[English]Kurze Info zum Wochenende: Microsoft hat eine Reihe von Sicherheitshinweisen bzw. Beschreibungen von Sicherheitsupdates aktualisiert. Die Information wurde in der Nacht zum 5. Januar 2018 verteilt. Hier eine kurze Übersicht, was geändert wurde.
Anzeige
Microsoft Security Update Releases (5. Januar 2018)
Summary
=======
The following CVEs have undergone a major revision increment:
* CVE-2018-0758
* CVE-2018-0762
* CVE-2018-0767
* CVE-2018-0768
* CVE-2018-0769
* CVE-2018-0770
* CVE-2018-0772
* CVE-2018-0773
* CVE-2018-0774
* CVE-2018-0775
* CVE-2018-0776
* CVE-2018-0777
* CVE-2018-0778
* CVE-2018-0780
* CVE-2018-0781
* CVE-2018-0800
* CVE-2018-0818
Revision Information:
– https://portal.msrc.microsoft.com/en-us/security-guidance
– Version: 2.0
– Reason for Revision: Revised the Affected Products table
to include ChakraCore for this vulnerability.
– Originally posted: January 3, 2018
– Aggregate CVE Severity Rating: Critical
Anzeige
The following CVEs have undergone a major revision increment:
* CVE-2018-0741
* CVE-2018-0743
* CVE-2018-0744
* CVE-2018-0745
* CVE-2018-0746
* CVE-2018-0747
* CVE-2018-0748
* CVE-2018-0749
* CVE-2018-0750
* CVE-2018-0751
* CVE-2018-0752
* CVE-2018-0753
* CVE-2018-0754
* CVE-2018-0762
* CVE-2018-0772
* CVE-2018-0788
Revision Information:
=====================
– https://portal.msrc.microsoft.com/en-us/security-guidance
– Version: 2.0
– Reason for Revision: Revised the Affected Products table to add
Monthly Rollup updates for Windows 7, Windows Server 2008 R2, and
Windows Server 2012.
Customers who install Monthly Rollups should install these
updates to be protected from this vulnerability.
– Originally posted: January 3, 2018
– Aggregate CVE Severity Rating: Critical
Im letzten Abschnitt steckt die Information 'Customers who install Monthly Rollups should install these updates to be protected from this vulnerability'. Sprich: das im Blog-Beitrag Windows 7: Sicherheitsupdate KB 4056894 verfügbar beschriebene Update sollte installiert werden.
Anzeige
@G.Born. Ich ( Win 7 ) habe das Security Only KB4056897 und für den IE das KB4056568 installiert. Muss man nun das KB4056894 noch installieren;d.h., hat es sicherheitsrelevante Änderungen im Vergleich zu den o.g. Updates ?
Falls ja,muss ich dann vorher die eingangs genannten KB´s deinstallieren?
Ergänzung:
Nach dem Supportbeitrag von Microsoft :https://support.microsoft.com/en-us/help/4073119/protect-against-speculative-execution-side-channel-vulnerabilities-in?ranMID=24542&ranEAID=hL3Qp0zRBOc&ranSiteID=hL3Qp0zRBOc-VO4glTbe8tvpfT5jjjX.nA&tduid=(11984062f9383727e91d11b3a04a900c)(256380)(2459594)(hL3Qp0zRBOc-VO4glTbe8tvpfT5jjjX.nA)()
steht die Warnung:
Kunden, die nur Windows Januar 2018 Sicherheitsupdates installieren, erhalten nicht den Vorteil aller bekannten Schutzmechanismen gegen die Sicherheitsanfälligkeiten. Zusätzlich zur Installation der Januar-Sicherheitsupdates ist ein Prozessor-Microcode oder Firmware-Update erforderlich. Dies sollte über Ihren Gerätehersteller verfügbar sein.
Ok, hast ja was gefunden. Ich kann aktuell nicht wirklich reagieren, da ich nur ein kleines Netbook mit wackeliger Internetverbindung zur Verfügung habe.
Habe schon die Antwort auf meine Fragen bei Deskmodder bekommen:
Nein! Die „Warnung" bezieht sich darauf, dass auch ein Bios-Update notwendig ist, damit die Lücke geschlossen wird.
Dafür sind aber die CPU-Hersteller verantwortlich.
Moin Pater!
Zusätzlich zu dem von Dir installierten Security Only Update KB4056897 müsstest Du noch das BIOS Deines Systems updaten. Infos dazu solltest Du auf der Website des Mainboard- / Systemherstellers finden.
Z.B. für Lenovo User: https://support.lenovo.com/de/de/solutions/len-18282
Ich habe einen Medion Akoya E 7216. Gehört Medion nicht auch zu Lenovo? Oder wer ist bei Medion der Mainboard- / Systemhersteller ? Ich weiß es nicht.
Muss man wirklich selbst das BIOS updaten ? Dafür sind doch die CPU-Hersteller verantwortlich oder (s.Antwort von Deskmodder)?
Einfach mal die Serviceportalwebsite von Medion aufsuchen: https://www.medion.com/de/service/start/.
Dann unter Download / Treiber nachschauen, ob für Dein Modell ein aktualisiertes BIOS gelistet wird. Wenn nicht, Support kontaktieren…
Danke für die schnelle Antwort.
Hallo zusammen,
Zu Frage 1. Wenn man das Monthly Roll-up installiert ersetzt es automatisch das Security only Update und ist auch darin enthalten. Eine Deinstallation ist nicht notwendig.
Zum Thema microcode updates.
Medion hat noch nicht mal patches für die Intel ME Lücke heraus gebracht und wird bei Intel auch nicht gelistet (SA0086) ich bezweifle das dort zeitnah etwas passiert.
Asus hat bereits veröffentlicht.
Mein System ist nun bei Ausführung des powershell Moduls und Befehls get-SpeculationControlSettings vollständig gesichert.
Ich habe es mir nicht nehmen lassen vorher und nachher etwa 5 Stunden in benchmarks zu investieren.
Der Leistungsverlust durch das Windows Update plus CPU update beschränkt sich auf etwa 3 Prozent im Mittelwert über alle 5 benchmarks (Samsung Magician, AS SSD, Intel XTU, superPI, PCmark)
Einzig Samsung Magician verliert massiv (40%) bei random writes auf NVMe. AS SSD bestätigt diesen Verlust jedoch nicht.
Wer möchte kann die Ergebnisse bei mir anfragen.
Twcbenchmarks@chynet.de
Danke für die Ergänzung. Außer einer Antwortmail von Medion, die nur auf die kostenintensive Hotline verweist, ist nichts passiert. Die letzte Aktualisierung im BIOSbereich resultiert aus 2011!
Dell hat für BIOS-Updates einen Knowledge Base-Artikel aufgesetzt, der fortlaufend aktualisiert wird. Die Liste der Geräte, für die Updates verfügbar sind / sein werden, ist lang. Insgesamt handelt es sich aber eher um neuere oder aktuelle Geräte. Besitzer älterer Hardware werden wohl leer ausgehen. Siehe: http://www.dell.com/support/article/de/de/debsdt1/sln308587/microprocessor-side-channel-attacks–cve-2017-5715–cve-2017-5753–cve-2017-5754—impact-on-dell-products?lang=en