Forum Debian Users Gang

Do nagłówków są inne metapakiety:

# aptitude show linux-image-aptosid-amd64
...
Depends: linux-image-4.15.0-0.slh.2-aptosid-amd64 (= 4.15-2)
Recommends: linux-headers-aptosid-amd64 (= 4.15-2)

Ostatnio edytowany przez morfik (2018-02-05 22:20:06)

@morfik
U mnie jest tak:

 apt-get install linux-image-aptosid-amd64
Czytanie list pakietów... Gotowe
Budowanie drzewa zależności       
Odczyt informacji o stanie... Gotowe
The following additional packages will be installed:
  linux-headers-4.15.0-0.slh.2-aptosid-amd64 linux-headers-aptosid-amd64
Zostaną zainstalowane następujące NOWE pakiety:
  linux-headers-4.15.0-0.slh.2-aptosid-amd64 linux-headers-aptosid-amd64 linux-image-aptosid-amd64
0 aktualizowanych, 3 nowo instalowanych, 0 usuwanych i 29 nieaktualizowanych.
Konieczne pobranie 9554 kB archiwów.
Po tej operacji zostanie dodatkowo użyte 51,9 MB miejsca na dysku.
Kontynuować? [T/n]

Dobre jak ktoś chce na stałe mieć ten kernel, ale moim zdaniem do testów lepiej nie mieszać sobie z instalacją zależności.



@KerneLpaniC
Jak obiecałam kernel 4.15.1 "3x NOT VULNERABLE" jest gotowy. Konfig i patche debianowskie wzięłam z 4.15 z Experimental więc jest największa szansa, że będzie dobrze chodził na Stretchu i wyższych. Udostępniam łącznie ze źródłami: https://drive.google.com/drive/folders/1pBP4NaPrTBG … nZLGL7NiOLgNY
Pobierz i zainstaluj sobie pakiet linux-image*: https://drive.google.com/open?id=1vve200Pwn_AgSa-FtMV4zWfIzoizbvMq

Kolejno, w katalogu, gdzie pobrałeś plik:

sudo dpkg -i linux-image-4.15.1-debian-security_4.15.1-debian-1-20180205_amd64.deb
sudo apt-get install -f
sudo update-initramfs -uv -k all
sudo update-grub

Mikrokody jak wcześniej pisałam biorę z MX-a: http://mxrepo.com/mx/repo/pool/non-free/i/intel-microcode/

Tak to wygląda:

./spectre-meltdown-checker.sh
Spectre and Meltdown mitigation detection tool v0.34

Checking for vulnerabilities on current system
Kernel is Linux 4.15.1-debian-security #1 SMP Mon Feb 5 21:12:47 CET 2018 x86_64
CPU is Intel(R) Celeron(R) 2.80GHz

Hardware check
* Hardware support (CPU microcode) for mitigation techniques
  * Indirect Branch Restricted Speculation (IBRS)
    * SPEC_CTRL MSR is available:  NO
    * CPU indicates IBRS capability:  NO
  * Indirect Branch Prediction Barrier (IBPB)
    * PRED_CMD MSR is available:  NO
    * CPU indicates IBPB capability:  NO
  * Single Thread Indirect Branch Predictors (STIBP)
    * SPEC_CTRL MSR is available:  NO
    * CPU indicates STIBP capability:  NO
  * Enhanced IBRS (IBRS_ALL)
    * CPU indicates ARCH_CAPABILITIES MSR availability:  NO
    * ARCH_CAPABILITIES MSR advertises IBRS_ALL capability:  NO
  * CPU explicitly indicates not being vulnerable to Meltdown (RDCL_NO):  NO
  * CPU microcode is known to cause stability problems:  NO  (model 60 stepping 3 ucode 0x22)
* CPU vulnerability to the three speculative execution attacks variants
  * Vulnerable to Variant 1:  YES
  * Vulnerable to Variant 2:  YES
  * Vulnerable to Variant 3:  YES

