Debian DLA-2248-1：intel-microcode 安全性更新

medium Nessus Plugin ID 137418

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

已針對 src: intel-microcode 報告下列 CVE。

CVE-2020-0543

已發現一個稱為「特殊暫存器緩衝區資料取樣 (SRBDS)」的新網域繞過暫時執行攻擊。此瑕疵允許能夠在 CPU 的任何核心上執行程式碼的攻擊者洩漏特殊內部暫存器的資料值。無權限的本機攻擊者可利用此瑕疵推斷受影響指令的傳回值，已知這些指令通常在依賴唯一性、保密或兩者的密碼編譯作業期間使用。

CVE-2020-0548

在 Intel 處理器中發現一個缺陷，本機攻擊者可從系統上執行的其他處理程序觀察暫存器狀態，藉此取得向量計算所用的暫存器相關資訊。
這會導致爭用情形，其中其他處理程序或同層級 CPU 可讀取未清除的儲存緩衝區。此弱點對資料機密性的威脅最大，攻擊者可在資料通過處理器時讀取任意資料。

CVE-2020-0549

在某些 Intel 處理器上發現一個微架構計時瑕疵。存在一個邊角案例，其中逐出處理程序期間的資料執行可能會在「填補緩衝區」中結束，且未由 MDS 緩解措施正確清除。可使用 MDS 或 TAA 樣式攻擊方法推斷填補緩衝區內容 (預期為空白)，進而允許本機攻擊者推斷填補緩衝區值。

針對 Debian 8「Jessie」，已在 3.20200609.2~deb8u1 版本中修正這些問題。

建議您升級 intel-microcode 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。