KB4073119: Указания за клиенти на Windows за ИТ професионалисти, които да ви помагат да се защитите срещу уязвимости в страничен канал на микроархитектура, базирани на силициеви чипове, и спекулативно изпълнение

На 14 май 2019 г. Intel публикува информация за нов подклас на спекулативни уязвимости в странични канали, известни като извадка на микроархитектурни данни. Тези уязвимости са адресирани в следните CVE:

• CVE-2019-11091 | Микроархитектурни данни, извадка, некешируема памет (MDSUM)
• CVE-2018-12126 | Извадка за буферни данни от микроархитектурно хранилище (MSBDS)
• CVE-2018-12127 | Микроархитектурни извадки за данни от буфер за запълване (MFBDS)
• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

Издадохме актуализации, за да помогнем за смекчаването на тези уязвимости. За да получите всички налични защити, се изискват актуализации на фърмуера (микрокод) и софтуера. Това може да включва микрокод от OEM на устройства. В някои случаи инсталирането на тези актуализации ще окаже въздействие върху производителността. Също така предприехме действия за защита на нашите услуги в облака. Настоятелно препоръчваме разполагането на тези актуализации.

За повече информация относно този проблем вижте следните съвети за защита и използвайте указания, базирани на сценарии, за определяне на действията, необходими за намаляване на заплахата:

• ADV190013 | Указания на Microsoft за смекчаване на уязвимостите при вземане на извадки от микроархитектурни данни
• Указания за Windows, които да ви помогнат да се защитите срещу уязвимостите в страничен канал при спекулативно изпълнение

На 6 август 2019 г. Intel публикува подробности за уязвимост в разкриването на информация за ядрото на Windows. Тази уязвимост е вариант на уязвимостта на спекулативния канал за изпълнение на вариант 1 на Spectre и й е присвоена CVE-2019-1125.

На 9 юли 2019 г. издадохме актуализации на защитата за операционната система Windows, за да помогнем за смекчаването на този проблем. Имайте предвид, че въздържахме публичното документиране на това смекчаване до координираното оповестяване на индустрията във вторник, 6 август 2019 г.

Клиентите, които са разрешили актуализиране на Windows и са приложили актуализациите на защитата, издадени на 9 юли 2019 г., са защитени автоматично. Не е необходимо допълнително конфигуриране.

За повече информация относно тази уязвимост и приложимите актуализации вж. ръководството за актуализации на защитата на Microsoft:

• CVE-2019-1125 | Уязвимост от разкриване на информация за ядрото на Windows

На 12 ноември 2019 г., Intel публикува техническа препоръка относно уязвимостта с асинхронно прекратяване на транзакция в разширения за синхронизиране на транзакции на Intel (Intel TSX), на която е присвоена CVE-2019-11135. Издадохме актуализации, за да помогнем със смекчаването на тази уязвимост. По подразбиране защитите на ОС са разрешени за изданията на ОС на Windows Client.

На 14 юни 2022 г. публикувахме ADV220002 | Указания на Microsoft относно уязвимостите в остарели данни на процесор Intel MMIO. Уязвимостите се присвояват в следните CVE:

• CVE-2022-21123 | Четене на споделени буферни данни (SBDR)
• CVE-2022-21125 | Извадка от споделен буфер (SBDS)
• CVE-2022-21127 | Специална актуализация за вземане на извадки от буферни данни за регистъра (актуализация на ЕСРР)
• CVE-2022-21166 | Регистър на устройството: частично записване (DRPW)

Препоръчани действия

Трябва да предприемете следните действия за защита срещу тези уязвимости:

1. Приложете всички налични актуализации на операционната система Windows, включително ежемесечните актуализации на защитата на Windows.
2. Приложете приложимата актуализация на фърмуера (микрокода), предоставена от производителя на устройството.
3. Оценете риска за вашата среда въз основа на информацията, предоставена в Съветите за сигурност на Microsoft ADV180002, ADV180012, ADV190013 и ADV220002, в допълнение към информацията, предоставена в тази статия.
4. Предприемете необходимите действия, като използвате препоръките и информацията за ключове от системния регистър, предоставени в тази статия.

На 12 юли 2022 г. публикувахме CVE-2022-23825 | AMD CPU Branch Type Confusion , която описва, че псевдонимите в предсказателя на клона може да накарат определени AMD процесори да предсказват грешен тип клон. Този проблем потенциално може да доведе до разкриване на информация.

За да помогнете за защитата срещу тази уязвимост, препоръчваме да инсталирате актуализации на Windows, които са с дата или след юли 2022 г., и след това да предприемете действия, както се изисква от CVE-2022-23825 и информацията за ключа от системния регистър, която е предоставена в тази статия от базата знания.

За повече информация вж. бюлетина за сигурността на AMD-SB-1037 .

На 8 август 2023 г. публикувахме CVE-2023-20569 | AMD CPU Return Address Predictor (известен също като Inception), който описва нова спекулативна атака страничен канал, която може да доведе до спекулативно изпълнение на адрес, контролиран от атакуващия. Този проблем засяга някои AMD процесори и потенциално може да доведе до разкриване на информация.

