複数の研究者が、Intelプロセッサの設計が一時マイクロアーキテクチャ構造（バッファ）に入力されたデータの投機的転送を実装する方法に脆弱性があることを発見しました。
この欠陥により、非特権プロセスを制御する攻撃者が、カーネルおよびシステム上で実行されている他のすべてのプロセスの機密情報を含め、機密情報を読み取るあるいはゲスト/ホストの境界を越えてホストメモリを読み取ることができるようになっていました。

詳細については、https://www.kernel.org/doc/html/latest/admin-guide/hw-vuln/mds.htmlを参照してください。

これらの脆弱性を完全に解決するには、アップグレードされたCPUマイクロコードをインストールする必要もあります。更新済みのintelマイクロコードパッケージ（Debian non-freeでのみ入手可能）が別のDLAを介して提供されます。更新済みのCPUマイクロコードは、システムファームウェア（「BIOS」）更新プログラムの一部として利用可能な場合もあります。

さらに、この更新には、ループバックドライバー内部でデッドロックを引き起こす回帰の修正が含まれています。これは、前回のセキュリティ更新プログラムの4.9.168への更新で導入されました。

Debian 8「Jessie」では、これらの問題はバージョン4.9.168-1+deb9u2~deb8u1で修正されました。

お使いのlinux4.9パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-1787-1: Linux-4.9のセキュリティ更新プログラム（MDSUM/RIDL）（MFBDS/RIDL/ZombieLoad）（MLPDS/RIDL）（MSBDS/Fallout）

medium Nessus プラグイン ID 125173

バージョン 1.5