La vulnérabilité SRBDS/CrossTalk (CVE-2020-0543) est corrigée par KernelCare

Une nouvelle vulnérabilité du processeur connue sous le nom de SRBDS/CrossTalk a été découverte en juin 2020. L'équipe de KernelCare est en train de créer un correctif pour la combler. Examinons cette nouvelle vulnérabilité, et explorons ce que nous faisons pour l'éliminer. 

Contenu :

1. Mises à jour en temps réel
2. Qu'est-ce que CrossTalk (CVE-2020-0543) ?
3. Comment atténuer la vulnérabilité de CrossTalk sans redémarrage ?
   1. Si vous utilisez du matériel
      1. Étape 1 : Mettre à jour le microcode sans redémarrage
      2. Étape 2 : Appliquer les correctifs de KernelCare
   2. Si vous travaillez sur une machine virtuelle
      

Mises à jour en temps réel :

15 juin : Correctifs contre SRBDS/CrossTalk (CVE-2020-0543) sont disponibles pour les utilisateurs suivants

• CentOS 6,
• CentOS 6 Plus,
• CentOS 7 Plus,
• OpenVZ 6,
• RHEL 6,
• RHEL 7,
• CloudLinux 6,
• CloudLinux 6 Hybrid,
• OEL 6,
• Scientific Linux 6.

18 Juin : Des correctifs contre SRBDS/CrossTalk (CVE-2020-0543) sont disponibles pour

• Debian 9,
• CentOS8 ,
• CloudLinux OS 8,
• OEL8,
• Distributions RHEL8.

19 Juin : Les correctifs contre SRBDS/CrossTalk (CVE-2020-0543) sont disponibles pour

• CentOS7,
• Distributions CloudLinux OS 7.

22 Juin : Des correctifs contre SRBDS/CrossTalk (CVE-2020-0543) sont disponibles pour

• Ubuntu Bionique,
• Ubuntu Xenial,
• Ubuntu Bionique AWS,
• Ubuntu Xenial LTS Bionic,
• Ubuntu Xenial LTS Bionic AWS,
• Ubuntu Xenial LTS Bionic Azure,
• Ubuntu Xenial LTS Bionic GCP distributions.
• Ubuntu Trusty LTS Xenial
• Ubuntu Trusty LTS Xenial AWS
• Ubuntu Xenial AWS
• Ubuntu Xenial FIPS

23 Juin : Des correctifs contre SRBDS/CrossTalk (CVE-2020-0543) sont disponibles pour

• Oracle Linux 6 UEK 4
• Oracle Linux 7 UEK 4
• Oracle Linux 7 UEK5
• Amazon Linux 1 & 2

Qu'est-ce que CrossTalk ?

Similaire à une vulnérabilité MDS, CrossTalk permet à un code malveillant exécuté sur un cœur de CPU de fuir les données d'un logiciel exécuté sur un cœur différent. Elle compromet le générateur de nombres aléatoires du CPU afin que le tampon partagé puisse être écrasé avant d'être réutilisé.

CrossTalk a été découvert par VUSec, le groupe de sécurité des systèmes et des réseaux de la Vrije Universiteit Amsterdam. Il affecte les processeurs Intel qui utilisent les générateurs de nombres aléatoires RDRAND et/ou RDSEED, et sa désignation CVE est CVE-2020-0543.

Intel désigne cette vulnérabilité sous le nom de SRBDS, abréviation de "Special Register Buffer Data Sampling", mais dans les milieux technologiques, elle est connue sous le nom de CrossTalk. 

Comment atténuer la vulnérabilité de CrossTalk sans redémarrage ?

1) Si vous travaillez sur du matériel :

Pour atténuer cette vulnérabilité, prenez 2 mesures quine nécessitentpas deredémarrage si vous suivez les instructions ci-dessous :

Etape 1 : Mise à jour du microcode sans redémarrage

Le microcode est le code qui s'exécute à l'intérieur du CPU lui-même et qui est géré par Intel. La procédure est généralement effectuée au redémarrage : vous obtenez le nouveau noyau, il aura un nouveau microcode et lorsque le noyau démarre, il installera le nouveau microcode dans le CPU.

Mise à jour du microcode sans redémarrage en utilisant nos instructions ici ou regardez le tutoriel vidéo :

Étape 2 : Appliquer les correctifs de KernelCare

Maintenant, vous devez encore mettre à jour le noyau Linux pour vous assurer que l'utilisateur local ne peut pas lire les données que vous exécutez sur le CPU. Avec KernelCare, vous pouvez le faire sans redémarrer. Inscrivez-vous à l'essai gratuit de 30 jours.

2) Si vous travaillez sur une machine virtuelle :

Il suffit de mettre à jour le noyau Linux à l'intérieur de la VM. Assurez-vous que votre nœud hôte est également mis à jour, ce qui est généralement fait par votre fournisseur de services.

Si vous utilisez votre KernelCare - vos correctifs seront livrés automatiquement par KernelCare et vous n'avez rien à faire de plus. Si ce n'est pas le cas, c'est le bon moment pour vous inscrire à l'essai gratuit de 30 jours.

D'autres correctifs seront ajoutés dans le courant de la semaine. Pour savoir immédiatement quand le correctif est disponible, vous pouvez suivre ce blog ou notre Twitter et Facebook et Facebook.

Continuer la lecture : Nouvelle CVE trouvée par Virtuozzo, corrigée en direct par KernelCare