Bạn đang xem phiên bản cũ của bản tin bảo mật này. Để xem phiên bản mới nhất, vui lòng truy cập: "Công bố nghiên cứu về thực thi suy đoán của bộ xử lý".
Liên quan đến: CVE-2017-5715, CVE-2017-5753, CVE-2017-5754
Cập nhật ngày: 5/1/2018 21:00 PST
Đây là thông tin cập nhật cho sự cố này.
Amazon EC2
Tất cả phiên bản trên nhóm Amazon EC2 đều được bảo vệ khỏi mọi lộ trình tấn công đã biết của các CVE được liệt kê ở trên. Phiên bản của khách hàng được bảo vệ trước những mối đe dọa này của các phiên bản khác. Chúng tôi không quan sát thấy tác động đáng kể về hiệu năng đối với phần lớn khối lượng công việc khổng lồ của EC2.
Hành động khách hàng nên thực hiện cho AWS Batch, Amazon EC2, Amazon Elastic Beanstalk, Amazon Elastic Container Service, Amazon Elastic MapReduce và Amazon Lightsail
Mặc dù tất cả các phiên bản của khách hàng đều được bảo vệ, chúng tôi khuyên khách hàng nên vá hệ điều hành phiên bản. Điều này sẽ tăng cường khả năng bảo vệ của các hệ điều hành này nhằm cô lập phần mềm chạy trong cùng một phiên bản. Để biết thêm chi tiết, hãy tham khảo hướng dẫn của từng nhà cung cấp về tính khả dụng và việc triển khai bản vá.
Hướng dẫn của từng nhà cung cấp:
- Amazon Linux – Xem thêm chi tiết bên dưới.
- Microsoft Windows – https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
- RedHat Enterprise Linux - https://access.redhat.com/security/vulnerabilities/speculativeexecution
- SuSe Linux – https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities/
Đối với các hệ điều hành không được liệt kê, khách hàng nên tham khảo ý kiến của nhà cung cấp hệ điều hành hoặc AMI để biết thông tin về các bản cập nhật và hướng dẫn.
Bản cập nhật cho các dịch vụ AWS khác
AMI Amazon Linux (ID bản tin: ALAS-2018-939)
Đã có nhân cập nhật dành cho Amazon Linux trong các kho lưu trữ Amazon Linux. Các phiên bản EC2 được khởi chạy với cấu hình Amazon Linux mặc định vào đúng hoặc sau 10:45 CH (giờ GMT) ngày 3/1/2018 sẽ tự động bao gồm gói đã cập nhật. Khách hàng đang có các phiên bản AMI Amazon Linux nên chạy lệnh sau để đảm bảo nhận được gói đã cập nhật:
sudo yum update kernel
Sau khi cập nhật yum xong, bạn cần khởi động lại để bản cập nhật có hiệu lực.
Bạn có thể tìm thêm thông tin về bản tin này tại Trung tâm Bảo mật AMI Amazon Linux.
EC2 Windows
Chúng tôi đang cập nhật AMI Windows Server mặc định và sẽ cập nhật bản tin này khi có AMI.
AMI được tối ưu hóa cho ECS
Chúng tôi đã phát hành AMI được tối ưu hóa cho Amazon ECS phiên bản 2017.09.e tích hợp tất cả biện pháp bảo vệ của Amazon Linux cho sự cố này. Chúng tôi khuyên tất cả khách hàng Amazon ECS nâng cấp lên phiên bản mới nhất này, đã có trong AWS Marketplace. Khách hàng chọn cập nhật các phiên bản hiện tại tại chỗ cần chạy lệnh sau trên mỗi phiên bản bộ chứa:
sudo yum update kernel
Để hoàn tất việc cập nhật, cần khởi động lại phiên bản bộ chứa
Khách hàng Linux không sử dụng AMI được tối ưu hóa cho ECS nên tham khảo ý kiến của nhà cung cấp hệ điều hành, phần mềm hoặc AMI thay thế/của bên thứ ba để có các bản cập nhật và hướng dẫn khi cần. Hướng dẫn về Amazon Linux có tại Trung tâm bảo mật AMI Amazon Linux.
Bản cập nhật AMI được tối ưu hóa cho Microsoft Windows EC2 và ECS sẽ được phát hành khi các bản vá của Microsoft ra mắt.
Elastic Beanstalk
Chúng tôi sẽ phát hành các phiên bản nền tảng mới bao gồm bản cập nhật nhân để giải quyết sự cố này trong vòng 48 giờ. Đối với môi trường Linux, chúng tôi khuyên bạn nên kích hoạt “Cập nhật nền tảng được quản lý” để tự động cập nhật trong khoảng thời gian bảo trì bạn đã chọn ngay khi có các bản cập nhật này. Chúng tôi sẽ đăng hướng dẫn cho môi trường Windows sau khi có bản cập nhật.
AWS Fargate
Tất cả cơ sở hạ tầng chạy tác vụ Fargate đã được vá như mô tả bên trên và khách hàng không cần thực hiện hành động nào.
Amazon FreeRTOS
Không có bản cập nhật nào cần thiết hoặc áp dụng cho Amazon FreeRTOS và bộ xử lý ARM được hỗ trợ.
