Respond to Intel chip vulnerability on DigitalOcean

年明け早々大きな脆弱性が発表されましたね。

• Meltdown and Spectre
• CPUの脆弱性 MeltdownとSpectreについてまとめてみた

このブログは DigitalOcean 上で動いているのですが、 DigitalOcean ではどのような対策が取られているのでしょうか。

公式ブログに記事が上がっていました。

• A Message About Intel Security Findings

読んでみると

• Intel やその他ハードウェアベンダーと協力して対策を進めている
• 1月9日時点では、 DigitalOcean に当てるパッチの検証をしている
• カーネル側で対応するためのアップデートが各ディストリビューションから出ているので、まずはそれを適用して対策してほしい
• そのために全ての Droplet で内部カーネルを使えるように設定した

と言った感じでした。1月10日現在、まだ DigitalOcean 本体の作業は終わっていないみたいですね。

さて、内部カーネルってなんだという話ですが、これは DigitalOcean の Droplet が使用するカーネルがどこにあるかという話です。

以前は Droplet 内部(例えば /boot/vmlinuz-3.10.0-693.11.6.el7.x86_64 など)のカーネルは使われず、外部( DigitalOcean のハイパーバイザー上？)のカーネルが利用されていたみたいです。

内部のカーネルを利用するためには以下にあるように DigitalOcean GrubLoader という特殊なカーネルを Droplet に設定してあげなければならなかったらしいです(レガシーなシステムが利用されていた場合)。

• How To Update a DigitalOcean Server's Kernel | DigitalOcean

それを今回の脆弱性対応のために全 Droplet で内部カーネルが使われるように変更した( DigitalOcean GrubLoader を使うように変更した)ということみたいです。

この内部カーネルかどうかについての話は AWS の PV インスタンスでも似たような話がありました。

• ユーザー提供カーネル - Amazon Elastic Compute Cloud
• EC2でLinux Kernelを普通にアップデートする方法 at nkjmkzk.net

対応方法

カーネルをアップデートして再起動すれば OK 。

• How To Protect Your Server Against the Meltdown and Spectre Vulnerabilities | DigitalOcean

sudo yum update kernel
sudo reboot

まとめ

新年早々かなり影響範囲の大きい脆弱性でしたね。これで今年はもうこんなに影響範囲の大きい脆弱性は発見されないでしょう(フラグ)。再起動があるのがキツイですが頑張りましょう…。

内部カーネルや外部カーネルといった概念は知らなかった！