Kernel-Update Proxmox 4 wegen Meltdown /Spectre?

[scaa]

Wird es auch noch für Proxmox 4 Installationen solche Kernel-Updates geben?

 

[tom]

Ja, siehe auch:

https://forum.proxmox.com/threads/proxmox-ve-support-lifecycle.35755/

 

[scaa]

Gibt es eigentlich eine Mailinglist für Proxmox-Security-Updates?

 

[tom]

Nein, gibt es nicht.

 

[scaa]

Schade, in jetziger Situation wäre es gut wenn man zeitnah informiert wird, sobald die neuen Kernels zur Verfügung stehen.

BTW:
Ich lese im engl. Forum:
https://forum.proxmox.com/threads/fuckwit-kaiser-kpti.39025/#post-193156

cpumodel=kvm64 protected you against spectre in your vm, but not meltdown. (you need to patch your guest kernel)

host kernel need to be updated to avoid that a vm access to memory of another vm.

Das ist ja die Voreinstellung, und die wir auch bei allen Vms haben. Wenn ich das richtig verstehe sind die VMs dann gegen Spectre geschützt. Gegen Meltdown muss natürlich der neue Kernel her (sofern verfügbar).

 

[tom]

Schade, in jetziger Situation wäre es gut wenn man zeitnah informiert wird, sobald die neuen Kernels zur Verfügung stehen.

Ein Proxmox VE Host schickt an den Admin eine Email, wenn updates zur Verfügung stehen.

 

[DerDanilo]

Ein Proxmox VE Host schickt an den Admin eine Email, wenn updates zur Verfügung stehen.

Was muss man dafür einstellen damit der Host das tut? Aktuell tut unser das nähmlich nicht und der E-Mail versand für Backupnachrichten werden z.b. einwandfrei versendet.
Wir haben sowohl Hosts mit als auch ohne Subscription.

 

[scaa]

Wir haben lediglich beim Setup des Hosts die Emailadresse eingetragen. Mehr nicht. Meldungen kommen alle an.
Möglicherweise werden die EMails als Spam erkannt?

 

[marsian]

Was muss man dafür einstellen damit der Host das tut? Aktuell tut unser das nähmlich nicht und der E-Mail versand für Backupnachrichten werden z.b. einwandfrei versendet.
Wir haben sowohl Hosts mit als auch ohne Subscription.

Same here, Backup notifications laufen, aber Updates nicht. Allerdings haben wir die Emailadresse für den Host auch erst _nach_ dem initialen Setup zugewiesen via GUI @scaa, kannst du eventuell deine Mailkonfig mal posten, zum Abgleich? Danke

 

[scaa]

/etc/apt/listchanges.conf

[apt]
frontend=pager
email_address=root
confirm=0
save_seen=/var/lib/apt/listchanges.db
which=news

/etc/pve/user.cfg

user:root@pam:1:0:::info@meinedomain.de::

Ich stelle aber gerade fest, das diese Emails "New software packages available (hostxx)" nicht mehr für alle Hosts kommen. Von den neueren Hosts, die bereits unter Proxmox 5.x kommen tatsächlich keine Emails mehr an. Von den 4er-Proxmox kommen an

 

[marsian]

Danke! Wir prüfen das mal bei uns

Update: da lag der Fehler, falsche Emailadresse, thx!

 

[fireon]

Was muss man dafür einstellen damit der Host das tut?

Läuft auch hier auf allen Hosts out of the box.

 

[scaa]

Heute kam die Meldung über einen neuen Kernel für Proxmox 4: 4.4.98-102

Ist das nun die gegen Meltdown gepatchte Version?

 

[tom]

Siehe

Heute kam die Meldung über einen neuen Kernel für Proxmox 4: 4.4.98-102

Ist das nun die gegen Meltdown gepatchte Version?

Siehe https://forum.proxmox.com/threads/meltdown-and-spectre-linux-kernel-fixes.39110/

Über das Proxmox GUI kann man das changelog ebenfalls anschauen.

 

[fireon]

Über das Proxmox GUI kann man das changelog ebenfalls anschauen.

Ja also das muss ich jetzt mal Loswerden: Das Changelog in der GUI ist wirklich super. Kenn ich von irgend anders wo, wo das so übersichtlich und einfach nach zu lesen ist. Danke

 

[scaa]

Gegen welche Angriffsszenarien helfen die aktuell neuen Kernels jetzt konkret?
Proxmox VE 5.x: pve-kernel (4.13.13-35)
Proxmox VE 4.x: pve-kernel (4.4.98-103)

• Variante 1: bounds check bypass (CVE-2017-5753), (Spectre)
• Variante 2: branch target injection (CVE-2017-5715), (Spectre)
• Variante 3: rogue data cache load (CVE-2017-5754), (Meltdown)

 

[tom]

Einfach testen, zb. mit diesem script:

https://github.com/speed47/spectre-meltdown-checker

 

[scaa]

Also nur Variante 3: rogue data cache load (CVE-2017-5754), (Meltdown)

Warum heisst dieser Thread dann "Meltdown and Spectre Linux Kernel fixes"
https://forum.proxmox.com/threads/meltdown-and-spectre-linux-kernel-fixes.39110/

 

[fabian]

Also nur Variante 3: rogue data cache load (CVE-2017-5754), (Meltdown)

Warum heisst dieser Thread dann "Meltdown and Spectre Linux Kernel fixes"
https://forum.proxmox.com/threads/meltdown-and-spectre-linux-kernel-fixes.39110/

weil er auch fixes für einen bestimmten angriff via Spectre enthält - sh. changelogs und eben der thread.

 

[DerDanilo]

Bezieht ihr den Code vom Debian Repo oder Ubuntu Backport?