За да помогнете за защитата срещу тази уязвимост, препоръчваме да инсталирате актуализации на Windows, които са с дата след август 2023 г., и след това да предприемете действия, както се изисква от CVE-2023-20569 и информацията за ключа от системния регистър, която е предоставена в тази статия от базата знания.

За повече информация вж. бюлетина за защитата на AMD-SB-7005 .

На 9 април 2024 г. публикувахме CVE-2022-0001 | Intel Branch History Injection , който описва Branch History Injection (BHI), което е специфична форма на вътрешна режима BTI. Тази уязвимост възниква, когато атакуващият може да манипулира хронологията на клона, преди да премине от режим на потребител към режим на супервайзор (или от VMX, който не е root/guest, към основен режим). Тази манипулация може да накара предиктора на непрекия клон да избере конкретен запис за предсказване за непряк клон и преходно ще се изпълни притурка за разкриване на прогнозираната цел. Това може да е възможно, защото съответната хронология на клона може да съдържа клонове, взети в предишен контекст на защита и по-специално други режими на прогнозиране.

По подразбиране защитата от потребител към ядро за CVE-2017-5715 е забранена за AMD и ARM процесори. Трябва да разрешите смекчаването, за да получите допълнителни защити за CVE-2017-5715. За повече информация вижте ЧЗВ #15 в ADV180002 за AMD процесори и ЧЗВ #20 в ADV180002 за ARM процесори.

По подразбиране защитата от потребител към ядро за CVE-2017-5715 е деактивирана за процесори AMD. Клиентите трябва да разрешат смекчаването, за да получат допълнителни защити за CVE-2017-5715.  За повече информация вижте ЧЗВ #15 в ADV180002.

За да разрешите облекчението за CVE-2022-23825 на AMD процесори:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

За да бъдат напълно защитени, може да се наложи клиентите също да забранят Hyper-Threading (известно също като едновременна многонишкова работа (SMT)). Вижте KB4073757 за указания за защита на устройства с Windows.

За да разрешите облекчението за CVE-2023-20569 на AMD процесори:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

За да разрешите облекчението за CVE-2022-0001 на процесори Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

За подробно обяснение на резултата от скрипта на PowerShell вижте KB4074629.

Микрокодът се доставя чрез актуализация на фърмуера. Трябва да проверите при производителите на вашия процесор (чипсет) и устройство за наличността на приложими актуализации на защитата за фърмуера за конкретното им устройство, включително указания за редакция на микрокода на Intels.

Решаването на проблем с хардуерна уязвимост чрез актуализация на софтуера създава значителни предизвикателства. Освен това смекчаванията за по-старите операционни системи изискват значителни архитектурни промени. Работим с производителите на засегнатите чипове, за да определим най-добрия начин за предоставяне на смекчавания на последствията, които може да бъдат предоставени в бъдещи актуализации.

Актуализации за устройства Microsoft Surface ще бъдат предоставени на клиентите чрез актуализиране на Windows заедно с актуализациите за операционната система Windows. За списък с наличните актуализации на фърмуера на устройството Surface (микрокод) вижте KB4073065.

Ако вашето устройство не е от Microsoft, приложете фърмуера от производителя на устройството. За повече информация се свържете с производителя на OEM устройство.

През февруари и март 2018 г. Microsoft пусна допълнителна защита за някои системи, базирани на x86. За повече информация вж. KB4073757 и Съветника за сигурност на Microsoft ADV180002.

Актуализации за Windows 10 за HoloLens са достъпни за клиентите на HoloLens чрез актуализиране на Windows.

След прилагане на актуализацията на Защита в Windows от февруари 2018 г., не е необходимо клиентите на HoloLens да предприемат допълнителни действия, за да актуализират фърмуера на своето устройство. Тези смекчавания също ще бъдат включени във всички бъдещи издания на Windows 10 за HoloLens.

Не. Актуализациите само на защитата не са кумулативни. В зависимост от версията на операционната система, която използвате, ще трябва да инсталирате всеки месец актуализации само за защитата, за да бъдете защитени от тези уязвимости. Например, ако изпълнявате Windows 7 за 32-битови системи на засегнат процесор Intel, трябва да инсталирате всички актуализации само за защитата. Препоръчваме да инсталирате тези актуализации само за защитата в реда на тяхното издаване.

Забележка По-ранна версия на тези ЧЗВ неправилно посочваше, че актуализацията само за защитата от февруари включва корекции на защитата, издадени през януари. Всъщност не е така.

Не. Актуализация на защитата 4078130 е специфична корекция, за да се предотврати непредсказуемо поведение на системата, проблеми с производителността и/или неочаквани рестартирания след инсталиране на микрокод. Прилагането на февруарските актуализации на защитата в клиентските операционни системи Windows разрешава и трите смекчавания.

Intel наскоро обяви, че са завършили своите проверки и са започнали да пускат микрокод за по-новите платформи на ЦП. Microsoft пуска валидирани от Intel актуализации за микрокод около Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 изброява конкретни статии от базата знания по версия на Windows. Всяка конкретна KB съдържа налични актуализации на микрокод на Intel от ЦП.

