News AMD Epyc: Kritisches Sicherheitsleck in Server-CPUs geschlossen

[MaverickM]

Wir haben betroffene PowerEdge Server von Dell und von Dell ist der Fix erst seit vorgestern (3 Feb) verfügbar.

Dann hau Dell das um die Ohren. Wie im Artikel steht war der Fix seit Mitte Dezember verfügbar. Wenn Dell so lange braucht, um das für ihre Kisten zu validieren, ist das deren Problem. Bei so schlechtem Support im Fall einer als "High Risk" eingestuften Sicherheitslücke würde ich bei der nächsten Evaluierung bezüglich einer Anschaffung mir zwei mal überlegen, noch einmal auf Dell zu setzen.

Im übrigen werden die Epyc CPUs ja auch einzeln verkauft, nicht nur in Fertig-Systemen der großen SIs. Wer seinen Epyc selbst auf ein Supermicro Board schnallt, konnte das Update schon lange einspielen.

Ergänzung (5. Februar 2025)

vielleicht so wie im Text zitiert....?

Hast Du den Text denn auch richtig gelesen?
Und aus welchem Grund sollte noch länger gewartet werden?

 

[Marflowah]

Hast Du den Text denn auch richtig gelesen?
Und aus welchem Grund sollte noch länger gewartet werden?

Du willst mich trollen, oder? Ich hab aus dem Text zitiert, also muss ich ihn ja vorher gelesen haben. Logisch oder? Und jetzt zitiere ich ihn für dich erneut:

Die Google-Forscher haben aber noch nicht alle Details verraten und wollen dies erst am 5. März tun, um weitere Zeit zur Festigung der Systeme zu gewähren.

Wie lange gewartet wird mit der Preisgabe von Details, ist nicht auf meinem Mist gewachsen, sondern war eine Aussage von Google (siehe Zitat).

Ich denke eher, du scheinst meine Frage nicht verstanden zu haben.
Sie bezog sich darauf, warum man sagt, man gibt den betroffenen Firmen Zeit für die Implementierung von Fixes bis zum Zeitpunkt X (05. März) - um dann aber doch schon vor besagtem Zeitpunkt X Details auszuplaudern, die potentiellen Hackern die Möglichkeit bieten, den "Ort" oder andere grobe Umrisse der Schwachstelle einzugrenzen und damit eher zu finden und auszunutzen.

Soll heißen: Entweder man hält sich daran, dass man bis 05. März gar nichts über die Schwachstelle öffentlich macht, oder man gibt den betroffenen Konzernen von Anfang an nur bis Ende Januar zur Festigung der Systeme Zeit.

 

[MaverickM]

man gibt den betroffenen Firmen Zeit für die Implementierung von Fixes bis zum Zeitpunkt X

Die hatten sie. Der Fix wurde Mitte Dezember veröffentlicht und man hatte jetzt bis Anfang Februar Zeit, den auszurollen. Das ist mehr als lange genug Zeit (Außer man heißt offenbar Dell...).

Vielleicht doch etwas sorgfältiger lesen...

 

[Cool Master]

Wie gesagt ASRock Rack hat auch noch kein fix, zumindest nicht auf der Webseite.

 

[MaverickM]

@Cool Master
Schon traurig.

 

[Marflowah]

OK @MaverickM Also ist der von Google genannte 5.März (den du in deinen Argumenten stets ausgeblendet hast) nur als Scherz zu verstehen, weil darum.


Wie gesagt, soll man den gesetzten spätesten Zeitpunkt doch gleich enger setzen (in dem Fall von März auf Januar.

 

[MaverickM]

soll man den gesetzten spätesten Zeitpunkt doch gleich enger setzen (in dem Fall von März auf Januar.

Und was soll das bringen!?