Onderwerp: [Security alert!] Huge Flaw Found in Intel Processors; Patch Could Hit 5-30% CPU Perf

Vanochtend is dit bericht binnengekomen op Tweakers. Heeft iemand dit toevallig al eens getest of ervaren? Weet niet of er mensen op een development omgeving met een RC draaien en merken dat de server minder prestaties levert.

Bron: https://tweakers.net/nieuws/133451/p...nzienlijk.html

Ben hier ook wel nieuwsgierig naar vooral naar Postgresql omgevingen.

Oorspronkelijk geplaatst door Marin

Ben hier ook wel nieuwsgierig naar vooral naar Postgresql omgevingen.

Maar zou je daar willen/moeten mitigeren ?

Het lijkt erop dat dit een bug betreft waarbij unprivileged processen teveel kunnen zien (of misschien wijzigen) van privileged processen of de kernel.
Bij postgresql omgevingen denk ik niet meteen dat je daarop ook untrusted processen draait .

Voor hypervisors is het wel een groot issue , en blijkbaar zijn Amazon AWS en Azure deze week alles aan het updaten .

Volgens de berichten hangt de impact heel sterk af van het type load - veel syscalls = veel (30..50% ) impact , weinig syscalls weinig impact.
Ik durf niet meteen te zeggen of postgres iets is dat naar verhouding 'veel' syscalls doet.

Meting die ik vond :
https://www.postgresql.org/message-i...p3.anarazel.de
quoting :
===
readonly pgbench (tpch-like), 16 clients, i7-6820HQ CPU (skylake):

pti=off:
tps = 236629.778328

pti=on:
tps = 220791.228297 (~0.93x)

pti=on, nopcid:
tps = 198959.801459 (~0.84x)


To get closer to the worst case, I've also measured:

pgbench SELECT 1, 16 clients, i7-6820HQ CPU (skylake):

pti=off:
tps = 420490.162391

pti=on:
tps = 350746.065039 (~0.83x)

pti=on, nopcid:
tps = 324269.903152 (~0.77x)


Note that real-world scenarios probably will see somewhat smaller
impact, as this was measured over a loopback unix sockets which'll have
smaller overhead itself than proper TCP sockets + actual network.
===

Dit is wel heel erg groot nieuws dus verdiep jezelf zsm in wat er aan de hand is.

We're dealing with two serious threats. The first is isolated to #IntelChips , has been dubbed Meltdown, and affects virtually all Intel microprocessors. The patch, called KAISER, will slow performance speeds of processors by as much as 30 percent.

The second issue is a fundamental flaw in processor design approach, dubbed Spectre, which is more difficult to exploit, but affects virtually ALL PROCESSORS ON THE MARKET (Note here: Intel stock went down today but Spectre affects AMD and ARM too), and has NO FIX.

Spectre will require a complete re-architecture of the way processors are designed and the threats posed will be with us for an entire hardware lifecycle, likely the next decade.

Meltdown and Spectre affect most chipmakers including those from AMD, ARM, and Intel, and all the devices and operating systems running them (GOOG, AMZN, MSFT, APPL etc).

It is noteworthy that installing the update will hit your system speed negatively and could bring down CPUs performance by 5 percent to 30 percent, "depending on the task and processor model.

Google says its systems have been updated to defend against Meltdown https://security.googleblog.com/2018...-you-need.html Microsoft issued an emergency update today. Amazon said it protected AWS customers running Amazon's tailored Linux version, and would roll out the MSFT patch for other customers 2day

https://www.nytimes.com/2018/01/03/b...ter-flaws.html

https://thehackernews.com/2018/01/in...erability.html

https://security.googleblog.com/2018...-you-need.html

https://meltdownattack.com/

Zie ook https://www.webhostingtalk.nl/hardwa...ml#post1324329 ('Patch voor ernstige Intel-bug verlaagt softwareprestaties aanzienlijk') :-)

Anyways, de berichtgeving is nogal krom. AMD zou niet affected zijn maar in werkelijkheid is dit wel het geval. http://www.amd.com/en/corporate/speculative-execution. Zie ook https://spectreattack.com.

Voor de Red Hat gebruikers onder ons: er is zo te horen lang aan gewerkt (sinds 1 juni vorig jaar was dit al bekend bij Intel bijvb) en het is de vraag hoe lang Red Hat gaat doen over het porten naar oudere kernel versies. https://access.redhat.com/security/v...ativeexecution. Klik door naar de Resolve tab waar je de status van updates en packages kan vinden.

AMD is blijkbaar niet gevoelig voor meltdown, maar wel weer voor spectre. Er zijn software patches voor meltdown in de maak en hier en daar zelfs al gereleased, maar aldus de berichtgeving kan niet alles gepatched worden voor spectre en er wordt zelfs gezegd dat men daar nieuwe hardware voor moet ontwerpen, terwijl er andere uitspraken zijn over "software patches are coming". Het zal wel afhankelijk zijn van je CPU gok ik zo, maar er is nog veel onduidelijk op het moment.

