/log/messages에서 CVE-2018-3646 오류를 보여주는 로그를 찾았습니다. 링크는 다음과 같습니다.https://www.kernel.org/doc/html/latest/admin-guide/hw-vuln/l1tf.html). 특정 취약점을 확인하기 위해 링크(/sys/devices/system/cpu/vulnerability/l1tf)에서 언급된 파일 경로에 액세스했는데 "Mitigation: PTE inversion; VMX: Conditional 캐시 플러시, SMT 취약"이라는 메시지가 표시됩니다. 이 문제를 어떻게 해결할 수 있나요? 이러한 설정을 변경하면 발생할 수 있는 결과가 있습니까?
답변1
방문자 완화 메커니즘당신이 할 수 있는 모든 일의 목록을 만들어 보세요. 가장 쉬운 해결책: 을 사용 l1tf=full kvm-intel.vmentry_l1d_flush=always하면 성능이 저하됩니다(특히 이 옵션은 하이퍼스레딩을 비활성화하므로 멀티스레딩). 그러나 취약점의 실제 영향에는 전혀 관심이 없는 것 같습니다. 단지 문제를 해결하는 데만 관심이 있을 뿐입니다. 그래도 .
참고로 현재까지 CPU 아키텍처 버그를 악용하는 익스플로잇은 발견되지 않았습니다.
답변2
Artem S. Tashkinov의 답변모든 L1TF 완화를 완전히 활성화하는 방법을 설명합니다.
알려진 취약점이 없다고 언급한 Artem 외에도이미완화 조치의 혜택을 누리십시오. PTE 반전이 활성화되어 사용자를 보호합니다.VM 기반이 아닌 모든 공격으로부터 보호됩니다.— 예를 들어 잠재적인 브라우저 기반 공격이 있습니다. 조건부 VMX 캐시 플러시도 활성화됩니다.악성 VM이 호스트에서 비밀을 추출할 수 없음, 하이퍼바이저의 주소 공간 레이아웃(피기백 공격을 용이하게 할 수 있음 - 다시 말하지만 이는 우리가 아는 한 모두 이론적인 것임)에 추가됩니다.
추가 완화 기능을 활성화하는 것은 신뢰할 수 없는 가상 머신을 실행해도 L1TF를 사용한 악용이 발생하지 않도록 하려는 경우에만 유용합니다. 여러 테넌트를 위한 가상 머신을 호스팅하지 않는 한 이는 관련 보안 위협이 될 가능성이 없습니다.