Für Debian GNU/Linux 9 »Stretch« steht ein aktualisierter Intel Microcode zum Schutz vor Angriffen durch die Sicherheitslücken Spectre 3a und 4 bereit. Er stellt Maßnahmen gegen [wiki title=”Speculative_Store_Bypass” base=”EN”]Speculative Store Bypass[/wiki] (SSB) für weitere Intel CPUs bereit, die vom am 16. August veröffentlichten Microcode nicht abgedeckt wurden.
Weitere CPUs abgedeckt
Auf der Debian Mailingliste schreibt Moritz Mühlenhoff, im aktualisierten Microcode, der unter dem Paketnamen intel-microcode 3.20180807a.1~deb9u1 vertrieben wird und als DSA 4273-2 erfasst wurde, seien weitere ältere Prozessortypen, die von DSA-4273-1 im August nicht erfasst waren, abgedeckt.
Bitte aktualisieren
Das Debian-Projekt fordert alle Benutzer auf Debian 9 »Stretch« mit Intel-CPUs dazu auf, die Mikrocode-Firmware auf Version 3.20180807a.1~deb9u1 zu aktualisieren. Um die Gefahr, die von den beiden Spectre-Sicherheitslücken ausgeht, weiter zu verringern, müssen die Anwender auch das neueste Kernel-Update installieren.
Die beiden Lücken, die als Spectre Variante 3a »Rogue System Register Read«, katalogisiert unter CVE-2018-3640 und Spectre Variante 4 »Speculative Store Bypass«, die als CVE-2018-3639 in die Liste der CVE einging, können Angreifern Zugang zu sensiblen Informationen auf anfälligen Systemen ermöglichen.
Debian blieb seiner Linie treu
Mit dem letzten Microcode-Update gab es einigen Ärger bei Debian, da Intel in die Lizenzbedingungen eine Klause eingebaut hatte, der es untersagte, Benchmarks oder Vergleiche, die auf der Grundlage des eingespielten Microcodes entstanden sind, zu veröffentlichen. Debian-Kernel-Maintainer Henrique de Moraes Holschuh verweigerte die Auslieferung für Debian, während andere Distributionen den Microcode trotzdem freigaben. Open-Source-Urgestein Bruce Perens machte die Geschichte dann in seinem Blog publik, worauf sie ein großes Medienecho erfuhr. Intel ruderte daraufhin zurück und entfernte die Klausel wieder.