远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2018-2508:01 公告中提及的多个漏洞的影响。

    在许多现代微处理器设计的指令推测执行（一种常用的性能优化）实施方式中发现一个行业性问题。该问题有三个主要变体，其区别在于推测执行遭利用的方式。
    注意：此问题存在于硬件中，不能通过软件更新完全修复。更新后的内核程序包针对此硬件问题，提供以潜在性能损失为代价的软件缓解措施。
    有关此问题和性能影响的更多信息，请参阅“参考”部分。
    此更新提供 x86-64 架构的缓解措施。
    变体 CVE-2017-5753 通过执行边界检查绕过，来触发推测执行。它依赖如下事实：特权代码中存在精确定义的指令序列，以及内存访问可能导致向微处理器数据缓存进行分配，甚至包括为从未实际提交（取消）的推测执行指令进行分配。因此非特权攻击者可利用此缺陷通过执行目标缓存边信道攻击来越过 syscall 边界并读取特权内存。CVE-2017-5753重要变体 CVE-2017-5715 通过利用分支目标注入来触发推测执行。它依赖如下事实：特权代码中存在精确定义的指令序列，以及内存访问可能导致向微处理器数据缓存进行分配，甚至包括为从未实际提交（取消）的推测执行指令进行分配。因此非特权攻击者可利用此缺陷越过 syscall 和来宾机/主机边界通过执行目标缓存边信道攻击来读取特权内存。CVE-2017-5715, 重要变体 CVE-2017-5754 依赖如下事实受影响的微处理器上在指令推测执行权限错误时由故障访问触发的异常生成将被抑制直到整个指令块被取消。结合实际情况即使正在删除块且从未提交执行内存访问也可能会填充缓存非特权本地攻击者可利用此缺陷通过执行目标缓存边信道来读取特权内核空间内存。攻击。 (CVE-2017-5754重要注意 CVE-2017-5754 影响 Intel x86-64 微处理器。AMD x86-64 微处理器不受此问题影响。
    Asianux 在此感谢 Google Project Zero 报告这些问题。
    CVE-2017-5715 具有使用推测执行和间接转移预测的微处理器的系统可能允许通过边信道分析向具有本地用户访问权限的攻击者泄露未经授权的信息。
    CVE-2017-5753 具有使用推测执行和转移预测的微处理器的系统可能允许通过边信道分析向具有本地用户访问权限的攻击者未经授权地泄露信息。
    CVE-2017-5754 具有使用推测执行和间接转移预测的微处理器的系统可能允许通过数据缓存的边信道分析向具有本地用户访问权限的攻击者泄露未经授权的信息。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 4kernel-2.6.32-696.18.7.el6 (AXSA:2018-2508:01)

medium Nessus 插件 ID 290103

版本 1.1