Asunto: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754
Última actualización: 05/03/2018 15:00 h PST
Esta es una actualización para el problema.
Se encuentra disponible un kernel actualizado para Amazon Linux dentro de los repositorios de Amazon Linux. Las instancias EC2 lanzadas con la configuración predeterminada de Amazon Linux el 13 de enero de 2018 o después de dicha fecha incluirán de forma automática el paquete actualizado. Este paquete contendrá las últimas mejoras de seguridad estables de código abierto de Linux para tratar los CVE-2017-5715 dentro del kernel y se basa en el aislamiento de tablas de páginas del kernel (KPTI) incorporado anteriormente que abordó los CVE-2017-5754. Los clientes deben actualizar el kernel o la AMI de Amazon Linux a la última versión para mitigar efectivamente los problemas de proceso a proceso de los CVE-2017-5715 y los problemas de proceso a kernel de los CVE-2017-5754 dentro de sus instancias. Para obtener más información, consulte “Processor Speculative Execution – Operating System Updates” (Ejecución especulativa del procesador: actualizaciones del sistema operativo).
Consulte la información de “Asesoramiento sobre instancias PV” más adelante sobre las instancias paravirtualizadas (PV).
Amazon EC2
Todas las instancias de la flota de Amazon EC2 están protegidas contra todos los problemas conocidos de instancia a instancia de CVE-2017-5715, CVE-2017-5753 y CVE-2017-5754. Los problemas de instancia a instancia suponen que una instancia vecina que no es de confianza puede leer la memoria de otra instancia o del hipervisor de AWS. Este problema se abordó para los hipervisores de AWS y ninguna instancia puede leer la memoria de otra instancia ni tampoco la memoria del hipervisor de AWS. Como se mencionó anteriormente, no hemos notado un impacto significativo en el rendimiento para la gran mayoría de las cargas de trabajo de EC2.
A partir del 12 de enero de 2018, terminamos de desactivar las partes del nuevo microcódigo de la CPU de Intel para las plataformas en AWS, en las cuales notábamos una cantidad mínima de bloqueos y otros comportamientos impredecibles ocasionados por las actualizaciones del microcódigo de Intel. Este cambio mitigó los problemas en esta pequeña cantidad de instancias.
Acciones recomendadas para el cliente respecto a AWS Batch, Amazon EC2, Amazon Elastic Beanstalk, Amazon Elastic Container Service, Amazon Elastic MapReduce y Amazon Lightsail
Si bien todas las instancias del cliente están protegidas como se describió anteriormente, recomendamos a los clientes que implementen un parche a sus sistemas operativos de instancia para tratar los problemas de proceso a proceso o de proceso a kernel. Para obtener instrucciones y asesoramiento sobre Amazon Linux y Amazon Linux 2, CentOS, Debian, Fedora, Microsoft Windows, Red Hat, SUSE y Ubuntu, consulte “Processor Speculative Execution – Operating System Updates” (Ejecución especulativa del procesador: actualizaciones del sistema operativo).
Asesoramiento sobre instancias PV
Después de una investigación continua y un análisis detallado sobre los parches del sistema operativo disponibles para este problema, hemos determinado que las protecciones de los sistemas operativos no son suficientes para tratar los problemas de proceso a proceso dentro de las instancias paravirtualizadas (PV). Aunque los hipervisores de AWS protegen las instancias PV ante cualquier problema de instancia a instancia, tal y como se indicó anteriormente, recomendamos a los clientes que estén preocupados por el aislamiento del proceso dentro de sus instancias PV (p. ej., procesar datos, ejecutar códigos y alojar usuarios que no son de confianza) que migren a tipos de instancia de máquina virtual de hardware (HVM, hardware virtual machine) para obtener beneficios de seguridad a largo plazo.
Para obtener más información sobre las diferencias entre PV y HVM (así como la documentación de la ruta de actualización de una instancia), consulte la siguiente página web:
https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/virtualization_types.html
Si necesita ayuda con las rutas de actualización de cualquier instancia PV, contacte con Support.
Actualizaciones de otros servicios de AWS
Para los siguientes servicios, fue necesario implementar parches a las instancias EC2 administradas en nombre de los clientes y finalizar todo el trabajo, pero no fue necesario que el cliente realizara ninguna acción:
- Fargate
- Lambda
A menos que se indique lo contrario a continuación, no es necesario que el cliente realice ninguna acción en relación con los demás servicios de AWS.
AMI optimizada para ECS
Hemos lanzado la versión 2017.09.g de AMI optimizada para Amazon ECS, que incorpora todas las protecciones de Amazon Linux para este problema. Recomendamos a todos los clientes de Amazon ECS que se actualicen a esta última versión disponible en AWS Marketplace.
