KB4072698: Указания за Windows Server и Azure Stack HCI за защита срещу уязвимости в страничен канал на базата на силициеви схеми и спекулативно изпълнение

Тази статия разглежда следните спекулативни уязвимости при изпълнение:

• CVE-2017-5715 | Branch Target Injection
• CVE-2017-5753 | Заобикаляне на проверка за границите
• CVE-2017-5754 | Фалшиво зареждане на кеша за данни
• CVE-2018-3639 | Спекулативно заобикаляне на магазина

актуализиране на Windows също така ще предостави смекчавания на Internet Explorer и Edge. Ще продължим да подобряваме тези предпазни мерки за този клас уязвимости.

За да научите повече за този клас уязвимости, вж.

• ADV180002 | Указания за намаляване на уязвимостите в страничен канал при спекулативно изпълнение
• ADV180012 | Указания на Microsoft за спекулативно заобикаляне на магазина

На 14 май 2019 г. Intel публикува информация за нов подклас на спекулативни уязвимости в странични канали, известни като Microarchitectural Data Sampling и документирани в ADV190013 | Извадка от микроархитектурни данни. На тях са присвоени следните CVE:

• CVE-2019-11091 | Микроархитектурни данни, извадка, некешируема памет (MDSUM)
• CVE-2018-12126 | Извадка за буферни данни от микроархитектурно хранилище (MSBDS)
• CVE-2018-12127 | Микроархитектурни извадки за данни от буфер за запълване (MFBDS)
• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

Microsoft пусна актуализации, за да помогне със смекчаването на тези уязвимости. За да получите всички налични защити, се изискват актуализации на фърмуера (микрокод) и софтуера. Това може да включва микрокод от OEM на устройства. В някои случаи инсталирането на тези актуализации ще окаже въздействие върху производителността. Също така предприехме действия за защита на нашите услуги в облака. Настоятелно препоръчваме разполагането на тези актуализации.

За повече информация относно този проблем вижте следните съвети за защита и използвайте указания, базирани на сценарии, за определяне на действията, необходими за намаляване на заплахата:

• ADV190013 | Указания на Microsoft за смекчаване на уязвимостите при вземане на извадки от микроархитектурни данни
• Указания за Windows, които да ви помогнат да се защитите срещу уязвимостите в страничен канал при спекулативно изпълнение

На 6 август 2019 г. Intel публикува подробности за уязвимост в разкриването на информация за ядрото на Windows. Тази уязвимост е вариант на уязвимостта на спекулативното изпълнение на вариант 1 Spectre, и й е присвоена CVE-2019-1125.

На 9 юли 2019 г. издадохме актуализации на защитата за операционната система Windows, за да помогнем за смекчаването на този проблем. Имайте предвид, че въздържахме публичното документиране на това смекчаване до координираното оповестяване на индустрията във вторник, 6 август 2019 г.

Клиентите, които са разрешили актуализиране на Windows и са приложили актуализациите на защитата, издадени на 9 юли 2019 г., са защитени автоматично. Не е необходимо допълнително конфигуриране.

За повече информация относно тази уязвимост и приложимите актуализации вж. ръководството за актуализации на защитата на Microsoft:

• CVE-2019-1125 | Уязвимост от разкриване на информация за ядрото на Windows

На 12 ноември 2019 г., Intel публикува техническа препоръка относно уязвимостта с асинхронно прекратяване на транзакция в разширения за синхронизиране на транзакции на Intel® (Intel TSX), на която е присвоена CVE-2019-11135. Microsoft пусна актуализации, за да помогне за смекчаване на тази уязвимост, а защитите на операционната система са разрешени по подразбиране за Windows Server 2019, но са деактивирани по подразбиране за Windows Server 2016 и по-стари издания на Windows Server OS.

На 14 юни 2022 г. публикувахме ADV220002 | Указания на Microsoft относно уязвимостите в остарелите данни на процесор Intel MMIO и да са присвоени следните CVE:

• CVE-2022-21123 | Четене на споделени буферни данни (SBDR)
• CVE-2022-21125 | Извадка от споделен буфер (SBDS)
• CVE-2022-21127 | Специална актуализация за вземане на извадки от буферни данни за регистъра (актуализация на ЕСРР)
• CVE-2022-21166 | Регистър на устройството: частично записване (DRPW)

Препоръчани действия

Трябва да предприемете следните действия за защита от уязвимостите:

1. Приложете всички налични актуализации на операционната система Windows, включително ежемесечните актуализации на защитата на Windows.
2. Приложете приложимата актуализация на фърмуера (микрокода), предоставена от производителя на устройството.
3. Оценете риска за вашата среда въз основа на информацията, предоставена в Съветите за сигурност на Microsoft: ADV180002, ADV180012, ADV190013 и ADV220002, в допълнение към информацията, предоставена в тази база знания статия.
4. Предприемете необходимите действия, като използвате препоръките и информацията за ключове от системния регистър, предоставени в тази статия от базата знания.