Het is inderdaad een bug die al lang bekend was bij de hoofdspelers. De researchers zijn zo'n 10 maanden geleden aan de KAISER patch begonnen te werken ( https://github.com/IAIK/KAISER ) dus het komt inderdaad niet helemaal uit de lucht vallen.

Deze link helpt een beetje:
https://danielmiessler.com/blog/simp...tdown-spectre/

https://www.vmware.com/security/advi...2018-0002.html

Lijkt er trouwens op dat vmware al in november dit gepatched heeft.

De betreffende patch: https://kb.vmware.com/s/article/2151132 heeft dan ook een datum in november.

Maar nu zou ik graag de volgende vraag beantwoord zien. Op moment je host / hypervisor gepatched is, hoe hoog is de noodzaak van de vm dan nog ?

Ja. Ik vraag mij ook af wat de noodzaak van je vm is na patches van de hv. Wij hebben een klant met een groot aantal Postgresql omgevingen. Zijn niet publiekelijk benaderbaar maar wel sterk afhankelijk van performance. Daar gaan wij dit goed testen.

Centos 7 heeft vandaag de patch uitgebracht in ieder geval. Voor oudere versies is het nog afwachten

Oorspronkelijk geplaatst door Marin

Ja. Ik vraag mij ook af wat de noodzaak van je vm is na patches van de hv. Wij hebben een klant met een groot aantal Postgresql omgevingen. Zijn niet publiekelijk benaderbaar maar wel sterk afhankelijk van performance. Daar gaan wij dit goed testen.

Wat ik er van gelezen heb is het vooral van belang op machines die benaderbaar zijn. Als het geïsoleerd is lijkt het me een calculeerbaar risico.

Ik heb de Windows updates/patches al draaien. Merk geen enkel verlies in performance. Maar voor een drukke database server kan dit uiteraard heel anders zijn

Windows patches zaten ook in wsus. Gek genoeg nog niets van debian of ubuntu gezien..

Wij hebben ook nog wat klanten met Centos 6.x systemen. Benieuwd hoe snel daar iets voor komt

Oorspronkelijk geplaatst door Marin

Wij hebben ook nog wat klanten met Centos 6.x systemen. Benieuwd hoe snel daar iets voor komt

Die was al uit voor je bericht: http://mirror.yourwebhoster.eu/cento...kages/?C=M;O=D (zie https://access.redhat.com/errata/RHSA-2018:0008).

Ik zie door de bomen het bos niet meer ..
Kernel 4.15 draaien is dan de oplossing of slechts een deel ?

Oorspronkelijk geplaatst door bibawa

Ik zie door de bomen het bos niet meer ..
Kernel 4.15 draaien is dan de oplossing of slechts een deel ?

Je kan natuurlijk je eigen kernel compilen, maar de meeste distro's lopen een aantal kernel versies achter (of in het geval van Red Hat: behoorlijk). Zelf backporten valt niet te doen, dus dan kan je of zelf compilen of wachten op de ontwikkelaars om een update uit te geven. Laatstgenoemde is verstandiger, vooral als je zelf niet bekend bent met het compilen van een kernel (en het kan ook weer problemen veroorzaken als je niet uit kijkt).

Red Hat (oa CentOS) heeft het al verwerkt in haar kernels. Voor versie 5 kan je met een Red Hat abonnement ook nog updates krijgen.

Overigens zit het ook in 4.14.10.

Mocht je helemaal niet meer weten wat je moet doen, check dan gewoon bij de vendor wat de status is. Op https://spectreattack.com kan je hiervoor een handige referentie lijst vinden.

In verband met de omvang van de fout hebben wij besloten om vannacht spoedonderhoud te doen nadat CentOS de updates van Red Hat heeft doorgevoerd (immers wil je ook niet versleutelde wachtwoorden in het geheugen uitleesbaar hebben). Onze eigen CentOS mirror is doorgaans sneller met het synchroniseren, maar er zijn ook mirrors die langzamer zijn en daardoor kan je dus bij een yum update alsnog achterlopen. Let dus goed op welke versie je draait na het updaten.

Let op dat Red Hat aangeeft dat kpatch niet werkt voor Red Hat 7.2 of hoger. Om die reden hebben wij gekozen om - zelfs met kernelcare - een volledige herstart uit te voeren. CloudLinux heeft hier meer informatie en geeft ook aan dat ze de kernel niet goed hebben kunnen testen. Er zijn ook problemen met deze kernel bekend.

Edit: Verder dien je een microupdate voor je CPU uit te voeren of software opnieuw te compilen om het probleem met Spectre op te lossen. De exacte details hiervan zijn mij niet helemaal duidelijk, maar we gaan de komende dagen zien wat er gaat gebeuren. Intel claimed 90% van de processoren van maximaal 5 jaar oud te gaan updaten binnen een week. Dat gaat een tweede "leuke" reboot worden.

Meer informatie: http://www.theregister.co.uk/2018/01...vulnerability/

Mochten jullie meer informatie hebben, hoe jullie het aanpakken en wat jullie hier bij denken, join! Meer providers doen dit.

wht.com thread voor een extra source (het is verdacht rustig daar): http://www.webhostingtalk.com/showthread.php?t=1690161

Edit: Topics samengevoegd.