Está viendo una versión anterior del boletín de seguridad. Para obtener la versión más reciente, consulte “Divulgación de la investigación de ejecución especulativa del procesador”.
Asunto: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754
Última actualización: 08/01/2018, 14:25 h PST
Esta es una actualización del problema.
Amazon EC2
Todas las instancias de la flota de Amazon EC2 están protegidas contra todos los vectores de amenazas conocidos de los CVE mencionadas anteriormente. Las instancias de los clientes están protegidas contra estas amenazas provenientes de otras instancias. No hemos observado un impacto significativo en el rendimiento de la gran mayoría de las cargas de trabajo de EC2.
Acciones recomendadas para el cliente respecto a AWS Batch, Amazon EC2, Amazon Elastic Beanstalk, Amazon Elastic Container Service, Amazon Elastic MapReduce y Amazon Lightsail
Si bien todas las instancias de cliente están protegidas, recomendamos a los clientes que apliquen parches a los sistemas operativos de instancias. Esto reforzará las protecciones que ofrecen estos sistemas operativos para aislar el software que se ejecuta en la misma instancia. Para más información, consulte la guía específica del proveedor relativa a la disponibilidad e implementación de parches.
Guía específica del proveedor:
- Amazon Linux - Más información a continuación.
- Microsoft Windows – https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
- RedHat Enterprise Linux - https://access.redhat.com/security/vulnerabilities/speculativeexecution
- SuSe Linux – https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities/
- Ubuntu Linux - https://insights.ubuntu.com/2018/01/04/ubuntu-updates-for-the-meltdown-spectre-vulnerabilities/
Para los sistemas operativos no mencionados, los clientes deben consultar con su proveedor de sistema operativo o AMI para obtener actualizaciones e instrucciones.
Actualizaciones de otros servicios de AWS
AMI de Amazon Linux (ID del boletín: ALAS-2018-939)
Se encuentra disponible un kernel actualizado para Amazon Linux dentro de los repositorios de Amazon Linux. Las instancias EC2 lanzadas con la configuración predeterminada de Amazon Linux el 3 de enero de 2018, a las 22:45 h (GMT) o después de dicha fecha incluirán automáticamente el paquete actualizado. Los clientes que ya cuenten con instancias de AMI de Amazon Linux deben ejecutar el siguiente comando para asegurarse de que recibirán el paquete actualizado:
sudo yum update kernel
Una vez completada la actualización yum, es necesario reiniciar la instancia para que las actualizaciones surtan efecto.
Para más información sobre este boletín, consulte el Centro de seguridad de la AMI de Amazon Linux.
EC2 Windows
Hemos actualizado las AMI de AWS Windows. Ahora, están disponibles para que los clientes las usen, y las AMI de AWS Windows tienen el parche necesario instalado y las claves de registro habilitadas.
Microsoft ha proporcionado parches de Windows para Server 2008R2, 2012R2 y 2016. Los parches están disponibles mediante el servicio integrado de Windows Update para Server 2016. Estamos a la espera de información de Microsoft sobre la disponibilidad de parches para Server 2003, 2008SP2 y 2012RTM.
Los clientes de AWS que ejecutan instancias de Windows en EC2 y que tienen habilitadas las “actualizaciones automáticas”, deben ejecutar actualizaciones automáticas para descargar e instalar la actualización necesaria para Windows cuando esté disponible.
Tenga en cuenta que los parches para Server 2008R2 y 2012R2 no están actualmente disponibles mediante Windows Update, requieren descarga manual y Microsoft informa que estos parches estarán disponibles el martes 9 de enero.
Los clientes de AWS que ejecutan instancias de Windows en EC2 y que no tienen habilitadas las "actualizaciones automáticas", deben instalar las actualizaciones necesarias de forma manual cuando se encuentren disponibles, de acuerdo con las instrucciones que figuran en el siguiente enlace:http://windows.microsoft.com/en-us/windows7/install-windows-updates.
Tenga en cuenta que para Windows Server, Microsoft requiere pasos adicionales a fin de habilitar las funciones de protección de la actualización relativas a este problema. Estos pasos se describen aquí: https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution.
AMI optimizada para ECS
Hemos lanzado la versión 2017.09.g de la AMI optimizada para Amazon ECS, que incorpora todas las protecciones de Amazon Linux para este problema. Recomendamos a todos los clientes de Amazon ECS que actualicen el servicio a esta última versión la cual está disponible en AWS Marketplace. Los clientes que eligen actualizar las instancias existentes en el lugar deben ejecutar el siguiente comando en cada instancia de contenedor:
sudo yum update kernel
Para completarse, la actualización requiere el reinicio de la instancia de contenedor
Para los clientes de Linux que no utilicen la AMI optimizada para ECS, se recomienda que consulten con el proveedor de cualquier sistema operativo, software o AMI alternativos o de terceros a fin de obtener las actualizaciones e instrucciones necesarias. Las instrucciones sobre Amazon Linux están disponibles en el Centro de seguridad de la AMI de Amazon Linux.
Cuando se encuentren disponibles parches de Microsoft, se lanzará una AMI optimizada para ECS y EC2 de Microsoft Windows.