AWS Lambda
Tất cả các phiên bản chạy hàm Lambda đã được vá như mô tả bên trên và khách hàng không cần thực hiện hành động nào.
RDS
Mỗi phiên bản cơ sở dữ liệu của khách hàng do RDS quản lý chỉ dành riêng cho việc chạy một công cụ cơ sở dữ liệu cho một khách hàng, không có các tiến trình khác có thể truy cập từ phía khách hàng và không có khả năng cho khách hàng chạy mã trên phiên bản cơ bản. Vì AWS đã hoàn thành việc bảo vệ tất cả các cơ sở hạ tầng làm nền tảng cho RDS, các mối lo ngại giữa tiến trình và nhân hoặc giữa tiến trình với nhau về sự cố này không gây rủi ro cho khách hàng. Hầu hết các công cụ cơ sở dữ liệu mà RDS hỗ trợ đã báo cáo rằng không có mối lo ngại đã biết nào trong tiến trình tại thời điểm này. Thông tin chi tiết bổ sung cho công cụ cơ sở dữ liệu cụ thể được nêu bên dưới, và trừ khi có ghi chú khác, khách hàng không cần thực hiện hành động gì. Chúng tôi sẽ cập nhật bản tin này khi có thêm thông tin.
Các phiên bản cơ sở dữ liệu RDS for MariaDB, RDS for MySQL, Aurora MySQL và RDS for Oracle hiện không yêu cầu khách hàng thực hiện hành động gì.
Đối với RDS PostgreSQL và Aurora PostgreSQL, Phiên bản CSDL hoạt động trên cấu hình mặc định hiện không yêu cầu khách hàng thực hiện hành động gì. Chúng tôi sẽ cung cấp các bản vá thích hợp cho người dùng của tiện ích mở rộng plv8 khi các bản vá này ra mắt. Trong khi chờ đợi, khách hàng đã bật phần mở rộng plv8 (bị tắt theo mặc định) nên xem xét tắt các phần mở rộng này và xem lại hướng dẫn của V8 tại địa chỉ https://github.com/v8/v8/wiki/Untrusted-code-mitigations.
Đối với phiên bản cơ sở dữ liệu RDS for SQL Server, chúng tôi sẽ phát hành các bản vá hệ điều hành và công cụ cơ sở dữ liệu khi Microsoft cung cấp, cho phép khách hàng nâng cấp tại thời điểm họ chọn. Chúng tôi sẽ cập nhật bản tin này khi một trong hai bản vá được hoàn thiện. Trong khi chờ đợi, khách hàng đã bật CLR (bị tắt theo mặc định) nên xem lại hướng dẫn của Microsoft về việc tắt phần mở rộng CLR tại https://support.microsoft.com/en-us/help/4073225/guidance-for-sql-server.
VMware Cloud on AWS
Vui lòng tham khảo bản tư vấn bảo mật của VMware tại đây để biết thêm chi tiết: https://www.vmware.com/security/advisories/VMSA-2018-0002.html.
WorkSpaces
AWS sẽ áp dụng các bản cập nhật bảo mật do Microsoft phát hành cho hầu hết AWS WorkSpaces vào cuối tuần tới. WorkSpaces của khách hàng sẽ khởi động lại trong giai đoạn này.
Khách hàng Sử dụng giấy phép riêng (BYOL) và khách hàng đã thay đổi tùy chọn cài đặt cập nhật mặc định trong WorkSpaces cần áp dụng thủ công các bản cập nhật bảo mật do Microsoft cung cấp.
Vui lòng làm theo hướng dẫn trong bản tư vấn bảo mật của Microsoft tại https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002. Bản tư vấn bảo mật chứa liên kết đến các bài viết trong cơ sở kiến thức dành cho cả hệ điều hành Windows Server và Máy khách. Các bài viết này sẽ cung cấp thêm thông tin cụ thể.
Gói WorkSpaces đã cập nhật sẽ sớm có bản cập nhật bảo mật. Khách hàng đã tạo Gói tùy chỉnh nên cập nhật gói của mình để tự đưa các bản cập nhật bảo mật vào. Mọi WorkSpaces khởi chạy từ các gói không có bản cập nhật bảo mật sẽ sớm nhận được bản vá sau khi khởi chạy, trừ khi khách hàng đã thay đổi tùy chọn cài đặt cập nhật mặc định trong WorkSpaces, trong trường hợp này, họ phải làm theo các bước trên để áp dụng thủ công các bản cập nhật bảo mật do Microsoft cung cấp.
WorkSpaces Application Manager (WAM)
Khách hàng nên chọn một trong các phương hướng hành động sau:
Lựa chọn 1: Áp dụng thủ công các bản vá của Microsoft trên các phiên bản Trình tạo gói và Trình xác nhận WAM theo các bước do Microsoft cung cấp tại https://support.microsoft.com/en-us/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution. Trang này cung cấp thêm hướng dẫn và nội dung tải xuống cho Windows Server.
Lựa chọn 2: Xây dựng lại phiên bản EC2 của Trình tạo gói và Trình xác nhận WAM từ các AMI cập nhật cho Trình tạo gói và Trình xác nhận WAM sẽ có vào cuối ngày (4/1/2018).