Per rispondere alla domanda che hai originariamente chiesto: se stai eseguendo o meno codice non fidato, se vuoi proteggerti da Meltdown o Spectre, devi ancora aggiornare il tuo kernel, anche se il tuo provider di cloud ha corretto le patch hypervisor sottostante .
L' annuncio del cliente GCE (collegato dalla post sul blog di sicurezza di Google , che è un po 'leggero sui dettagli ma anche link a l'annullamento del progetto zero che è completo) dice in "Stato di mitigazione":
Infrastructure patched against known attacks. Customers must patch/update guest environment.
Se non ti fidi di Google, AWS ha il proprio bollettino sulla sicurezza che afferma:
While the updates AWS performs protect underlying infrastructure, in order to be fully protected against these issues, customers must also patch their instance operating systems. Updates for Amazon Linux have been made available, and instructions for updating existing instances are provided further below along with any other AWS-related guidance relevant to this bulletin.
Il motivo per cui questo è necessario è perché la paravirtualizzazione consente al kernel guest di avere il controllo del TLB nella CPU direttamente, senza la mediazione dall'hypervisor (è uno dei principali miglioramenti delle prestazioni del paravirt su tutto il virt, insieme al diretto I / O). Pertanto, se il kernel del SO guest non implementa le attenuazioni, i processi in esecuzione nella VM possono ancora prelevare dati dal kernel e da altri processi in esecuzione nello stesso guest.
La risposta alla domanda seconda che hai modificato la tua domanda da aggiungere, a seconda che tu sia a rischio dai tuoi vicini, sembra essere, con le informazioni attualmente disponibili, "no" . La risposta alla terza domanda, apparentemente implicita, relativa all'opportunità di applicare una patch ora o nel normale ciclo di patch, non risponde alle informazioni fornite, poiché è profondamente radicata nel profilo di rischio della propria organizzazione e nei modelli di minaccia, e direi che stai confinando "principalmente basato sull'opinione pubblica" con quello.