Проверка Linux на уязвимости Meltdown и Spectre

Одна из самых неприятных особенностей уязвимостей Meltdown и Spectre — их массовость. Практически каждый современный компьютер в той или иной степени затронут. Вопрос в том, как именно затронут ваш конкретный сервер или рабочая станция: всё зависит от того, какие обновления установлены и какие mitigations применены.

Поскольку эти уязвимости относительно новые и ситуация развивается быстро, бывает сложно понять, какие индикаторы смотреть и что считать «исправленным». Есть несколько инструментов, которые помогут оценить состояние системы. Они не дают абсолютной гарантии, но существенно упрощают поиск проблем.

Простой тест

Один из разработчиков ядра Linux предложил очень простой способ проверить состояние системы. Этот метод быстрый и ёмкий, но не поддерживается во всех дистрибутивах.

grep . /sys/devices/system/cpu/vulnerabilities/*

Если файл существует и система поддерживает отчёт, вы увидите строки вроде “Vulnerable”, “Mitigation: …” или “Not affected” для каждой уязвимости. Часто будет видно, что по крайней мере одна из проблем остаётся не устранённой. Это особенно актуально для Spectre v1: по состоянию на текущий момент прогресс в его нейтрализации медленный.

Скрипт проверки

Если простой тест не сработал или вы хотите более подробный отчёт, используйте скрипт spectre-meltdown-checker. Он проводит серию тестов: сначала аппаратную часть, затем Spectre v1, Spectre v2 и Meltdown. Скрипт показывает доступные mitigations и отмечает, какие из них активны.

1. Убедитесь, что у вас установлен Git.
2. Склонируйте репозиторий и запустите скрипт:

cd ~/Downloads
git clone https://github.com/speed47/spectre-meltdown-checker.git
cd spectre-meltdown-checker
./spectre-meltdown-checker.sh

Скрипт выдаст много подробной информации. Каждая уязвимость получит собственный раздел с перечнем возможных mitigations и отметкой о том, применены они или нет. Иногда вывод может выглядеть противоречиво: например, одно средство защиты указано как доступное, но другие строки показывают оставшийся риск.

Важно: скрипт не всегда способен определить полноту mitigation. Поэтому по результатам скрипта требуется дополнительная проверка фактических версий ядра, параметров загрузчика и состояния микрокода процессора.

Что это значит для вашего сервера

Ключевые выводы:

• Meltdown в большинстве дистрибутивов уже частично или полностью закрыт обновлениями ядра и патчами. Если вы не обновлялись — сделайте это.
• Spectre v1 остаётся проблемой: универсального исправления нет, многие mitigations снижают производительность или требуют изменений в компиляторах/приложениях.
• Spectre v2 зависит от сочетания микрокода CPU, параметров загрузки (например, mitigations в kernel boot params) и обновлений от дистрибутива.

Ни один инструмент не даёт 100% гарантии. Постоянно следите за официальными объявлениями от разработчиков ядра и вашего дистрибутива.

Мини‑методология проверки (коротко)

1. Выполните grep по /sys/devices/system/cpu/vulnerabilities.
2. Если не работает, запустите spectre-meltdown-checker.
3. Сверьте версию ядра и дату установки пакетов (apt/yum/zypper).
4. Проверьте, применён ли новый микрокод процессора (BIOS/UEFI/пакеты microcode).
5. Перезагрузите систему после установки всех обновлений и снова прогоните проверки.

Альтернативные инструменты и подходы

• Дистрибутивные утилиты: некоторые дистрибутивы поставляют собственные checker-скрипты и пакеты с рекомендациями.
• Централизованные средства управления конфигурацией (Ansible, Salt, Puppet) для массового применения mitigations и проверки их состояния.
• Nmap/сканеры уязвимостей в составе процесса полного аудита (тот же Nessus для хостов в сети).

Когда проверки ошибаются или дают ложное ощущение безопасности

• Отчёты скриптов ориентировались на набор известных CVE и heuristics; новые варианты атак могут не распознаваться.
• Скрипт может сообщить, что mitigation установлен, но фактическая конфигурация загрузчика или неподходящий микрокод делают mitigation необязательным или неэффективным.
• В системах с кастомным ядром или нетипичной конфигурацией (контейнеры, unikernel) результаты могут быть неверны.

Всегда делайте ручную проверку версий пакетов и параметров командной строки ядра (например, через /proc/cmdline).

Чек‑лист для администратора

• Проверить /sys/devices/system/cpu/vulnerabilities/*
• Запустить spectre-meltdown-checker и сохранить вывод
• Обновить ядро и пакеты безопасности
• Установить / обновить микрокод процессора (пакет microcode)
• Проверить параметры загрузки (e.g. mitigations=on/off)
• Перезагрузить и повторить проверки
• Задокументировать изменения и план отката

Критерии приёмки

• Система не должна показывать “Vulnerable” для Meltdown после обновления ядра и microcode.
• Для Spectre v2 — должны быть активны соответствующие mitigations для вашего CPU и дистрибутива (например, IBRS/IBPB или retpoline), либо наличие обоснования почему их не применяли.
• Для Spectre v1 — наличие плана по минимизации риска (пересборка уязвимых приложений, обновлённые компиляторы, WAF/IDS‑контрмеры).

Факто‑бокс

• Способ проверки: быстрый (файл в /sys) или подробный (скрипт).
• Основные цели: Spectre v1, Spectre v2, Meltdown.
• Необходимые права: запуск скрипта обычно требует прав чтения системных файлов; для установки microcode и ядра требуются root‑права.

Рекомендации по защите и снижение риска

• Обновите ядро и пакеты безопасности как можно быстрее.
• Установите обновления микрокода процессора через поставщика дистрибутива или BIOS/UEFI.
• Пересоберите критичные приложения с современными флагами компилятора и опциями mitigations, когда это возможно.
• Для виртуализированных сред проверьте, что гипервизор обновлён и применяет соответствующие mitigations для гостевых ОС.
• Мониторьте официальные рассылки kernel.org и уведомления вашего дистрибутива.

Глоссарий — одно предложение на термин

• Meltdown: уязвимость, позволяющая читать защищённую память ядра с пользовательского уровня.
• Spectre: класс уязвимостей, основанных на спекулятивном выполнении, позволяющий утечку данных между процессами.
• Microcode: встроенное программное обеспечение процессора, которое можно обновлять для исправления аппаратных проблем.
• Retpoline/IBRS/IBPB: примеры mitigations для уменьшения влияния Spectre.

Короткое объявление для команды (100–200 слов)

Мы проверили серверы на уязвимости Meltdown и Spectre. Выполнен базовый скан по /sys и дополнительно запущен spectre-meltdown-checker для критичных хостов. По результатам: Meltdown закрыт на большинстве систем после установки обновлений; Spectre v1 остаётся частичной проблемой и требует дальнейших действий по пересборке и аудиту приложений; Spectre v2 требует проверки микрокода CPU и параметров загрузки. План: обновление оставшихся систем, установка пакетов микрокода, тестовый перезапуск и повторная проверка. Документы и выводы проверок доступны в общем репозитории конфигураций.

Куда смотреть дальше

Следите за обновлениями ядра, исправлениями от вашего дистрибутива и пакетами микрокода. Для автоматизации проверки включите задачи в систему управления конфигурацией и периодически пересматривайте политику безопасности.

Сводка:

• Выполните быстрый тест и, при необходимости, скрипт.
• Обновляйте ядро и микрокод.
• Интерпретируйте результаты осмотрительно и документируйте изменения.