CVE-2017-5753 [bounds check bypass] aka 'Spectre Variant 1'
* Mitigated according to the /sys interface:  NO  (kernel confirms your system is vulnerable)
* Kernel has array_index_mask_nospec:  YES  (1 occurence(s) found of 64 bits array_index_mask_nospec())
> STATUS:  NOT VULNERABLE (Kernel source has been patched to mitigate the vulnerability (silent backport of array_index_mask_nospec))

CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Mitigation 1
  * Kernel is compiled with IBRS/IBPB support:  NO
  * Currently enabled features
    * IBRS enabled for Kernel space:  NO
    * IBRS enabled for User space:  NO
    * IBPB enabled:  NO
* Mitigation 2
  * Kernel compiled with retpoline option:  YES
  * Kernel compiled with a retpoline-aware compiler:  YES  (kernel reports full retpoline compilation)
  * Retpoline enabled:  YES
> STATUS:  NOT VULNERABLE  (Mitigation: Full generic retpoline)

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Kernel supports Page Table Isolation (PTI):  YES
* PTI enabled and active:  YES
* Running as a Xen PV DomU:  NO
> STATUS:  NOT VULNERABLE  (Mitigation: PTI)

A false sense of security is worse than no security at all, see --disclaimer

PS. do gruba dorzucam "spectre_v2=on pti_enabled=1" ale nie wiem, czy to konieczne.

Ostatnio edytowany przez Renia (2018-02-06 00:46:59)

Gdy zainstalowałem sam linux-image-4.15.0-0.slh.2-aptosid-amd64 to przy uruchamianiu miałem same errory z dependence, może dlatego źle funkcjonował na moim hp, ale jak wyżej raczej nie chce mieszać w zależnościach.

Takie większe zabawy u mnie to tylko po backupie ;p

@urbinek
Nie na darmo pisałam, że trzeba instalować tylko linux-image-4.15.0-0.slh.2-aptosid-amd64, by przypadkowo nie podnosić wersji GCC zanim nie przetestujemy kernela. Ale nie wszystko stracone, bo wersję danego pakietu/ów można cofnąć, przykładowe polecenia:

sudo apt-get install --reinstall gcc -t stretch
sudo apt-get install --reinstall gcc-7 -t buster

Edit:
Tymczasem skończyłam robić kernel 4.15.1 32-bit dla Jessie, zaraz dam znać jak się spisuje.

Ostatnio edytowany przez Renia (2018-02-06 15:16:17)

Tak sobie zobacz:

sudo apt-get install --reinstall gcc-7 cpp-7 gcc-7-base libgcc-7-dev -t buster

Jak nie da rady, to pobierz ręcznie te pakiety, zainstaluj gdebi i w ten sposób na pewno bezpiecznie zrobisz downgrade. Składnia jest prosta, gdebi nazwa_pakietu1 nazwa_pakietu2 itd.

Edit:
Wracając do Jessie 32-bit:

./spectre-meltdown-checker.sh
Spectre and Meltdown mitigation detection tool v0.34

Checking for vulnerabilities on current system
Kernel is Linux 4.15.1-security-gcc-patch #3 SMP Tue Feb 6 10:00:12 CET 2018 i686
CPU is Intel(R) Core(TM)2 Duo CPU     E6850  @ 3.00GHz

Hardware check
* Hardware support (CPU microcode) for mitigation techniques
  * Indirect Branch Restricted Speculation (IBRS)
    * SPEC_CTRL MSR is available:  NO
    * CPU indicates IBRS capability:  NO
  * Indirect Branch Prediction Barrier (IBPB)
    * PRED_CMD MSR is available:  NO
    * CPU indicates IBPB capability:  NO
  * Single Thread Indirect Branch Predictors (STIBP)
    * SPEC_CTRL MSR is available:  NO
    * CPU indicates STIBP capability:  NO
  * Enhanced IBRS (IBRS_ALL)
    * CPU indicates ARCH_CAPABILITIES MSR availability:  NO
    * ARCH_CAPABILITIES MSR advertises IBRS_ALL capability:  NO
  * CPU explicitly indicates not being vulnerable to Meltdown (RDCL_NO):  NO
  * CPU microcode is known to cause stability problems:  NO  (model 15 stepping 11 ucode 0xba)
* CPU vulnerability to the three speculative execution attacks variants
  * Vulnerable to Variant 1:  YES
  * Vulnerable to Variant 2:  YES
  * Vulnerable to Variant 3:  YES

