La vulnerabilidad actual del procesador Meltdown Intel se soluciona actualmente al habilitar el aislamiento de la tabla de páginas. Hay una pregunta sobre cómo desactivar esto: ¿Cómo deshabilitar el aislamiento de la tabla de páginas para recuperar el rendimiento perdido debido al parche de seguridad de la CPU Intel?

Mi pregunta es opuesta: ¿hay alguna forma de verificar en un sistema en ejecución si el mecanismo PTI es efectivo en el sistema y, por lo tanto, el sistema está protegido? Estoy buscando específicamente cat /proc/somethingo cat /sys/somethingno comprobando la versión del kernel o el parámetro de configuración o similares.

Puede ejecutar el siguiente comando para ver todas las mitigaciones disponibles (no solo para PTI sino también para otras vulnerabilidades):

$ cat /sys/devices/system/cpu/vulnerabilities/*
Mitigation: PTE Inversion
Mitigation: Clear CPU buffers; SMT vulnerable
Mitigation: PTI
Mitigation: Speculative Store Bypass disabled via prctl and seccomp
Mitigation: usercopy/swapgs barriers and __user pointer sanitization
Mitigation: Full generic retpoline, IBPB: conditional, IBRS_FW, STIBP: conditional, RSB filling

• Grepping CONFIG_PAGE_TABLE_ISOLATION en la configuración del kernel como sugirió Raniz no ayuda en Ubuntu de escritorio, pero puede ayudar en instancias de la nube:

  grep CONFIG_PAGE_TABLE_ISOLATION=y /boot/config-`uname -r` && \
  echo "patched :)" || echo "unpatched :("
  

• Puede verificar /proc/cpuinfocomo JonasCz sugirió :

  grep -q "cpu_insecure\|cpu_meltdown\|kaiser" /proc/cpuinfo && echo "patched :)" \
  || echo "unpatched :("
  

• O de dmesg(gracias a Jason Creighton ):

  dmesg | grep -q "Kernel/User page tables isolation: enabled" \
  && echo "patched :)" || echo "unpatched :("
  

• Puede compilar el programa de prueba de Raphael Carvalho para la detección de Meltdown:

  sudo apt-get install git build-essential
  cd /tmp
  git clone https://github.com/raphaelsc/Am-I-affected-by-Meltdown.git
  cd Am-I-affected-by-Meltdown
  make
  sudo sh -c "echo 0  > /proc/sys/kernel/kptr_restrict"
  ./meltdown-checker
  

en el sistema parcheado debería terminar con salida

...
so far so good (i.e. meltdown safe) ...

System not affected (take it with a grain of salt though as false negative
may be reported for specific environments; Please consider running it once again).

• Verifique con la herramienta de https://github.com/speed47/spectre-meltdown-checker :

  cd /tmp
  wget https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
  sudo sh /tmp/spectre-meltdown-checker.sh
  

En el sistema parcheado, debería mostrar lo siguiente:

Spectre and Meltdown mitigation detection tool v0.27

Checking for vulnerabilities against live running kernel Linux 4.4.0-109-generic #132-Ubuntu SMP Tue Jan 9 19:52:39 UTC 2018 x86_64
...
CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Kernel supports Page Table Isolation (PTI):  YES 
* PTI enabled and active:  YES 
> STATUS:  NOT VULNERABLE  (PTI mitigates the vulnerability)

¡No instale 4.4.0-108-generic en Xenial! ¡ Rompe la funcionalidad de arranque / reinicio / apagado / suspensión !

¡Instale 4.4.0-109-generic ( consulte USN-3522-3 para más detalles)!

Como Robie Basak ya escribió , hay una página sobre el estado de las vulnerabilidades de Spectre y Meltdown en Ubuntu .

También hay:

• Boletín de seguridad de Ubuntu para CVE-2017-5715
• Boletín de seguridad de Ubuntu para CVE-2017-5753
• Boletín de seguridad de Ubuntu para CVE-2017-5754

Ejecute el siguiente comando:

dmesg | grep 'page tables isolation'

Si se muestra habilitado, entonces PTI está habilitado. Si no se muestra nada o ve 'deshabilitado' en el terminal, entonces PTI está deshabilitado. Ubuntu aún no ha publicado el parche, por lo que no mostrará ningún mensaje.

Puede consultar con cat /proc/cpuinfo, si informa cpu_insecurebajo "errores", entonces PTI está habilitado.

Si está en blanco (o simplemente no aparece en la lista cpu_insecure), entonces lo más probable es que esté ejecutando un kernel que aún no ha sido parcheado (Ubuntu no lo ha hecho), o tiene un procesador AMD (para el cual esto posiblemente no estará habilitado, ya que No eres vulnerable).

Actualmente, todas las CPU son tratadas como vulnerables en el último kernel 4.15.

Encontré este gran script sh para probar vulnerabilidades Meltdown / specter en su sistema:

https://github.com/speed47/spectre-meltdown-checker

El script verifica su sistema con Meltdown conocido y parches de espectros en su sistema para decirle si estas vulnerabilidades ahora son mitigadas por su sistema operativo

Puede comprobar /proc/config.gz para CONFIG_PAGE_TABLE_ISOLATION=ylo cual significa que el kernel fue compilado con KPTI.

Esto está en mi parcheado sistema Arch Linux que ejecuta 4.14.11-1:

$ zgrep CONFIG_PAGE_TABLE_ISOLATION /proc/config.gz 
CONFIG_PAGE_TABLE_ISOLATION=y

En mi instancia de AWS Ubuntu 14.04.5 LTS EC2, ejecuté

grep CONFIG_PAGE_TABLE_ISOLATION /boot/config-$(uname -r)

Debería decir:

CONFIG_PAGE_TABLE_ISOLATION=y

Para la actualización hice:

sudo apt-get update && sudo apt-get install linux-image-generic

Creo que esto también está bien:

sudo apt-get update
sudo apt-get dist-upgrade

Para verificar la versión del kernel:

uname -r

Debe ser 3.13.0-139-genérico o más reciente.