Debian DLA-2248-1:intel-microcode 安全性更新

low Nessus Plugin ID 137418
新推出!弱點優先順序評分 (VPR)

Tenable 會為每個弱點計算動態 VPR。VPR 將弱點資訊與威脅情報和機器學習演算法加以結合,藉此預測攻擊者最有可能利用哪些弱點發動攻擊。查看詳細資訊: VPR 是什麼?它跟 CVSS 有何不同?

VPR 評分: 6.1

Synopsis

遠端 Debian 主機缺少一個安全性更新。

描述

已針對 src: intel-microcode 報告下列 CVE。

CVE-2020-0543

已發現一個稱為「特殊暫存器緩衝區資料取樣 (SRBDS)」的新網域繞過暫時執行攻擊。此瑕疵允許能夠在 CPU 的任何核心上執行程式碼的攻擊者洩漏特殊內部暫存器的資料值。無權限的本機攻擊者可利用此瑕疵推斷受影響指令的傳回值,已知這些指令通常在依賴唯一性、保密或兩者的密碼編譯作業期間使用。

CVE-2020-0548

在 Intel 處理器中發現一個缺陷,本機攻擊者可從系統上執行的其他處理程序觀察暫存器狀態,藉此取得向量計算所用的暫存器相關資訊。
這會導致爭用情形,其中其他處理程序或同層級 CPU 可讀取未清除的儲存緩衝區。此弱點對資料機密性的威脅最大,攻擊者可在資料通過處理器時讀取任意資料。

CVE-2020-0549

在某些 Intel 處理器上發現一個微架構計時瑕疵。存在一個邊角案例,其中逐出處理程序期間的資料執行可能會在「填補緩衝區」中結束,且未由 MDS 緩解措施正確清除。可使用 MDS 或 TAA 樣式攻擊方法推斷填補緩衝區內容 (預期為空白),進而允許本機攻擊者推斷填補緩衝區值。

針對 Debian 8「Jessie」,已在 3.20200609.2~deb8u1 版本中修正這些問題。

建議您升級 intel-microcode 套件。

注意:Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下,嘗試自動清理並將其格式化。

解決方案

升級受影響的 intel-microcode 套件。

另請參閱

https://lists.debian.org/debian-lts-announce/2020/06/msg00019.html

https://packages.debian.org/source/jessie/intel-microcode

Plugin 詳細資訊

嚴重性: Low

ID: 137418

檔案名稱: debian_DLA-2248.nasl

版本: 1.4

類型: local

代理程式: unix

已發布: 2020/6/17

已更新: 2021/1/11

相依性: ssh_get_info.nasl

風險資訊

風險因素: Low

VPR 評分: 6.1

CVSS v2.0

基本分數: 2.1

時間分數: 1.6

媒介: AV:L/AC:L/Au:N/C:P/I:N/A:N

時間媒介: E:U/RL:OF/RC:C

CVSS v3.0

基本分數: 5.5

時間分數: 4.8

媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

時間媒介: E:U/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:debian:debian_linux:intel-microcode, cpe:/o:debian:debian_linux:8.0

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2020/6/13

弱點發布日期: 2020/1/28

參考資訊

CVE: CVE-2020-0543, CVE-2020-0548, CVE-2020-0549