Debian DLA-2248-1：intel-microcode 安全更新

low Nessus 插件 ID 137418

语言：

全新！漏洞优先级评级 (VPR)

Tenable 测算每个漏洞的动态 VPR。VPR 将漏洞信息与威胁情报和机器学习算法相结合，预测哪些漏洞最有可能在攻击中被利用。了解详细信息： VPR 的定义及其与 CVSS 的区别。

VPR 得分： 6.1

简介

远程 Debian 主机缺少安全更新。

描述

针对 src: intel-microcode 报告了以下 CVE。

CVE-2020-0543

已发现新的域绕过瞬态执行攻击，称为特殊寄存器缓冲区数据采样 (SRBDS)。通过利用此缺陷，能够在 CPU 的任何核心上执行代码的攻击者可以泄漏来自特殊内部寄存器的数据值。非特权本地攻击者可利用此缺陷，推断已知在依赖唯一性和/或保密性的加密操作期间常用的受影响指令所返回的值。

CVE-2020-0548

在 Intel 处理器中发现一个缺陷，即本地攻击者可通过观察系统上运行的其他进程的寄存器状态，获取矢量计算所用寄存器的相关信息。
这会导致争用条件，即其他进程或 CPU 同级可读取未清除的存储缓冲区。此漏洞最大的威胁对象是数据机密性，即攻击者可在数据经过处理器时读取任意数据。

CVE-2020-0549

在某些 Intel 处理器中发现一个微架构时序缺陷。存在一种极端情况，即驱逐进程期间传送的数据最终进入“填充缓冲区”，且未由 MDS 缓解措施正确清理。填充缓冲区中的内容（预期为空白）可使用 MDS 或 TAA 样式攻击方法进行推断，进而允许本地攻击者推断填充缓冲区值。

对于 Debian 8“Jessie”，这些问题已在 3.20200609.2~deb8u1 版本中修复。

建议您升级 intel-microcode 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。