На 12 юли 2022 г. публикувахме CVE-2022-23825 | AMD CPU Branch Type Confusion , която описва, че псевдонимите в предсказателя на клона може да накарат определени AMD процесори да предсказват грешен тип клон. Този проблем потенциално може да доведе до разкриване на информация.

За да помогнете за защитата срещу тази уязвимост, препоръчваме да инсталирате актуализации на Windows, които са с дата или след юли 2022 г., и след това да предприемете действия, както се изисква от CVE-2022-23825 и информацията за ключа от системния регистър, която е предоставена в тази статия от базата знания.

За повече информация вж. бюлетина за сигурността на AMD-SB-1037 .

На 8 август 2023 г. публикувахме CVE-2023-20569 | Функция за предсказване на обратен адрес (известен също като Inception), който описва нова спекулативна атака страничен канал, която може да доведе до спекулативно изпълнение на адрес, контролиран от атакуващия. Този проблем засяга някои AMD процесори и потенциално може да доведе до разкриване на информация.

За да помогнете за защитата срещу тази уязвимост, препоръчваме да инсталирате актуализации на Windows, които са с дата след август 2023 г., и след това да предприемете действия, както се изисква от CVE-2023-20569 и информацията за ключа от системния регистър, която е предоставена в тази статия от базата знания.

За повече информация вж. бюлетина за защитата на AMD-SB-7005 .

На 9 април 2024 г. публикувахме CVE-2022-0001 | Intel Branch History Injection , който описва Branch History Injection (BHI), което е специфична форма на вътрешна режима BTI. Тази уязвимост възниква, когато атакуващият може да манипулира хронологията на клона, преди да премине от режим на потребител към режим на супервайзор (или от VMX, който не е root/guest, към основен режим). Тази манипулация може да накара предиктора на непрекия клон да избере конкретен запис за предсказване за непряк клон и преходно ще се изпълни притурка за разкриване на прогнозираната цел. Това може да е възможно, защото съответната хронология на клона може да съдържа клонове, взети в предишен контекст на защита и по-специално други режими на прогнозиране.

По подразбиране защитата от потребител към ядро за CVE-2017-5715 е деактивирана за AMD процесори. Клиентите трябва да разрешат смекчаването, за да получат допълнителни защити за CVE-2017-5715.  За повече информация вижте ЧЗВ #15 в ADV180002.

По подразбиране защитата от потребител към ядро за CVE-2017-5715 е деактивирана за процесори AMD. Клиентите трябва да разрешат смекчаването, за да получат допълнителни защити за CVE-2017-5715.  За повече информация вижте ЧЗВ #15 в ADV180002.

За да разрешите облекчението за CVE-2022-23825 на AMD процесори:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

За да бъдат напълно защитени, може да се наложи клиентите също да забранят Hyper-Threading (известно също като едновременна многонишкова работа (SMT)). Вижте KB4073757 за указания за защита на устройства с Windows.

За да разрешите облекчението за CVE-2023-20569 на AMD процесори:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

За да разрешите облекчението за CVE-2022-0001 на процесори Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

За подробно обяснение на резултата от скрипта на PowerShell вижте KB4074629 .

За да се избегне неблагоприятният ефект върху клиентски устройства, актуализациите на защитата на Windows, които бяха пуснати на пазара през януари и февруари 2018 г., не бяха предложени на всички клиенти. За подробности вижте KB407269 .

Микрокодът се доставя чрез актуализация на фърмуера. Консултирайте се с вашия OEM за версията на фърмуера, която има съответната актуализация за вашия компютър.

Има множество променливи, които влияят на производителността, като се започне от версията на системата и се стигне до изпълняваните работни натоварвания. При някои системи ефектът върху производителността ще бъде незначителен. За други това ще бъде значително.

Препоръчваме ви да оцените ефектите върху производителността на вашите системи и да направите необходимите корекции.

