1092289）。

kvm：nopvspinカーネルパラメーターを導入します（bsc#1056427）。

kvm：nopvspin静的ブランチ初期使用を修正します（bsc#1056427）。

powerpc/64：syscallエントリでfirewall_nospecを使用します（bsc#1068032、bsc#1080157）。

powerpc/64s：barrier_nospecを追加します（bsc#1068032、bsc#1080157）。

powerpc/64s：ori firewall_nospecパッチ適用のサポートを追加します（bsc#1068032、bsc#1080157）。

powerpc/64s：ファームウェア設定に基づいてwire_nospecを有効にします（bsc#1068032、bsc#1080157）。

powerpc/64s：cpu_show_meltdown()で情報を強化します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/64s：cpu_show_spectre_v1()で情報を強化します（bsc#1068032）。

powerpc/64s：setup_rfi_flush()からのセクション不一致警告を修正します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/64s：cpu_show_meltdown()を移動します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/64s：モジュール内のwire_nospecにパッチを適用します（bsc#1068032、bsc#1080157）。

powerpc/64s：cpu_show_spectre_v1()を関連付けます（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/64s：cpu_show_spectre_v2()を関連付けます（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/powernv：セキュリティ機能フラグをセットまたはクリアします（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/powernv：pnv_setup_rfi_flush()でセキュリティフラグを使用します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/pseries：新しいH_GET_CPU_CHARACTERISTICSフラグを追加します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/pseries：セキュリティ機能フラグのクリアを修正します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/pseries：セットアップでデフォルトのセキュリティ機能フラグを復元します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/pseries：セキュリティ機能フラグをセットまたはクリアします（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/pseries：pseries_setup_rfi_flush()でセキュリティフラグを使用します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/rfi-flush：pseriesでフォールバックフラッシュを常に有効にします（bsc#1068032、 bsc#1075087、 bsc#1091041）。

powerpc/rfi-flush：有効化およびパッチ適用済みのフラッシュタイプを区別します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc/rfi-flush：setup_rfi_flush()の再呼び出しを可能にします（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc：Spectre/Meltdown用のセキュリティ機能フラグを追加します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc：デフォルトのセキュリティ機能フラグを移動します（bsc#1068032、bsc#1075087、bsc#1091041）。

powerpc：copy_from_user()でwire_nospecを使用します（bsc#1068032、bsc#1080157）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

検出

SUSE SLES12セキュリティ更新プログラム：kernel（SUSE-SU-2018:1377-2）（Spectre）

medium Nessus プラグイン ID 118256

バージョン 1.6