Com o número de modos suportados no núcleo Linux para enfrentar vulnerabilidades de CPU atingindo 15, listar todas as vulnerabilidades na linha de comando do núcleo tornou-se uma tarefa bastante complexa. Um desenvolvedor do núcleo da AMD propôs a transição de uma configuração que bloqueia vulnerabilidades específicas para a escolha de bloqueio de vetores de ataque.
Os métodos de bloqueio devem ser ativados dependendo do tipo de violação de isolamento: entre o usuário e o núcleo (mitigate_user_kernel), entre usuários (mitigate_user_user), entre a sistema convidado e o ambiente host (mitigate_guest_host), entre diferentes sistemas convidados (mitigate_guest_guest) e entre diferentes threads (mitigate_cross_thread).
A abordagem proposta permitirá ativar apenas a proteção contra aqueles classes de vulnerabilidades que realmente preocupam o usuário. Por exemplo, proprietários de ambientes em nuvem podem ativar os modos mitigate_guest_host e mitigate_guest_guest, após o que os métodos de proteção contra vulnerabilidades BHI, GD, L1TF, MDS, MMIO, Retbleed, RFDS, Spectre_v2, SRBDS, SRSO e TAA serão ativados. =============== ============== ============ ============= ============== ============ Vulnerabilidade User-to-Kernel User-to-User Guest-to-Host Guest-to-Guest Cross-Thread =============== ============== ============ ============= ============== ============ BHI X X GDS X X X X L1TF X X MDS X X X X X MMIO X X X X X Meltdown X Retbleed X X X RFDS X X X X Spectre_v1 X Spectre_v2 X X Spectre_v2_user X X SRBDS X X X X SRSO X X SSB TAA X X X X X
Fonte: opennet.ru