Los clientes que decidan actualizar las instancias existentes de la AMI optimizada para ECS deben ejecutar el siguiente comando a fin de asegurarse de que recibirán el paquete actualizado:
sudo yum update kernel
Como en el procedimiento estándar de cada actualización del kernel de Linux, después de que se haya completado la actualización yum, es necesario reiniciarlo para que las actualizaciones entren en funcionamiento.
Para los clientes de Linux que no utilicen la AMI optimizada para ECS, se recomienda que consulten con el proveedor de cualquier sistema operativo, software o AMI alternativos o de terceros a fin de obtener las actualizaciones e instrucciones necesarias. Las instrucciones sobre Amazon Linux están disponibles en el Centro de seguridad de la AMI de Amazon Linux.
Hemos lanzado la versión 2018.01.10 de la AMI de Windows optimizada para Amazon ECS. Para obtener más información sobre cómo implementar revisiones en las instancias en ejecución, consulte “Processor Speculative Execution – Operating System Updates” (Ejecución especulativa del procesador: actualizaciones del sistema operativo).
Elastic Beanstalk
Hemos actualizado todas las plataformas basadas en Linux para incorporar todas las protecciones de Amazon Linux contra este problema. Para obtener más información sobre las versiones específicas de la plataforma, consulte las notas de la versión. Recomendamos a los clientes de Elastic Beanstalk que actualicen sus entornos a la última versión disponible de la plataforma. Los entornos que utilicen actualizaciones administradas se actualizarán automáticamente durante el periodo de mantenimiento configurado.
Las plataformas basadas en Windows también se han actualizado para incorporar todas las protecciones de EC2 Windows contra este problema. Recomendamos a los clientes actualizar sus entornos de Elastic Beanstalk basados en Windows a la última configuración disponible de la plataforma.
ElastiCache
Los nodos de caché de clientes que administra ElastiCache se dedican exclusivamente cada uno a ejecutar un motor de caché para un único cliente, sin ningún otro proceso accesible para el cliente y sin la posibilidad de que los clientes ejecuten códigos en la instancia subyacente. Debido a que AWS ha finalizado la protección de toda la infraestructura subyacente a ElastiCache, los problemas de proceso a kernel o de proceso a proceso no representan un riesgo para los clientes. Ambos motores de caché que admite ElastiCache no han informado sobre problemas conocidos dentro del proceso hasta el momento.
EMR
Amazon EMR lanza clústeres de instancias de Amazon EC2 que ejecutan Amazon Linux en nombre de los clientes en la cuenta del cliente. Los clientes a los que les preocupe el aislamiento de los procesos dentro de las instancias de los clústeres de Amazon EMR deben actualizar el kernel de Amazon Linux a su última versión, tal como se recomendó anteriormente. Hemos incorporado el último kernel de Amazon Linux a nuevas versiones secundarias 5.11.1, 5.8.1, 5.5.1 y 4.9.3. Con estas versiones, los clientes pueden crear nuevos clústeres de Amazon EMR.
Para obtener las versiones actuales de Amazon EMR y cualquier instancia en ejecución que el cliente pudiera tener, recomendamos a los clientes actualizar al último kernel de Amazon Linux como se mencionó anteriormente. En el caso de nuevos clústeres, los clientes pueden utilizar una acción de arranque para actualizar el kernel de Linux y reiniciar cada instancia. En el caso de los clústeres en ejecución, los clientes pueden facilitar la actualización del kernel de Linux y el reinicio de cada instancia en su clúster de forma continua. Tenga en cuenta que reiniciar ciertos procesos puede afectar las aplicaciones en ejecución dentro del clúster.
RDS
Las instancias de base de datos del cliente que administra RDS se dedican exclusivamente cada una a ejecutar un motor de base de datos para un único cliente, sin ningún otro proceso accesible para el cliente y sin la posibilidad de que los clientes ejecuten códigos en la instancia subyacente. Debido a que AWS ha finalizado la protección de toda la infraestructura subyacente a RDS, los problemas de proceso a kernel o de proceso a proceso no representan un riesgo para los clientes. La mayoría de los motores de bases de datos que RDS admite no han informado sobre problemas conocidos dentro del proceso hasta el momento. A continuación, se mencionan detalles adicionales y específicos del motor de base de datos y, a menos que se especifique lo contrario, no se requiere ninguna acción por parte del cliente.
