Da die Anzahl der im Linux-Kernel unterstützten Modi zur Abwehr von CPU-Schwachstellen 15 erreicht hat und das Auflisten aller Schwachstellen in der Kernel-Befehlszeile zu einer ziemlich komplexen Aufgabe geworden ist, hat ein Kernel-Entwickler von AMD vorgeschlagen, von der Konfiguration der Blockierung spezifischer Schwachstellen zur Auswahl der Blockierung von Angriffsvektoren überzugehen.
Die Blockierungsmethoden sollen je nach Art der Isolationsverletzung aktiviert werden: zwischen Benutzer und Kernel (mitigate_user_kernel), zwischen Benutzern (mitigate_user_user), zwischen Gast-System und Host-Umgebung (mitigate_guest_host), zwischen verschiedenen Gast-Systemen (mitigate_guest_guest) und zwischen verschiedenen Threads (mitigate_cross_thread).
Der vorgeschlagene Ansatz ermöglicht es, nur den Schutz vor den Schwachstellengruppen zu aktivieren, die den Benutzer tatsächlich betreffen. Zum Beispiel können Besitzer von Cloud-Umgebungen die Modi mitigate_guest_host und mitigate_guest_guest aktivieren, woraufhin die Schutzmethoden gegen die Schwachstellen BHI, GD, L1TF, MDS, MMIO, Retbleed, RFDS, Spectre_v2, SRBDS, SRSO und TAA aktiviert werden. =============== ============== ============ ============= ============== ============ Schwachstelle Benutzer-zu-Kernel Benutzer-zu-Benutzer Gast-zu-Host Gast-zu-Gast Cross-Thread =============== ============== ============ ============= ============== ============ BHI X X GDS X X X X L1TF X X MDS X X X X X MMIO X X X X X Meltdown X Retbleed X X X RFDS X X X X Spectre_v1 X Spectre_v2 X X Spectre_v2_user X X SRBDS X X X X SRSO X X SSB TAA X X X X X
Quelle: opennet.ru