В допълнение към указанията за виртуалните машини в тази статия, трябва да се обърнете към вашия доставчик на услуги, за да се уверите, че хостовете, които изпълняват вашите виртуални машини, са адекватно защитени.

За виртуални машини на Windows Server, които се изпълняват в Azure, вижте Указания за намаляване на уязвимостите в страничен канал при спекулативно изпълнение в Azure. За указания относно използването на Azure Update Management за смекчаване на този проблем на вторични виртуални машини вижте KB4077467.

Актуализациите, които са издадени за изображения на контейнери на Windows Server за Windows Server 2016 и Windows 10, версия 1709, включват смекчавания за този набор от уязвимости. Не се изисква допълнителна конфигурация.

Забележка Все пак трябва да се уверите, че хостът, на който се изпълняват тези контейнери, е конфигуриран да разрешава подходящите смекчавания.

Не, редът на инсталиране няма значение.

Да, трябва да рестартирате компютъра след актуализирането на фърмуера (микрокода) и след това отново след актуализацията на системата.

Ето и подробна информация за ключовете от системния регистър:

FeatureSettingsOverride представлява растерно изображение, което замества настройката по подразбиране и контролира кои смекчавания ще бъдат забранени. Бит 0 управлява смекчаването, което съответства на CVE-2017-5715. Бит 1 управлява смекчаването, което съответства на CVE-2017-5754. Битовете са зададени на 0 , за да се разреши смекчаването, и на 1 , за да се забрани смекчаването.

FeatureSettingsOverrideMask представлява растерна маска, която се използва заедно с FeatureSettingsOverride. В тази ситуация използваме стойността 3 (представена с 11 в двоичната числова система или числовата система с основа 2), за да обозначим първите два бита, които съответстват на наличните смекчавания. Този ключ от системния регистър е зададен на 3 за разрешаване или забраняване на смекчаванията.

MinVmVersionForCpuBasedMitigations е за Hyper-V хостове. Този ключ от системния регистър определя минималната версия на виртуалната машина, която е необходима, за да използвате актуализираните възможности на фърмуера (CVE-2017-5715). Задайте го на 1.0 , за да обхванете всички версии на виртуални машини. Обърнете внимание, че тази стойност в системния регистър ще бъде игнорирана (доброкачествена) на хостове, които не са Hyper-V. За повече подробности вижте "Защита на виртуалните машини гости от CVE-2017-5715 (насочване на клона)".

Да, няма странични ефекти, ако тези настройки на системния регистър са приложени преди инсталирането на корекции, свързани с януари 2018 г.

Вижте подробно описание на резултата от скрипта в KB4074629: Разбиране на изхода на скриптове на PowerShell от SpeculationControl .

Да, за хостове на Windows Server 2016 Hyper-V, които все още нямат налична актуализация на фърмуера, публикувахме алтернативни указания, които могат да помогнат за намаляване на атаките от VM към VM или VM към хост. Вижте Алтернативни защити за хостове на Windows Server 2016 Hyper-V срещу уязвимостите в страничен канал при спекулативно изпълнение.

Актуализациите само на защитата не са кумулативни. В зависимост от версията на операционната система може да се наложи да инсталирате няколко актуализации на защитата за пълна защита. По принцип клиентите ще трябва да инсталират актуализациите от януари, февруари, март и април 2018 г. Системи, които имат AMD процесори, се нуждаят от допълнителна актуализация, както е показано в следната таблица:

Препоръчваме да инсталирате актуализациите само на защитата в реда на тяхното издаване.

Не. Актуализация на защитата KB4078130 е конкретна корекция, за да се предотврати непредсказуемо поведение на системата, проблеми с производителността и неочаквани рестартирания след инсталиране на микрокод. Прилагането на актуализации на защитата на клиентски операционни системи Windows разрешава и трите смекчавания. В операционните системи Windows Server трябва да разрешите смекчаванията, след като сте извършили правилно тестване. За повече информация вижте KB4072698.

Този проблем е разрешен през KB4093118.

През февруари 2018 г. Intel обяви , че са завършили своите проверки и са започнали да пускат микрокод за по-нови платформи на процесори. Microsoft пуска валидирани от Intel актуализации на микрокод, които се отнасят за Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection).  KB4093836 изброява конкретни статии за база знания по версия на Windows. Всяка конкретна статия от Базата знания съдържа наличните актуализации на микрокод на Intel от ЦП.