Para las instancias de bases de datos de RDS for SQL Server, hemos lanzado el SO y los parches de motor que contienen parches de Microsoft en las siguientes versiones de motor:
SQL Server 2017 (14.00.3015.40.v1)
SQL Server 2016 (13.00.4466.4.v1)
SQL Server 2014 (12.00.5571.0.v1)
SQL Server 2012 (11.00.7462.6.v1)
SQL Server 2008 R2 (10.50.6560.0.v1)
Los clientes deben revisar el asesoramiento de Microsoft sobre la implementación de estos parches e implementarlos en el momento que deseen:
https://support.microsoft.com/en-us/help/4073225/guidance-for-sql-server
Para RDS PostgreSQL y Aurora PostgreSQL, no se requiere actualmente ninguna acción por parte del cliente para las Instancias de base de datos que se ejecutan en la configuración predeterminada. Brindaremos los parches correspondientes a los usuarios de las extensiones plv8 una vez que estén disponibles. Mientras tanto, los clientes que hayan habilitado las extensiones plv8 (desactivadas de forma predeterminada) deben considerar desactivarlas y revisar el asesoramiento de V8 en https://github.com/v8/v8/wiki/Untrusted-code-mitigations.
Actualmente, no se requiere ninguna acción por parte del cliente para las instancias de base de datos de RDS for MariaDB, RDS for MySQL, Aurora MySQL y RDS for Oracle.
VMware Cloud on AWS
Según VMware, “La corrección, tal y como se documenta en VMSA-2018-0002, está presente en VMware Cloud on AWS desde principios de diciembre de 2017”.
Para obtener más información, consulte el Blog de seguridad y conformidad de VMware y, para consultar el estado actualizado, visite https://status.vmware-services.io.
WorkSpaces
Para los clientes de la experiencia Windows 7 en Windows Server 2008 R2:
Microsoft ha lanzado nuevas actualizaciones de seguridad para Windows Server 2008 R2 en relación con este problema. La entrega exitosa de estas actualizaciones requiere que se ejecute en el servidor un software de antivirus compatible, tal como se menciona en la actualización de seguridad de Microsoft: https://support.microsoft.com/en-us/help/4072699/january-3-2018-windows-security-updates-and-antivirus-software. Los clientes de WorkSpaces necesitarán realizar distintas acciones para obtener estas actualizaciones. Siga las instrucciones de Microsoft en https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution.
Para los clientes de la experiencia Windows 10 en Windows Server 2016:
AWS ha implementado actualizaciones de seguridad en WorkSpaces que ejecutan la experiencia Windows 10 en Windows Server 2016. Windows 10 cuenta con el software de antivirus Windows Defender integrado, el cual es compatible con estas actualizaciones de seguridad. No se requiere ninguna acción por parte del cliente.
Para BYOL y clientes con configuraciones de actualización predeterminadas modificadas:
Tenga en cuenta que los clientes que utilicen la característica Bring Your Own License (BYOL) de WorkSpaces y los que hayan cambiado la configuración de actualización predeterminada en sus WorkSpaces deben implementar de forma manual las actualizaciones de seguridad de Microsoft. Si este es su caso, siga las instrucciones de la nota oficial sobre seguridad de Microsoft en https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002. La nota oficial sobre seguridad incluye enlaces a artículos de base de conocimientos para Windows Server y sistemas operativos del cliente que proporcionan información adicional.
Próximamente estarán disponibles los paquetes de WorkSpaces con las actualizaciones de seguridad. Los clientes que hayan creado paquetes personalizados deben actualizarlos para poder incorporar las actualizaciones de seguridad por su cuenta. Cualquier nuevo WorkSpaces que se lance de paquetes que no cuenten con las actualizaciones recibirá parches poco tiempo después del lanzamiento, a menos que los clientes hayan modificado la configuración predeterminada de actualización en su WorkSpaces o que hayan instalado un software de antivirus no compatible. En estos casos, los clientes deben seguir los pasos mencionados anteriormente para implementar de forma manual las actualizaciones de seguridad que proporciona Microsoft.
WorkSpaces Application Manager (WAM)
Recomendamos a los clientes que elijan una de las siguientes trayectorias de acción:
Opción 1: implementar manualmente las actualizaciones de Microsoft en las instancias en ejecución de empaquetador y validador de WAM mediante los pasos que proporciona Microsoft en https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution. Esta página ofrece más instrucciones y descargas relevantes.
Opción 2: finalizar las instancias existentes de empaquetador y validador. Lance nuevas instancias a través de nuestras AMI actualizadas con la etiqueta “Amazon WAM Admin Studio 1.5.1” y “Amazon WAM Admin Player 1.5.1”.