Debian DLA-1446-1：intel-microcode 安全性更新 (Spectre)

medium Nessus Plugin ID 111359

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

安全性研究人員發現了兩種軟體分析方法，如果將它們用於惡意目的，則有可能會從配置不同廠商的處理器和作業系統的多種類型的運算裝置中，不當收集敏感資料。此更新需要更新 intel-microcode 套件，這需要費用。已從 jessie-backports-sloppy 安裝版本的使用者不需要升級。CVE-2018-3639 – 推測儲存繞過 (SSB) – 也稱為變體 4。具利用推測執行和推測執行記憶體之微處理器的系統，會在所有之前的記憶體寫入的位址被得知之前進行讀取，這可能會透過旁路分析，將未經授權的資訊洩漏給具有本機使用者權限的攻擊者。CVE-2018-3640 – Rogue 系統登錄讀取 (RSRE) – 也稱為變體 3a。具利用推測執行且執行系統登錄推測讀取之微處理器的系統，可能會透過旁路分析，將未經授權的系統參數洩漏給具有本機使用者權限的攻擊者。針對 Debian 8「Jessie」，這些問題已在 3.20180703.2~deb8u1 版本中修正。建議您升級 intel-microcode 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。