CVE-2017-5753 [bounds check bypass] aka 'Spectre Variant 1'
* Mitigated according to the /sys interface:  NO  (kernel confirms your system is vulnerable)
* Kernel has array_index_mask_nospec:  YES  (1 occurence(s) found of 32 bits array_index_mask_nospec())
> STATUS:  NOT VULNERABLE (Kernel source has been patched to mitigate the vulnerability (silent backport of array_index_mask_nospec))

CVE-2017-5715 [branch target injection] aka 'Spectre Variant 2'
* Mitigated according to the /sys interface:  YES  (kernel confirms that the mitigation is active)
* Mitigation 1
  * Kernel is compiled with IBRS/IBPB support:  NO
  * Currently enabled features
    * IBRS enabled for Kernel space:  NO
    * IBRS enabled for User space:  NO
    * IBPB enabled:  NO
* Mitigation 2
  * Kernel compiled with retpoline option:  YES
  * Kernel compiled with a retpoline-aware compiler:  YES  (kernel reports full retpoline compilation)
  * Retpoline enabled:  YES
> STATUS:  NOT VULNERABLE  (Mitigation: Full generic retpoline)

CVE-2017-5754 [rogue data cache load] aka 'Meltdown' aka 'Variant 3'
* Mitigated according to the /sys interface:  NO  (kernel confirms your system is vulnerable)
* Kernel supports Page Table Isolation (PTI):  NO
* PTI enabled and active:  NO
* Running as a Xen PV DomU:  NO
> STATUS:  VULNERABLE  (PTI is needed to mitigate the vulnerability)

A false sense of security is worse than no security at all, see --disclaimer

PTI nie ma, co prawda ktoś porobił łatki na 32-bit, ale z nimi system restartuje się więc nic na siłę.


Edit2:
Zaznaczam, że moje kernele nie wymuszają upgrade GCC, wymagane do instalacji jest tylko to co zazwyczaj jest w systemie, czyli kmod linux-base init-ramfstools (ten ostatni najlepiej najnowszy z backportów).

Ostatnio edytowany przez Renia (2018-02-06 16:52:25)

morfik napisał(-a):

A nie prościej jest ustawić PIN na testing/stable, coś ala:

Kod:

Package: *
Pin: release o=Debian,a=testing
Pin-Priority: 1001

i dać apt-get dist-upgrade ? xD R

*_* na to w sumie nie wpadłem, cofnęło wszystko i działa :D

Łatki będą w 4.9.81
https://git.kernel.org/pub/scm/linux/kernel/git/sta … 019934a43c5e6

tylko w "Stretch" bez gcc-7.3, za niewiele to da

Ostatnio edytowany przez arturek (2018-02-12 20:46:50)

sid  4.14.17-1    fixed

btw. a jaja od aptosida nie mają już problemu z blobem od nvidii najnowszym i vmware? Kiedyś za cholerę nie mógł mi zbudować modułów (najnowsze gcc zgodne z hedersem było) i przerzuciłem się na liquorixa (duży plus to, że ZEN ogarnia apparmora w przeciwieństwie do jajek od aptosida)

Ostatnio edytowany przez hi (2018-02-22 02:10:40)

Musisz czekać, aż GGC 7.0.3 wejdzie do Stretcha. Albo zrobić upgrade do tej wersji i zainstalować kernel z Sida.

Źle napisałam, chodzi o 7.3.0. Wystarczy, żeby w backport się znalazło.

Nie wiem, czy ta łatka załatwia problem na GCC 6, jeśli tak, to dobrze, ale dla tych co będą kernel sami kompilować. Reszta musi brać co jest, czyli 4.14 albo 4.15 z Debiana, a tam użyte jest GCC 7.3.0:

cat /proc/version
Linux version 4.14.0-3-amd64 (debian-kernel@lists.debian.org) (gcc version 7.3.0 (Debian 7.3.0-3)) #1 SMP Debian 4.14.17-1 (2018-02-14)