-----BEGIN PGP签名邮件------散列：SHA256阿鲁巴产品安全咨询================================咨询ID:Aruba-PSA-2018-001 CVE:CVE-2017-5715，CVE-2017-5753，CVE-2017-5754发布日期：2018-1-04状态：已确认修订：1标题====通过CPU侧通道攻击（“熔毁”和“Spectre”）概述==============多个现代CPU体系结构中存在漏洞，攻击者可以通过这些漏洞读取内存内容。根据产品的访问方式，Aruba产品不受这些漏洞的影响。受影响的产品===========================================--None（有关详细信息和注意事项，请参阅下文）详情=============关于“熔毁”和“幽灵”的全部详情“可在以下URL中找到漏洞：-https://meltdownattack.com/ - https://googleprojectzero.blogspot.co.at/2018/01/reading-privileged-memory-with-side.html Aruba产品基于许多不同的CPU架构，其中一些受到漏洞的影响。但是，阿鲁巴产品不允许未经授权的用户执行任意代码。为了利用此漏洞，攻击者需要具备此能力。实现代码执行需要存在第二个不相关的漏洞，并且这种漏洞可能已经允许在不需要进一步利用的情况下破坏系统。以上声明的注意事项：虚拟设备：ClearPass策略管理器、AirWave、Mobility Master、虚拟移动控制器和IntroSpect数据包处理器都可以作为虚拟设备，在虚拟机监控程序下作为来宾运行。如果虚拟机监控程序易受攻击，且不受信任的用户可以访问在同一虚拟机监控程序下运行的其他来宾系统，则攻击者可能能够从Aruba虚拟设备读取内存。请与虚拟化供应商联系以确定是否有可用的更新。Aruba 8320/8400：该产品为授权管理员提供了运行脚本的能力，这些脚本可用于攻击该漏洞。但是，有权运行脚本的管理员已经拥有完全的管理权限，可以控制系统的任何方面。因此，该漏洞不会导致任何形式的信息泄露或权限提升。云产品：阿鲁巴支持Central、Activate和Meridian等产品的云提供商已通知阿鲁巴，他们正在或已经向其虚拟化环境应用缓解补丁。解决方法===========无需立即采取行动。作为纵深防御战略的一部分，阿鲁巴将调查内核补丁、CPU微码更新和其他缓解措施，并可能在未来的软件更新中部署这些措施。然而，已知一些缓解技术会显著降低系统性能。因此，考虑到有限的安全风险，阿鲁巴将在发布更新之前花时间仔细测试任何缓解技术对可伸缩性的影响。变通办法==============无需变通办法。开发和公开讨论===============================================================================阿鲁巴意识到公众对这一问题的重大讨论。概念验证代码已经发布。所有公布的规范均不适用于阿鲁巴产品。修订历史=====================================修订版1/2018-1-04/首次发布Aruba SIRT安全程序=====================================================================================关于报告Aruba Networks产品中安全漏洞的完整信息，可通过以下网址获得安全事件方面的协助：//www.nexbus-cng.com/support-services/security-bulletins/ 对于报告*新*阿鲁巴网络安全问题，可将电子邮件发送至Aruba sirt（at）hpe.com。对于敏感信息，我们鼓励使用PGP加密。我们的公钥可在以下网址找到：//www.nexbus-cng.com/support-services/security-bulletins/ （c） 2018年版权归Hewlett-Packard企业公司Aruba所有。本公告可在正文顶部给出的发布日期后自由重新分发，前提是重新分发的副本完整且未经修改，包括所有日期和版本信息-----开始PGP签名------版本：GnuPG v2 IQECBAEBCAAGBQJATPF9AOJEJJ+CcpFhYbZUH8IALKycb8fmt9Vc89O7tYdczoy qPhzPGVx/FX8HQGHCNRMBKDCTJAKLJOZJBPK8AU1WCW/A5l17qRJoDrxLxGOI3n 9LAABQSVDBTADRXGWMISMEGNTR9V8FUOHGY4DUASYQ+STYJRUVK8WC+XXHKJR0T LJRZHZZKKKW2WXS2MHZQCXVNP0SQG8GHG7MAKZJJ0J0JJ0J0J0JJJ0J0J0JJ0KKKZZZZZZZZZZZ2/JPWZB3VAYWQZVMAET0JV4HL9LUDKYDFKXI5J1DFVTQWKWKWKWQH1C9WKL1R2MC1RYQKW K9CxSNj5Ks/X54EKU4Oiwreba35VV8UUU9YKMQW6SoasibhuckwJR2SFR9WXE8C==dqZf-----结束PGP签名-----