Em 3 de janeiro de 2018, a equipe do Project Zero do Google, juntamente com vários outros pesquisadores universitários identificou vários problemas de segurança com execução especulativa, uma técnica de otimização usada em microprocessadores para melhorar o desempenho.
O Couchbase está ciente da classe de vulnerabilidades de processador/SO recentemente divulgada, como Meltdown e Spectre. Elas afetam os processadores e sistemas operacionais modernos, incluindo Intel, AMD e ARM. Este artigo explica como esses tipos de vulnerabilidades podem afetar qualquer aplicativo de espaço do usuário, como o Couchbase.
Avaliação de vulnerabilidade
Duas variantes de vulnerabilidades associadas à execução especulativa foram divulgadas. As vulnerabilidades permitem que os invasores extraiam informações confidenciais do kernel ou de outros processos por meio de um canal lateral.
Meltdown explora os efeitos colaterais da execução fora de ordem para quebrar o isolamento entre os aplicativos do usuário e o sistema operacional, permitindo que um aplicativo acesse a memória de outro aplicativo, bem como a memória do sistema.
Espectro explora vulnerabilidades na execução especulativa para quebrar o isolamento entre aplicativos, permitindo que um aplicativo acesse a memória associada a outro, que pode ser vazada por meio de um canal lateral.
Os ataques bem-sucedidos executam processos mal-intencionados no mesmo host e processador da vítima-alvo. Dessa forma, quando aplicável, o policiamento do acesso às máquinas e a segurança física das máquinas podem ser uma atenuação temporária eficaz contra esses ataques.
Para atenuar totalmente essas vulnerabilidades, o sistema operacional deve ser corrigido com as correções recentes do kernel. Também pode ser necessário ativar esses patches e atualizar o firmware do processador. Para garantir a proteção, a Couchbase recomenda enfaticamente que os clientes consultem seus fornecedores de hardware e sistema operacional para saber as etapas específicas a serem seguidas.
Protegendo a pilha
Como acontece com outros aplicativos executados no espaço do usuário, o Couchbase e outras tecnologias de banco de dados podem ser afetados por essas vulnerabilidades.
A tabela a seguir descreve o que os clientes devem fazer, dependendo do ambiente em que o Couchbase está sendo executado. O Couchbase recomenda que os clientes implementem correções usando procedimentos normais para validar novos binários antes de implementá-los em ambientes de produção.
| Descrição do cenário | Recomendações do Couchbase |
| O Couchbase é executado em bare metal (sem máquinas virtuais). E nenhuma outra lógica de aplicativo não confiável (camada de aplicativo) é executada na mesma máquina |
(veja abaixo as referências) |
| O Couchbase é executado em uma máquina virtual em um ambiente de hospedagem pública | Em cada um dos provedores de nuvem compatíveis (AWS, Azure e GCP), estamos em processo de atualização das imagens pré-configuradas para incluir a versão mais recente do sistema operacional corrigido.
Os clientes que não estiverem usando essas imagens pré-configuradas devem consultar os provedores de nuvem para obter orientação sobre a aplicação de patches do sistema operacional. |
| O Couchbase é executado em uma máquina virtual em um ambiente de hospedagem privada |
Além disso, recomendamos isolar o Couchbase Server em um hardware físico dedicado. (veja abaixo as referências) |
| O Couchbase é executado em uma máquina física ou virtual. NÃO está isolado de outra lógica de aplicativo em execução na mesma máquina |
Recomendamos restringir o uso ou bloquear a execução de códigos não confiáveis no computador. (veja abaixo as referências) |
Consultoria de desempenho
O Couchbase continua a avaliar o desempenho nos binários corrigidos. A correção do kernel do sistema operacional Meltdown evita o vazamento da memória do kernel do sistema operacional. No entanto, ele também pode alterar a maneira como interage com o processador, prejudicando o desempenho.
A degradação é altamente dependente da carga de trabalho (consistente com os primeiros relatórios da Intel), e a Couchbase recomenda testar em seu ambiente antes da implantação na produção. Isso também pode envolver a mudança para uma máquina com CPU mais potente para suportar a carga extra, se necessário.
Referências
- AWS - https://aws.amazon.com/security/security-bulletins/AWS-2018-013/
- Microsoft Windows - https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002
- MAC OS - https://support.apple.com/en-us/HT208394
- Red Hat Enterprise Linux - https://access.redhat.com/security/vulnerabilities/speculativeexecution
- Ubuntu Linux - https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown
- Debian Linux - https://security-tracker.debian.org/tracker/CVE-2017-5754
- SuSE Linux - https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities
Entre em contato conosco
Se precisar falar conosco sobre esse assunto, entre em contato conosco pelo e-mail support@couchbase.com.
