CMS1000・BE6000のCVE-2018-3646への対応について

[Yusuke_Hayashibe]

お世話になっております。1点ご質問がございます。

CMS1000M5とBE6000M5をESXi 6.5 U2へアップグレードしたところ、以下の文面が表示されました。

「このホストにはCVE-2018-3646で記述されている問題に対する脆弱性があります。 詳細およびVMwareの推奨については、https://kb.vmware.com/s/article/55636を参照してください」

調べたところ「ESXi サイドチャネル対応スケジューラの有効化」を行うことで、対処可能とのことでしたが、

本対応を行うとパフォーマンスの低下の恐れがあるとの記載を見つけました。
「Our tests showed that after enabling the ESXi Side-Channel-Aware Scheduler the maximum performance capacity of the host can diminish by as much as 30%, depending on the workloads, host utilization, and processors used within the host. It is important to note that this does not necessarily translate to a 30% reduction in application performance.」

https://kb.vmware.com/s/article/55767?lang=ja%3Fsrc%3Dvmw_so_vex_ykawa_822

BE6000M5に関してはリソースに余裕があるので、多少のパフォーマンスの低下は許容範囲ですが、

CMS1000M5のパフォーマンスの低下により、CMSの最大参加数が下がってしまうことを懸念しています。

貴社として検証等は行っておりますでしょうか。

以上、宜しくお願いいたします。

[Yuki Iwagishi · Accepted solution]

本件に関して弊社から公開している情報は

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180814-cpusidechannel

A Cisco product that may be deployed as a virtual machine or a container, even while not directly affected by any of these vulnerabilities, could be targeted by such attacks if the hosting environment is vulnerable. Cisco recommends that customers harden their virtual environments, tightly control user access, and ensure that all security updates are installed. Customers who are deploying products as a virtual device in multi-tenant hosting environments should ensure that the underlying hardware, as well as the operating system or hypervisor, is patched against the vulnerabilities in question.

となります。

攻撃を受けた場合の影響に関して調査などはありませんが、攻撃を受けないような環境を作ることで回避可能と考えております。

一般論でいうと CMS 1000 に他アプリなどを起動することはありませんので問題はありません。

よろしくお願いいたします。