Co z bezpieczeństwem CPU?
Grupa badaczy odkryła bardzo poważne błędy powiązane z działaniem procesorów, nawet tych najnowszych.
Z tego powodu wszystkie usługi świadczone przez lvlup wymagają pewnych działań aby móc powstrzymać ewentualne udane ataki korzystające z wykrytych luk.
Generalnie znalezione luki są dość skomplikowane dlatego tym razem nie będę podejmować się dokładnego opisu jak dokładnie to działa. Skupię się na tym aby zabezpieczyć od strony usługodawcy to co jest możliwe.
Są to dokładnie:
- CVE-2017-5754 (Meltdown)
- CVE-2017-5753 (Spectre wariant pierwszy)
- CVE-2017-5715 (Spectre wariant drugi)
Niestety w przypadku każdej usługi będzie wymagany restart węzłów. Łatki są przygotowywane w przyspieszonym tempie co powoduje że są czasami wadliwe co więc może być potrzeba kilkukrotnych instalacji oraz restartów.
Aktualny stan podatności w usługach lvlup
| Usługa | CVE-2017-5754 (Meltdown) | CVE-2017-5753 (Spectre I) | CVE-2017-5715 (Spectre II) |
|---|---|---|---|
| VPS KVM | ✅ | ✅ | ✅ |
| VPS OpenVZ | ❌ | ❌ | ❌ |
| Hosting Minecraft | ❌ | ❌ | ❌ |
| Hosting WWW | ✅ | ✅ | ⚠️ |
✅ - załatano ⚠️ - częściowo załatane ❌ - nadal podatne
Post ten będzie edytowany aby informować o sprawie na bieżąco.
10.01.2018
11:12
Próbne restarty na węźle KVM n67
13:33
Panel v3 zostaje zmodyfikowany aby zmniejszyć dolegliwości po restartach węzłów
https://lvlup.rok.ovh/t/panel-klienta-v3-0-rc/4683/#7?u=systemz
14:28
Rozpoczęcie restartów na wszystkich węzłach KVM, po 1, 2 lub 3 maszynach w jednym momencie
15:50
Wszystkie węzły KVM są już zabezpieczone przed CVE-2017-5754 (Meltdown) oraz częściowo przed CVE-2017-5715 (Spectre wariant drugi)
Węzeł n39 nie odpowiada po restarcie, trwa diagnoza problemu.
16:07
Węzeł n39 działa prawidłowo po hard reboocie.
16:32
Trwa restart hostingu WWW.
16:34
Hosting WWW ma już łatkę dla CVE-2017-5754 (Meltdown), CVE-2017-5753 (Spectre wariant pierwszy) oraz częściowo przed CVE-2017-5715 (Spectre wariant drugi)
16:44
VPS OpenVZ a także MC które działa na OpenVZ wymagają łatek które są nadal przygotowywane przez zewnętrzną firmę Cloudlinux w ramach usługi Kernelcare, należy czekać na ich wydanie które przy obecnym ich szacunku to w najlepszym wypadku piątek czyli 12.01.2018, realistyczny jest poślizg do następnego tygodnia
https://cloudlinux.com/cloudlinux-os-blog/entry/intel-cpu-bug-kernelcare-and-cloudlinux
11.01.2018
16:35
Cloudlinux zaczyna wypuszczać łatkę na CVE-2017-5753 (Spectre I). Ciężko oszacować kiedy trafi ona na węzły OpenVZ lecz sądzę że powinno to mieć miejsce jutro
18.01.2018
13:50
Zainstalowane zostały nowe jądra dla węzłów KVM które powinny załatać całkowicie CVE-2017-5753 (Spectre I) i CVE-2017-5715 (Spectre wariant drugi)
Czas restartu węzłów aby zastosować łatki jest w trakcie ustaleń
13:55
Prewencyjny restart Hostingu WWW po instalacji nowego jądra
17:24
Restarty węzłów KVM zostały zaplanowane pomiędzy 22:30 a 23:30 tego samego dnia.
23:20
Węzły KVM są już odporne na CVE-2017-5754 (Meltdown) CVE-2017-5753 (Spectre I) i CVE-2017-5715 (Spectre wariant drugi)