На 11 януари 2018 г. Intel съобщи за проблеми в наскоро издадения микрокод, предназначен за Spectre, вариант 2 (CVE-2017-5715 | Branch Target Injection). По-конкретно Intel отбеляза, че този код може да доведе до "по-чести от очакваното рестартирания и друго непредвидимо поведение на системата" и че тези сценарии може да причинят "загуба на данни или повреда". Нашият опит показва, че нестабилност на система може да доведе до загуба на данни или повреда при определени обстоятелства. На 22 януари Intel препоръча на клиентите да спрат с внедряването на текущата версия на микрокода на засегнатите процесори, докато Intel извършва допълнително тестване на актуализираното решение. Разбираме, че Intel продължава да проучва потенциалния ефект от текущата версия на микрокода. Насърчаваме клиентите да преглеждат насоките им редовно, за да се информират за решенията им.

Докато Intel прави тестове, актуализации и внедрява новия микрокод, предоставяме извънредна (OOB) актуализация KB4078130, която специфично деактивира единствено облекчението срещу CVE-2017-5715. Нашите тестове показаха, че тази актуализация предотвратява описаното поведение. За пълен списък с устройства вижте указанията за поправка на микрокода от Intel. Тази актуализация включва Windows 7 Service Pack 1 (SP1), Windows 8.1 и всички версии на Windows 10, както на клиента, така и на сървъра. Ако работите със засегнато устройство, тази актуализация може да се приложи, като я изтеглите от уебсайта на каталога на Microsoft Update. Прилагането на този полезен обем специфично деактивира само облекчението срещу CVE-2017-5715.

Към този момент няма известни отчети, които да указват, че този Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection) са били използвани за атака клиенти. Препоръчваме, когато е подходящо, потребителите на Windows да активират отново облекчението срещу CVE-2017-5715, когато Intel съобщи, че това непредсказуемо поведение на системата е отстранено за вашето устройство.

През февруари 2018 г. Intel обяви , че са завършили своите проверки и са започнали да пускат микрокод за по-нови платформи на процесори. Microsoft пуска валидирани от Intel актуализации на микрокод, които са свързани с Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection). KB4093836 изброява конкретни статии за база знания по версия на Windows. В KB са изброени налични актуализации на микрокод на Intel по ЦП.

За повече информация вижте Актуализации на AMD Security и Техническа документация на AMD: Указания за архитектура около Indirect Branch Control . Те се предлагат от канала за фърмуер на OEM.

Предоставяме валидирани от Intel актуализации на микрокод, които се отнасят за Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection). За да получат най-новите актуализации на микрокод на Intel чрез актуализиране на Windows, клиентите трябва да са инсталирали микрокод на Intel на устройства, работещи с операционна система на Windows 10 преди надстройването до актуализацията на Windows 10 от април 2018 г. (версия 1803).

Актуализацията на микрокод е също така налична директно от каталога на Microsoft Update, ако не е инсталирана на устройството преди надстройването на системата. Микрокодът на Intel е наличен чрез актуализиране на Windows, Windows Server Update Services (WSUS) или каталога на Microsoft Update. За повече информация и за да изтеглите инструкции, вж. KB4100347.

За повече информация вижте следните ресурси:

• ADV180012 | Указания на Microsoft за спекулативно заобикаляне на Store за CVE-2018-3639
• ADV180013 | Указания на Microsoft за фалшив системен регистър Прочетете за CVE-2018-3640 и KB 4073065 | Указания за клиенти на Surface
• Блог на Microsoft за научни изследвания и защита на защитата
• Указания за разработчици за спекулативно заобикаляне на магазина

Вижте разделите "Препоръчителни действия" и "ЧЗВ" на ADV180012 | Указания на Microsoft за спекулативно заобикаляне на магазина.

За да се провери състоянието на SSBD, скриптът PowerShell Get-SpeculationControlSettings е актуализиран да открива засегнати процесори, състоянието на актуализациите на операционната система SSBD и състоянието на микрокода на процесора, ако е приложимо. За повече информация и за получаване на скрипта на PowerShell вижте KB4074629.

На 13 юни 2018 г. беше обявена допълнителна уязвимост, която включва спекулативно изпълнение в страничен канал, известна като Lazy FP State Restore, и на нея беше присвоена CVE-2018-3665 . За информация относно тази уязвимост и препоръчителните действия вж. Съветника за сигурност ADV180016 | Указания на Microsoft за възстановяване на състоянието на Lazy FP .

Забележка Няма задължителни настройки за конфигурация (системен регистър) за Lazy Restore FP Restore.

