Intel 2020 年 6 月 Microcode 更新

Issue

红帽了解到一组会影响 Intel CPU 硬件微体系结构和板载组件的 CPU 硬件缺陷。

为方便用户，红帽提供了由我们的微处理器合作伙伴开发的 microcode 更新。请与您的硬件供应商联系，以确定是否有推荐使用的更新的 BIOS 或固件更新。

背景信息

CVE-2020-0543 特殊寄存器缓冲区数据采样（SRBDS）

当前存在一种称为特殊寄存器缓冲区数据采样（Special Register Buffer Data Sampling，简称 SRBDS）的新的域旁路瞬态执行攻击。它可能会使特殊寄存器中的数据值被在 CPU 的任何内核上执行的恶意代码推断出来。此漏洞影响某些客户端和 Intel® Xeon® E3 处理器；它不会影响其他 Intel Xeon 或 IntelAtom® 处理器（请参阅下面的“缓解这个问题的 Intel Microcode 更新”表中的内容）。

此安全漏洞已被分配为 CVE-2020-0543，红帽把它的影响严重性级别定为 Moderate。

这个问题需要对 microcode 进行更新，它将会影响到 RDRAND 和 RDSEED 指令的性能。

其他信息：

• SRBDS KCS
• Intel Product Assurance and Security (IPAS)
• SRBDS 白皮书

CVE-2020-0548 向量寄存器数据采样（VRDS）

MDS 缓解措施在执行清除缓冲区指令（VERW）时清除存储缓冲区。程序指令通常将工作委托给硬件子组件。委托工作在清除缓冲区指令之前开始，子组件将在清除缓冲区指令之后完成，然后在存储缓冲区被清除后将结果放入存储缓冲区中。这使得这些指令的结果可能会被使用 MDS/TAA 漏洞利用方法进行安全攻击推断出来。

尚未完成的特定委托操作是来自另一个进程或对等 CPU 的 SSE/AVX/AVX-512 寄存器读操作。

此问题需要 microcode 更新。

此安全漏洞已被分配为 CVE-2020-0548，它的影响严重性等级被定为 Low。

其他信息：

• L1D 缓存逐出和向量寄存器采样
• Intel-SA-00329
• IPAS: INTEL-SA-00329
• Intel-SA-00270

CVE-2020-0549 L1D 缓存逐出采样（L1DCES）

在某些 Intel 处理器上发现了一个微体系结构时序缺陷。在一个非常规的情况下，在逐出过程中处理的数据可能会最终进入“填充缓冲区”，而 MDS 缓解措施并没有适当地清除这些数据。因此，使用 MDS 或 TAA 攻击方法可以推断出填充缓冲区中的内容（填充缓冲区本应该为空），从而可以使一个本地攻击者推断出填充缓冲区的值。

此问题需要 microcode 更新。

此安全漏洞已被分配为 CVE-2020-0549，它的影响严重性等级被定为 Moderate。

其他信息：

• L1D 缓存逐出和向量寄存器采样
• Intel-SA-00329
• IPAS: INTEL-SA-00329
• Intel-SA-00270

诊断工具

目前，尚无任何方法可以知道是否发生了攻击。

受影响的产品

受影响的配置

下面列出了受这些缺陷影响的 CPU 系列，这些缺陷按缺陷类型细分。您必须确定您所使用的 CPU 系列，以确定您是否会受到影响。

查找 CPU 系列型号

查找系统提供的 CPU 型号。它包括在 /proc/cpuinfo 文件中。

$ grep -E '^(cpu family|model|stepping|microcode)' /proc/cpuinfo | sort -u
cpu family  : 6
microcode   : 0x84
model       : 94
model name  : Intel(R) Core(TM) i7-6820HQ CPU @ 2.70GHz
stepping    : 3

（请注意：在 RHEL 6 中，microcode 修订版本以十进制表示；在RHEL 7 以后的版本中，以带有相应前缀的十六进制表示）

受影响的 Intel CPU 型号以及可缓解问题的 microcode 更新修订版本

解决方案

我们强烈建议，运行受影响版本的红帽产品的用户，在勘误可用后立即对其进行更新。用户应立即应用适当的更新，并重新启动系统以解决这个缺陷造成的问题。

致谢

红帽感谢 Intel 解决了这些问题，并告知红帽相应的补救措施。

常见问题解答

问：是否需要重启系统才能使改变生效？
答：重新启动并不是必须的，但是如果进行了最新的 microcode 更新，在 RHEL 7 和 8 上通过 sysfs 进行的 SRBDS 缓解报告将不正确。
问：如果我的 CPU 没有在表中列出怎么办？
答：红帽计划继续根据需要更新这些 microcode 包。请与您的硬件供应商联系，以确定是否有推荐的更新的 BIOS 和固件更新。

额外信息

由于 microcode 是由上游厂商提供的，因此红帽无法完全保证上述信息的正确性。

相关知识库文章：

• microcode_ctl 包是否包括了可以解决 CVE-2017-5715 的 CPU microcode？
• microcode_ctl 包是否包括了可以解决 CVE-2018-3639 的 CPU microcode？
• microcode_ctl 包是否包括了可以解决 CVE-2018-3620和CVE-2018-3646 的 CPU microcode？
• microcode_ctl 包是否包括了可以解决 MDS (ZombieLoad) CVE-2018-12130, CVE-2018-12126, CVE-2018-12127 和 CVE-2019-11091 的 CPU microcode?
• Intel 2019 年 11 月 Microcode 更新