VMware: Comprobar mediante PowerCLI si necesitamos realizar los pasos de Intel Sighting, además de si estamos protegidos de Spectre

Saludos amigos, la semana pasada hablábamos del parche de VMware para ESXi llamado en VMware VMSA-2018-0004:

• VMware: VMware lanza parche de seguridad ESXi 6.5 U1e (ESXi650-201801001) para ESXi 6.5, 6.0 y 5.5 – CVE-2017-5715 (Spectre)

Este parche que incluía también la corrección de microcodigo del procesador ha estado ocasionando problemas, y ha sido Intel quien ha dado la voz de alarma, por lo que VMware eliminaba este parche de su portal de descargas y lanzaba este KB para los clientes que tengan procesadores Intel Haswell o Broadwell, adjunto la tabla de procesadores a los que si habéis aplicado el parche del otro día, necesitáis seguir leyendo:

William Lam al rescate

Con este cacao bueno que VMware e Intel han montado lanzando KBs y patches que afectan negativamente a ciertos modelos, etc. Lo mejor que nos podía pasar es que William Lam lanzara unos Scripts para comprobar todo y quedarnos tranquilos.

Instalando PowerCLI con un solo click

En caso de que no tuviéramos ya la última versión de PowerCLI, aquí los pasos de cómo instalarlo:

• https://www.powershellgallery.com/packages/VMware.PowerCLI/6.5.4.7155375

Importaremos los módulos del script de William:

C:\Users\Administrator\Downloads> Import-Module .\VerifyESXiMicrocodePatch.ps1 -Force
Security warning
Run only scripts that you trust. While scripts from the internet can be useful, this script can potentially harm your
computer. If you trust this script, use the Unblock-File cmdlet to allow the script to run without this warning
message. Do you want to run C:\Users\Administrator\Downloads\VerifyESXiMicrocodePatch.ps1?
[D] Do not run  [R] Run once  [S] Suspend  [?] Help (default is "D"): R

Y ahora ya podremos continuar con los siguientes pasos.

Comprobando Spectre y el estado de Intel Sighting

Vamos por partes, lo primero que haremos será descargar el script de William llamado VerifyESXiMicrocodePatch.ps1 que contiene las siguientes funciones para lanzar:

• Verify-ESXiMicrocodePatch
• Verify-ESXiMicrocodePatchAndVM
  

Verificando nuestros ESXi con Verify-ESXiMicrocodePatch

Verify-ESXiMicrocodePatch sólo verifica que el microcódigo ESXi ha sido aplicado (esto podría haber sido una actualización de BIOS/Firmware del proveedor de hardware) pero como he mencionado anteriormente, también está incluido dentro del parche ESXi. También verifica que una de las tres nuevas características de la CPU está expuesta al host ESXi y también verá una columna Afectada para cada host ESXi.

Podemos lanzarlo de tres maneras diferentes:

1. Si no pasamos ningún parámetro, entonces consultará todos los hosts ESXi para un determinado entorno vSphere cuando esté conectado a un vCenter Server o a un host ESXi específico si está conectado directamente a un host.
2. Podremos limitar el alcance al proporcionar un Cluster vSphere específico usando el parámetro -ClusterName
3. O, finalmente, podemos comprobar un host ESXi particular usando el parámetro -VMhostName

Por ejemplo, este es el resultado del comando en mi entorno de dos Hosts, en este resultados vemos cosas muy interesantes. Por un lado tengo los dos Host parcheados para Spectre, el Supermicro ha incluido el microcodigo para el procesador y vemos las nuevas instrucciones de la CPU todas disponibles, con lo que estoy protegido. Por suerte ninguno de los dos tiene el IntelSigthing, aunque el HP no ha sido suficiente el parche de VMware y habrá que esperar que HP lanza nueva BIOS para corregir Spectre en sus CPU:

 C:\Users\Administrator\Downloads> Verify-ESXiMicrocodePatch

VMHost                  CPU                                       IBRPresent IBPBPresent STIBPresent Affected IntelSighting
------                  ---                                       ---------- ----------- ----------- -------- -------------
esxi-zlon-001.zimbra.io Intel(R) Xeon(R) CPU E3-1230 V2 @ 3.30GHz      False       False       False     True     False
esxi-zlon-002.zimbra.io Intel(R) Xeon(R) CPU D-1540 @ 2.00GHz           True        True        True    False     False

Verificando nuestras GuestVM con Verify-ESXiMicrocodePatchandVM

Verify-ESXiMicrocodePatchAndVM puede ejecutarse de tres maneras también:

1. Si no pasa ningún parámetro, entonces consultará todos los VMs para un entorno vSphere dado, ya sea que se esté conectando a un servidor vCenter Server o directamente a un host ESXi específico.
2. Podemos limitar el alcance proporcionando un vSphere Cluster específico usando el parámetro -ClusterName
3. O, finalmente, podemos comprobar un VM particular usando el parámetro -VMName

Este es el resultado de mis VMs, el script solo comprueba las que están en Poweron, para que aparezcan no vulnerables tendremos que:

• Tener parcheado el microcodigo del procesador
• Tener parcheado cada OS que tenemos en las VM, Windows, Linux, etc.
• Hacer un power cycle de las VM, no sirve con un reboot del sistema operativo

Una vez cumplimos con esto, las VM pueden acceder a los nuevos valores del microcodigo, como vemos aquí:

 C:\Users\Administrator\Downloads> Verify-ESXiMicrocodePatchAndVM

VM           IBRPresent IBPBPresent STIBPresent vHW    Affected
--           ---------- ----------- ----------- ---    --------
AD                 True        True        True vmx-11    False
HTML5 FLING        True        True        True vmx-11    False
PFSENSE-FW         True        True        True vmx-13    False
PHP-IPAM           True        True        True vmx-11    False
PRTG               True        True        True vmx-11    False
TIG-MONITOR        True        True        True vmx-11    False
VCSA_6.5           True        True        True vmx-10    False
Veeam-B&R-v9       True        True        True vmx-11    False
w2016              True        True        True vmx-13    False
ZMLD01             True        True        True vmx-11    False
ZMMB01             True        True        True vmx-11    False
ZMMT01             True        True        True vmx-11    False

Solución temporal para aquellos afectados por Intel Sighting

VMware, en su KB 52345, nos menciona un proceso que podemos realizar de manera manual en todos los Hosts ESXi a los que hemos aplicado el parche VMSA-2018-0004 y que estén afectados por el bug que Intel ha encontrado, los pasos son estos:

• En cada host ESXi afectado, añadir la siguiente línea en el fichero /etc/vmware/config:

cpuid.7.edx = "----:00--:----:----:----:----:----:----"

• https://www.virtuallyghetto.com/2018/01/automating-intel-sighting-remediation-using-powercli-ssh-not-required.html

Espero que os guste y seguiré informando sobre este importante tema.