Магазинът за заобикаляне на проверката за граници (BCBS) е оповестен на 10 юли 2018 г. и му е присвоен CVE-2018-3693. Считаме, че BCBS принадлежат към същия клас уязвимости като заобикалянето на проверката за граници (вариант 1). Към момента не ни е известно за никакви случаи на BCBS в нашия софтуер. Въпреки това продължаваме да проучваме този клас уязвимости и ще работим с партньори в отрасъла, за да пуснем мерки за смекчаване на последствията, както е необходимо. Насърчаваме изследователите да подават всички съответни констатации на програмата за възнаграждения за странични канали за спекулативно изпълнение на Microsoft, включително всички екземпляри на BCBS, които могат да се използват. Разработчиците на софтуер трябва да прегледат указанията за разработчици, които са актуализирани за BCBS в C++ Указания за разработчици за спекулативни странични канали за изпълнение

На 14 август 2018 г. е обявена клемна грешка L1 (L1TF), на която са присвоени няколко CVE. Тези нови уязвимости в страничен канал при спекулативно изпълнение могат да се използват за четене на съдържанието на паметта отвъд надеждна граница и ако бъдат използвани, могат да доведат до разкриване на информация. Съществуват множество вектори, чрез които атакуващият може да активира уязвимостите, в зависимост от конфигурираната среда. L1TF засяга процесори Intel® Core® и процесори Intel® Xeon®.

За повече информация относно тази уязвимост и подробен преглед на засегнатите сценарии, включително подхода на Microsoft за намаляване на L1TF, вижте следните ресурси:

• ADV180018 | Указания на Microsoft за намаляване на L1TF вариант
• Security Advisory Security Research Blog
• Указания за сървъра за повреда в терминал L1

Стъпките за забраняване на Hyper-Threading се различават от OEM до OEM, но обикновено са част от BIOS или фърмуер настройка и инструменти за конфигуриране.

Клиентите, които използват 64-битови ARM процесори, трябва да се свържат с OEM на устройството за поддръжка на фърмуера, тъй като защитата на операционната система ARM64, която намалява CVE-2017-5715 | Branch Target Injection (Spectre, Variant 2) изискват най-новата актуализация на фърмуера от OEM устройства, за да влезе в сила.

За повече информация вижте следните съобщения за защитата

• Съветник за сигурността на Intel
• ADV190013 | Указания на Microsoft за смекчаване на уязвимостите при вземане на извадки от микроархитектурни данни

Допълнителни указания можете да намерите в указанията на Windows за защита срещу уязвимостите в страничен канал при спекулативно изпълнение

Вижте указанията в указанията на Windows за защита срещу уязвимостите в страничен канал при спекулативно изпълнение

За указания за Azure вижте тази статия: Указания за намаляване на уязвимостите в страничен канал при спекулативно изпълнение в Azure.

За повече информация относно активирането на Retpoline вижте нашата публикация в блога: Предпазни мерки за Spectre variant 2 с Retpoline в Windows .

За повече информация относно тази уязвимост вж. ръководството на защитата на Microsoft: CVE-2019-1125 | Уязвимост от разкриване на информация за ядрото на Windows.

Не ни е известно за случай на тази уязвимост при разкриване на информация, засягаща инфраструктурата ни за услуги в облака.

Веднага щом научихме за този проблем, работихме бързо, за да го разрешим и да издадем актуализация. Силно вярваме в тесните партньорства както с изследователи, така и с партньори в бранша, за да направим клиентите по-защитени, и публикувахме подробности едва във вторник, 6 август, в съответствие с координираните практики за разкриване на уязвимости.

Допълнителни указания можете да намерите в указанията на Windows, за да се защитите срещу уязвимостите в страничен канал при спекулативно изпълнение.

Допълнителни указания можете да намерите в указанията на Windows, за да се защитите срещу уязвимостите в страничен канал при спекулативно изпълнение.

Допълнителни указания можете да намерите в Указания за забраняване на възможността за разширения за синхронизиране на транзакции на Intel (Intel TSX).

Продуктите на други разработчици, обсъждани в тази статия, са произведени от независими от Microsoft фирми. Не даваме никаква подразбираща се или друга гаранция относно производителността или надеждността на тези продукти.

Предоставяме информация за връзка с трети лица, за да ви помогнем да намерите техническа поддръжка. Тази информация за връзка може да се промени без предизвестие. Не гарантираме точността на тази информация за връзка на трети лица.