bk99.de entertain the web since 1997

bk99.de
hß · SicherheitKuratiert

Linux: Kernel und Distributionen schützen vor Prozessorlücke Foreshadow/L1TF

Zusammenfassung

Im August 2018 wurde die Prozessorlücke Foreshadow beziehungsweise L1 Terminal Fault (L1TF) in vielen Intel-CPUs bekannt, der Linux-Hauptzweig und große Distributionen lieferten sofort Schutz. Wer fremde virtuelle Maschinen betreibt, musste zusätzlich Hyper-Threading abschalten, was VMs bis zu 50 Prozent Leistung kosten konnte. Die Stable- und Longterm-Kernel erschienen nach weniger als 24 Stunden Begutachtung.

Ideen

  • Gegenmaßnahmen wurden monatelang unter Verschwiegenheit vorbereitet.
  • Die Korrekturen erreichten Hauptzweig und alle wichtigen Stable-Zweige am selben Tag.
  • Für Hypervisor-Betreiber reichte ein Update nicht, Hyper-Threading musste aus.
  • Systeme ohne virtuelle Maschinen verloren kaum Leistung.

Einsichten

  • Hardwarelücken verlagern Sicherheitskosten in Leistungsverluste der Software.
  • Geteilte Prozessorkerne sind eine Vertrauensgrenze, die man bewusst ziehen muss.

Fakten

  • Die Lücken sind als CVE-2018-3615, CVE-2018-3620 und CVE-2018-3646 geführt.
  • Korrigiert waren unter anderem 4.18.1, 4.14.63, 4.9.120 und 4.4.148.
  • Prozessoren anderer Hersteller waren nicht betroffen.
  • Für vollständigen Schutz waren zusätzlich Microcode-Updates für den Prozessor nötig.
  • Neue Kernel-Parameter steuern den L1TF-Schutz; Hyper-Threading bleibt standardmäßig aktiv.

Referenzen

Kritik

  • Die Leistungsangabe von bis zu 50 Prozent stammt aus „Linux-Kreisen“ und ist nicht belegt.

Empfehlungen

  • Prüfe unter /sys/devices/system/cpu/vulnerabilities den Schutzstatus deiner Systeme.
  • Deaktiviere SMT auf Hypervisoren, die Gäste unterschiedlicher Vertrauensstufen ausführen.

Originalartikel lesen →

Im Webarchiv suchen

hß · 2017

Linux 4.13: Kernel erledigt TLS-Verschlüsselung selbst

Linux 4.13 konnte 2017 erstmals selbst die Ver- und Entschlüsselung einer TLS-Verbindung übernehmen. Das sollte die Leistung verbessern und neue Einsatzmöglichkeiten eröffnen. Den komplexen Verbindungsaufbau erledigen aber weiterhin Bibliotheken wie OpenSSL im Userspace.

hß · 2010

Root-Rechte durch Linux-Kernel-Bug [Update]

Rafal Wojtczuk beschrieb 2010 ein Problem in der Linux-Speicherverwaltung, bei dem Stack und Shared-Memory-Segmente ineinanderwachsen konnten. Am Beispiel des X-Servers zeigte er, wie ein Angreifer durch Schreiben in den gemeinsamen Speicher Rücksprungadressen auf dem Stack überschreibt und Root-Rechte erlangt. Die Korrektur mit einer Schutzseite zwischen Stack und anderen Bereichen kam in 2.6.32.19, 2.6.34.4 und 2.6.35.2, obwohl SUSE einen Fix schon 2004 angeboten hatte.

hß · 2009

Fixes für Sicherheitslücke im Linux-Kernel [zweites Update]

Im August 2009 erschienen die Kernel 2.6.27.30 und 2.6.30.5, die eine seit 2001 bestehende Lücke schlossen, über die normale Benutzer Root-Rechte erlangen konnten. Debian und Fedora lieferten sofort Updates, Ubuntu folgte einen Tag später, während Red Hat und SUSE zunächst nur Workarounds anboten. Red Hat empfahl, die betroffenen Netzwerkprotokolle zu deaktivieren, womit der öffentliche Exploit ins Leere lief.