Elastic Beanstalk
Hemos actualizado todas las plataformas basadas en Linux para que incluyan todas las protecciones de Amazon Linux y, así, tratar este problema. Para obtener más información sobre las versiones específicas de las plataformas, consulte las notas de la versión. Se recomienda a los clientes que actualicen sus entornos. Los entornos que utilicen actualizaciones administradas se actualizarán automáticamente durante el periodo de mantenimiento configurado.
El equipo de Elastic Beanstalk continúa trabajando en las actualizaciones de la plataforma de Windows. Se recomienda a los clientes de Elastic Beanstalk que usan plataformas basadas en Windows que instalen manualmente las actualizaciones de seguridad disponibles de acuerdo con las instrucciones que figuran en la sección de arriba “EC2 Windows” de este boletín.
AWS Fargate
Se implementaron parches, como se describió anteriormente, en toda la infraestructura que ejecuta tareas de Fargate y no se requiere acción alguna por parte del cliente.
Amazon FreeRTOS
No hay actualizaciones pendientes para Amazon FreeRTOS y los procesadores ARM compatibles.
AWS Lambda
Se implementaron parches, como se describió anteriormente, en todas las instancias que ejecutan funciones de Lambda y no se requiere acción alguna por parte del cliente.
RDS
Las instancias de la base de datos de cliente administradas por RDS solo ejecutan un motor de base de datos para un único cliente, y no se producen otros procesos a los que el cliente puede acceder ni ejecutar códigos en la instancia subyacente. Debido a que AWS ha finalizado la protección de toda la infraestructura subyacente a RDS, los problemas de proceso a kernel o de proceso a proceso no representan un riesgo para los clientes. La mayoría de los motores de bases de datos compatibles con RDS hasta el momento no han informado problemas conocidos dentro del proceso. A continuación, se mencionan detalles adicionales y específicos del motor de base de datos y, a menos que se especifique lo contrario, no se requiere acción alguna por parte del cliente. Actualizaremos este boletín cuando dispongamos de información adicional.
Actualmente, no se requiere ninguna acción por parte del cliente para las instancias de base de datos de RDS for MariaDB, RDS for MySQL, Aurora MySQL y RDS for Oracle.
Para RDS PostgreSQL y Aurora PostgreSQL, no se requiere actualmente ninguna acción por parte del cliente para las instancias de base de datos que se ejecuten en la configuración predeterminada. Una vez que las extensiones plv8 estén disponibles, proporcionaremos los parches adecuados para los usuarios de dichas extensiones. Mientras tanto, los clientes que hayan habilitado las extensiones plv8 (deshabilitadas de forma predeterminada) deben considerar deshabilitarlas y revisar la guía de V8 en https://github.com/v8/v8/wiki/Untrusted-code-mitigations.
En cuanto a RDS para las instancias de base de datos de SQL Server, lanzaremos parches para SO y motores de base de datos una vez que Microsoft los lance, para que los clientes puedan realizar las actualizaciones en el momento que lo deseen. Actualizaremos el presente boletín cuando se hayan completado. Mientras tanto, los clientes que hayan habilitado CLR (deshabilitado de forma predeterminada) deben revisar la guía de Microsoft relativa a la deshabilitación de la extensión CLR en https://support.microsoft.com/en-us/help/4073225/guidance-for-sql-server.
VMware Cloud on AWS
Para más información, consulte aquí la nota oficial sobre seguridad de VMware: https://www.vmware.com/security/advisories/VMSA-2018-0002.html.
WorkSpaces
Durante el próximo fin de semana, AWS aplicará las actualizaciones de seguridad de Microsoft a la mayoría de los WorkSpaces de AWS. Los clientes deben esperar que se produzca el reinicio de sus WorkSpaces durante este periodo.
Los clientes que utilicen la característica Bring Your Own License (BYOL) y los que hayan cambiado la configuración de actualización predeterminada en sus WorkSpaces deben implementar de forma manual las actualizaciones de seguridad de Microsoft.
Siga las instrucciones que ofrece la nota oficial sobre seguridad de Microsoft en https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002. La nota oficial sobre seguridad incluye enlaces a artículos de base de conocimientos para Windows Server y sistemas operativos del cliente que proporcionan información adicional.
Próximamente estarán disponibles los paquetes de WorkSpaces con las actualizaciones de seguridad. Los clientes que hayan creado paquetes personalizados deben actualizarlos para poder incorporar ellos mismos las actualizaciones de seguridad. Cualquier WorkSpaces nuevo que se lance mediante paquetes que no cuenten con las actualizaciones, recibirá parches tan pronto sea posible después del lanzamiento, a menos que los clientes hayan modificado la configuración predeterminada de actualización en sus WorkSpaces. En este último caso, los clientes deben seguir los pasos que se mencionan anteriormente para implementar de forma manual las actualizaciones de seguridad de Microsoft.
WorkSpaces Application Manager (WAM)
Recomendamos a los clientes que elijan alguna de las siguientes acciones:
Opción 1: implementar manualmente los parches de Microsoft en las instancias en ejecución de empaquetador y validador de WAM siguiendo los pasos de Microsoft en https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution. Esta página ofrece instrucciones adicionales y descargas para Windows Server.
Opción 2: reconstruir nuevas instancias EC2 de empaquetador y validador de WAM a partir de AMI actualizadas para empaquetador y validador de WAM que estarán disponibles al final del día (04/01/2018).