slacky.eu

rik70 ha scritto:Ok, allora c'è qualcosa che non torna nel test.

rik70 ha scritto:Mi sa che ci siamo:
Linux* Processor Microcode Data File
Version: 20180807 (Latest) Date: 8/7/2018

Codice: Seleziona tutto

CVE-2018-3640 [rogue system register read] aka 'Variant 3a'
* CPU microcode mitigates the vulnerability:  YES 
> STATUS:  NOT VULNERABLE  (your CPU microcode mitigates the vulnerability)

CVE-2018-3639 [speculative store bypass] aka 'Variant 4'
* Mitigated according to the /sys interface:  YES  (Mitigation: Speculative Store Bypass disabled via prctl and seccomp)
* Kernel supports speculation store bypass:  YES  (found in /proc/self/status)
> STATUS:  NOT VULNERABLE  (Mitigation: Speculative Store Bypass disabled via prctl and seccomp)

Meskalamdug ha scritto:GRUB_EARLY_INITRD_LINUX_CUSTOM="intel-ucode.cpio"

iucode_tool -v --write-earlyfw=/boot/intel-ucode.cpio /lib/firmware/intel-ucode{,-with-caveats}

-- intel-ucode-with-caveats/ --
This directory holds microcode that might need special handling.
BDX-ML microcode is provided in directory, because it need special commits in
the Linux kernel, otherwise, updating it might result in unexpected system
behavior.
OS vendors must ensure that the late loader patches (provided in
linux-kernel-patches\) are included in the distribution before packaging the
BDX-ML microcode for late-loading.

conraid ha scritto:Io continuo a non capire perché usare questa procedura invece del semplice echo come consiglia Intel stessa.
Pericolo del bug tra l'init e rc.local?

In situations when the BIOS update isn't available, early loading
is the next best alternative to updating processor microcode. Microcode states
are reset on a power reset, hence its required to be updated everytime during
boot process.

Loading microcode using the initrd method is recommended so that the microcode
is loaded at the earliest time for best coverage. Systems that cannot tolerate
downtime may use the late reload method to update a running system without a
reboot.

rik70 ha scritto:

Meskalamdug ha scritto:GRUB_EARLY_INITRD_LINUX_CUSTOM="intel-ucode.cpio"

Una curiosità: sei sicuro che quell'opzione venga presa durante la generazione del config di grub?

Sulla slack 14.2 ad esempio no.

Se invece da te la prende, nel grub.cfg generato dovresti vedere 2 initrd - quello relativo kernel e quello del microcode intel(inserito per primo).

Mi pare di capire poi che tu usi un'opzione di mkinitrd che include il microcode all'interno dell'initramfs. Se è così, allora non dovresti aver bisogno della parte relativa al config di grub.

Infine:
hai provato a generare l'archivio del microcode in questo modo:

Codice: Seleziona tutto

iucode_tool -v --write-earlyfw=/boot/intel-ucode.cpio /lib/firmware/intel-ucode{,-with-caveats}

?
Credo sia necessario per andare a pescare anche nella directory 'intel-ucode-with-caveats'

-- intel-ucode-with-caveats/ --
This directory holds microcode that might need special handling.
BDX-ML microcode is provided in directory, because it need special commits in
the Linux kernel, otherwise, updating it might result in unexpected system
behavior.
OS vendors must ensure that the late loader patches (provided in
linux-kernel-patches\) are included in the distribution before packaging the
BDX-ML microcode for late-loading.

ma forse non è indispensabile.