L1TF e Spectre RSB: patch da Canonical tramite Livepatch

Eccoci con l’oramai quasi quotidiano bollettino riguardante gli aggiornamenti Meldown/Spectre/Foreshadow che ci perseguiteranno a lungo fino a che non cestineremo tutto l’hardware buggato che ci siamo trascinati in giro per 20 anni. Quanta mestizia.

Chi deciderà di acquistare un i9 di Intel con hardware protection probabilmente si risparmierà un po’ di patch ma per tutti gli altri piovono quasi giornalmente creando non pochi disagi… Ai sistemisti di sicuro, been there done that.

Per cercare di rendere la cosa un po’ più indolore, Canonical sta rilasciando molte di queste fastidiose patch tramite il proprio Canonical Livepatch Service che consente di aggiornare il kernel senza bisogno di riavviare la macchina.

Questo giro include le mitigation per sette CVE:

CVE-2018-3620 e CVE-2018-3646 relative a Foreshadow, conosciuto anche come L1 Terminal Fault, che consentirebbe di accedere ad alcune informazioni nella cache L1;
CVE-2018-15594 relativo a Spectre v2. La paravirtualizzazione sui kernel Linux antecedenti alla 4.18.1 non gestirebbe correttamente alcune chiamate indirette rendendo possibili degli attacchi agli utenti paravirtuali;
CVE-2018-6555 riguardante l’implementazione IRDA presente nei kernel precedenti alla versione 4.17, esposta ad attacchi di tipo DoS e ad esecuzioni di codice arbitrario;
CVE-2018-14633 sistema invece una falla nel codice che gestisce l’ISCSI tramite la quale era possibile causare un stack buffer overflow;
CVE-2018-15572 indirizza un nuovo tipo di attacco rivelato di recente, sempre della classe di Spectre, chiamato SpectreRBS (Return Stack Buffer) che consente di leggere alcune aree della memoria accedendo ad informazioni sensibili;
CVE-2018-17182 relativo a vmacache che non estisce alcuni tipi di overflow facendo in modo che, tramite la creazione di specifici thread, venga causato un denial of service.