تحديثات intel-microcode في دبيان (DSA-6030-1 وDSA-5924-1): إصلاحات معالجات Intel وطريقة تطبيقها

توزّع دبيان الشيفرة المصغّرة (microcode) لمعالجات Intel في الحزمة intel-microcode. وقد حدّثها تحذيران أمنيان في 2025: DSA-5924-1 في 23 مايو 2025 لدبيان 12 (bookworm)، وDSA-6030-1 في 22 أكتوبر 2025 لـ bookworm ودبيان 13 (trixie). تُحمَّل الشيفرة المصغّرة في المعالج عند كل إقلاع، لذا لا تهم هذه التحديثات إلا الأجهزة ذات معالجات Intel، ولا تسري إلا بعد إعادة التشغيل.

نظرة سريعة

ما طبيعة الثغرات؟

يوفّر DSA-6030-1، بحسب عبارة دبيان، تخفيفات لثغرات أمنية قد تؤدي إلى رفع الصلاحيات أو إيقاف الخدمة. وتُظهر أوصاف Intel أن معظم الثغرات التسع تخص معالجات Xeon للخوادم، وبعضها لا يظهر إلا عند استخدام SGX أو TDX، وكثير منها يتطلب مستخدمًا محليًا يملك صلاحيات مرتفعة أصلًا. وأعلاها تقييمًا CVE-2025-20109، وهي خلل في العزل داخل ذاكرة stream cache في بعض معالجات Intel قد يسمح لمستخدم محلي موثَّق برفع صلاحياته.

أما DSA-5924-1 فيعالج ثغرة اختيار الهدف غير المباشر (ITS، CVE-2024-28956) وثغرة حقن صلاحيات التفرّع (CVE-2024-45332)، وهما مسألتان في التنفيذ العابر قد تكشفان معلومات حساسة لمستخدم محلي (درجة كل منهما 5.6 وفق تقييم Intel بـ CVSS 3.1). وقد نبّهت دبيان إلى أن التخفيف الكامل لثغرة ITS احتاج أيضًا إلى تحديث نواة لينكس الذي صدر منفصلًا، فأبقِ النواة محدَّثة كذلك.

ولا توجد أي من هذه الثغرات في كتالوج CISA للثغرات المستغلة فعليًا.

هل أنت متأثر؟

لا تستخدم هذه الحزمة إلا الأنظمة ذات معالجات Intel. تحقق من المعالج والحزمة ونسخة الشيفرة المصغّرة التي حمّلتها النواة:

grep -m1 'model name' /proc/cpuinfo
dpkg-query -W -f='${Package} ${Version}\n' intel-microcode
apt policy intel-microcode
grep -m1 microcode /proc/cpuinfo
sudo journalctl -b -k | grep 'microcode:'

يُظهر الأمر الأخير ما إذا كانت النواة قد طبّقت تحديث الشيفرة المصغّرة مبكرًا في الإقلاع الحالي. وتُطبَّق الشيفرة المصغّرة على المعالج الفعلي، فإن كان نظام دبيان لديك جهازًا افتراضيًا فالمعالج الفعلي يديره مشغّل المضيف، لذا اسأله عن طريقة تعامله مع تحديثات الشيفرة المصغّرة وBIOS في المضيف.

كيف تحدّث؟

توجد الحزمة في المكوّن non-free-firmware، فيجب تفعيله في مصادر APT. ثم نفّذ:

sudo apt update
sudo apt install --only-upgrade intel-microcode
apt policy intel-microcode

أصدرت دبيان لاحقًا نسخة أحدث من الشيفرة المصغّرة عبر الإصدارات النقطية للإصدار المستقر (نسخ 3.20251111.1 للإصدارين)، وهي تتضمن هذه الإصلاحات. كما يُدرج المتتبع عدة ثغرات أحدث لدى Intel بوصفها مفتوحة ومؤجلة في bookworm وtrixie، أي أن إصلاحها متوقع في تحديث لاحق لا في تحذير DSA عاجل. أما أنظمة AMD فتستخدم حزمة منفصلة هي amd64-microcode.

إعادة تشغيل الخدمة أم الخادم؟

أعد تشغيل الخادم. يوضح ملف README الخاص بالحزمة أن التحديث على نظام دبيان الافتراضي (نواة دبيان وGRUB وinitramfs-tools) يُطبَّق في «الوضع المبكر» من initramfs أثناء الإقلاع. ويصف الملف أيضًا طريقة لإعادة التحميل يدويًا دون إعادة تشغيل، لكنه يحذّر من أنها لم تعد آمنة عمومًا، فلا تستخدمها على خوادم الإنتاج.

وإذا اضطرب سلوك جهاز بعد تحديث الشيفرة المصغّرة، وهو أمر يصفه الملف بأنه نادر جدًا، فيمكنك الإقلاع مرة واحدة مع معامل النواة dis_ucode_ldr لتخطي تحميلها، ثم إزالة الحزمة أو الرجوع إلى نسخة أقدم.

المصادر

• security-tracker.debian.org/tracker/DSA-6030-1
• lists.debian.org/debian-security-announce/2025/msg00196.html
• debian.org/security/2025/dsa-6030
• security-tracker.debian.org/tracker/DSA-5924-1
• lists.debian.org/debian-security-announce/2025/msg00087.html
• debian.org/security/2025/dsa-5924
• security-tracker.debian.org/tracker/source-package/intel-microcode
• cve.org/CVERecord?id=CVE-2025-20109
• cve.org/CVERecord?id=CVE-2025-22889
• cve.org/CVERecord?id=CVE-2024-28956
• cve.org/CVERecord?id=CVE-2024-45332
• wiki.debian.org/Microcode
• sources.debian.org/data/non-free-firmware/i/intel-microcode/3.20251111.1~deb13u1/debian...
• cisa.gov/known-exploited-vulnerabilities-catalog