Em 3 de janeiro de 2018, a equipe do Project Zero do Google, juntamente com vários outros pesquisadores universitários identificou vários problemas de segurança com execução especulativa, uma técnica de otimização usada em microprocessadores para melhorar o desempenho.
O Couchbase está ciente da classe de vulnerabilidades de processador/SO recentemente divulgada, como Meltdown e Spectre. Elas afetam os processadores e sistemas operacionais modernos, incluindo Intel, AMD e ARM. Este artigo explica como esses tipos de vulnerabilidades podem afetar qualquer aplicativo de espaço do usuário, como o Couchbase.
Avaliação de vulnerabilidade
Duas variantes de vulnerabilidades associadas à execução especulativa foram divulgadas. As vulnerabilidades permitem que os invasores extraiam informações confidenciais do kernel ou de outros processos por meio de um canal lateral.
Meltdown explora os efeitos colaterais da execução fora de ordem para quebrar o isolamento entre os aplicativos do usuário e o sistema operacional, permitindo que um aplicativo acesse a memória de outro aplicativo, bem como a memória do sistema.
Espectro explora vulnerabilidades na execução especulativa para quebrar o isolamento entre aplicativos, permitindo que um aplicativo acesse a memória associada a outro, que pode ser vazada por meio de um canal lateral.
Os ataques bem-sucedidos executam processos mal-intencionados no mesmo host e processador da vítima-alvo. Dessa forma, quando aplicável, o policiamento do acesso às máquinas e a segurança física das máquinas podem ser uma atenuação temporária eficaz contra esses ataques.
Para atenuar totalmente essas vulnerabilidades, o sistema operacional deve ser corrigido com as correções recentes do kernel. Também pode ser necessário ativar esses patches e atualizar o firmware do processador. Para garantir a proteção, a Couchbase recomenda enfaticamente que os clientes consultem seus fornecedores de hardware e sistema operacional para saber as etapas específicas a serem seguidas.
Protegendo a pilha
Como acontece com outros aplicativos executados no espaço do usuário, o Couchbase e outras tecnologias de banco de dados podem ser afetados por essas vulnerabilidades.
A tabela a seguir descreve o que os clientes devem fazer, dependendo do ambiente em que o Couchbase está sendo executado. O Couchbase recomenda que os clientes implementem correções usando procedimentos normais para validar novos binários antes de implementá-los em ambientes de produção.
| Descrição do cenário | Recomendações do Couchbase |
|---|---|
|
O Couchbase é executado em bare metal (sem máquinas virtuais). E nenhuma outra máquina não confiável a lógica do aplicativo (camada do aplicativo) é executada na mesma máquina |
1. Aplicar patches do sistema operacional Linux/Windows 2. Consulte o fornecedor do sistema operacional Linux/Windows para saber se e como habilitar as alterações no firmware. (veja abaixo as referências) |
| O Couchbase é executado em uma máquina virtual em um ambiente de hospedagem pública |
Em cada um dos provedores de nuvem compatíveis (AWS, Azure e GCP), estamos no processo de atualização de imagens pré-configuradas para incluir o sistema operacional com patch mais recente versão. Os clientes que não estiverem usando essas imagens pré-configuradas devem consultar a nuvem para obter orientação sobre a aplicação de patches do sistema operacional. |
| O Couchbase é executado em uma máquina virtual em um ambiente de hospedagem privada |
1. Aplicar patches do sistema operacional Linux/Windows 2. Consulte o fornecedor do sistema operacional Linux/Windows para saber se e como habilitar as alterações no firmware. Além disso, recomendamos isolar o Couchbase Server em um local físico dedicado. hardware. (veja abaixo as referências) |
|
O Couchbase é executado em uma máquina física ou virtual NÃO isolada de outras máquinas. lógica do aplicativo em execução na mesma máquina |
1. Aplicar patches do sistema operacional Linux/Windows 2. Consulte o fornecedor do sistema operacional Linux/Windows para saber se e como habilitar as alterações no firmware. Recomendamos restringir o uso ou bloquear o código não confiável de em execução na máquina. (veja abaixo as referências) |
Consultoria de desempenho
O Couchbase continua a avaliar o desempenho nos binários corrigidos. A correção do kernel do sistema operacional Meltdown evita o vazamento da memória do kernel do sistema operacional. No entanto, ele também pode alterar a maneira como interage com o processador, prejudicando o desempenho.
A degradação é altamente dependente da carga de trabalho (consistente com os primeiros relatórios da Intel), e a Couchbase recomenda testar em seu ambiente antes da implantação na produção. Isso também pode envolver a mudança para uma máquina com CPU mais potente para suportar a carga extra, se necessário.
Referências
- AWS - https://aws.amazon.com/security/security-bulletins/AWS-2018-013/
- Microsoft Windows - https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
- MAC OS - https://support.apple.com/en-us/HT208394
- Red Hat Enterprise Linux - https://access.redhat.com/security/vulnerabilities/speculativeexecution
- Ubuntu Linux - https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown
- Debian Linux - https://security-tracker.debian.org/tracker/CVE-2017-5754
- SuSE Linux - https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities
Entre em contato conosco
Se precisar falar conosco sobre esse assunto, entre em contato conosco pelo e-mail support@couchbase.com.