Този проблем е разрешен през KB4093118.

AMD наскоро обяви , че е започнала да пуска микрокод за по-новите платформи на процесорите около Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). За повече информация вижте Актуализации на AMD Security и Техническа документация на AMD: Указания за архитектура около Indirect Branch Control. Те се предлагат от канала за фърмуер на OEM.

Предоставяме валидирани от Intel актуализации на микрокод около Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection" ("Branch Target Injection"). За да получат най-новите актуализации на микрокод на Intel чрез актуализиране на Windows, клиентите трябва да са инсталирали микрокод на Intel на устройства, работещи с операционна система на Windows 10 преди надстройването до актуализацията на Windows 10 от април 2018 г. (версия 1803).

Актуализацията на микрокод е също така налична директно от каталога, ако не е инсталирана на устройството преди надстройването на операционната система. Микрокодът на Intel е достъпен чрез актуализиране на Windows, WSUS или каталога на Microsoft Update. За повече информация и за да изтеглите инструкции, вж. KB4100347.

За повече информация вижте следните ресурси:

• ADV180012 | Указания на Microsoft за спекулативно заобикаляне на Store за CVE-2018-3639
• ADV180013 | Указания на Microsoft за фалшива система Register Прочетете за CVE-2018-3640 и KB4073065
• Блог на Microsoft за научни изследвания и защита на защитата
• Указания за разработчици за спекулативно заобикаляне на магазина

За подробности вижте разделите "Препоръчителни действия" и "ЧЗВ" в ADV180012 | Указания на Microsoft за спекулативно заобикаляне на магазина.

За да се провери състоянието на SSBD, Get-SpeculationControlSettings скрипт на PowerShell е актуализиран за откриване на засегнати процесори, състояние на актуализации на операционната система SSBD и състояние на микрокода на процесора, ако е приложимо. За повече информация и за получаване на скрипта на PowerShell вижте KB4074629.

На 13 юни 2018 г. беше обявена допълнителна уязвимост, включваща спекулативно изпълнение в страничен канал, известна като Lazy FP State Restore, на която беше присвоена CVE-2018-3665. Не са необходими настройки за конфигурация (системен регистър) за Lazy Restore FP Restore.

За повече информация относно тази уязвимост и за препоръчителни действия вижте съветника за сигурността ADV180016 | Указания на Microsoft за възстановяване на състоянието на Lazy FP.

Магазинът за заобикаляне на проверката за граници (BCBS) е оповестен на 10 юли 2018 г. и му е присвоено CVE-2018-3693. Считаме, че BCBS принадлежат към същия клас уязвимости като заобикалянето на проверката за граници (вариант 1). Към момента не ни е известно за случаи на BCBS в нашия софтуер, но продължаваме да проучваме този клас уязвимости и ще работим с партньори в отрасъла, за да пуснем смекчавания на последствията, както е необходимо. Продължаваме да насърчаваме изследователите да подават всички съответни констатации на програмата за възнаграждения за странични канали за спекулативно изпълнение на Microsoft, включително всички използваеми екземпляри на BCBS. Разработчиците на софтуер трябва да прегледат указанията за разработчици, които са актуализирани за BCBS в https://aka.ms/sescdevguide.

На 14 август 2018 г. е обявена клемна грешка L1 (L1TF), на която са присвоени няколко CVE. Тези нови уязвимости при спекулативно изпълнение в страничен канал могат да се използват за четене на съдържанието на паметта отвъд надеждна граница и, ако бъдат използвани, могат да доведат до разкриване на информация. Атакуващ може да активира уязвимостите чрез множество вектори, в зависимост от конфигурираната среда. L1TF засяга процесори Intel® Core® и процесори Intel® Xeon®.

За повече информация относно тази уязвимост и подробен преглед на засегнатите сценарии, включително подхода на Microsoft за намаляване на L1TF, вижте следните ресурси:

• ADV180018 | Указания на Microsoft за намаляване на L1TF вариант
• Security Advisory Security Research Blog
• Указания за сървъра за повреда в терминал L1

Клиентите, които използват 64-битови ARM процесори, трябва да проверят при OEM на устройството за поддръжка на фърмуер, тъй като защитата на ARM64 операционната система, които намаляват CVE-2017-5715 | Branch Target Injection (Spectre, Variant 2) изискват най-новата актуализация на фърмуера от OEM устройства, за да влезе в сила.

За повече информация вижте следните съобщения за защитата

• Съветник за сигурността на Intel
• ADV190013 | Указания на Microsoft за смекчаване на уязвимостите при вземане на извадки от микроархитектурни данни

За повече информация вижте следните съобщения за защитата

• Съветник за сигурността на Intel
• ADV190013 | Указания на Microsoft за смекчаване на уязвимостите при вземане на извадки от микроархитектурни данни

Допълнителни указания можете да намерите в указанията на Windows за защита срещу уязвимостите в страничен канал при спекулативно изпълнение

Вижте указанията в указанията на Windows за защита срещу уязвимостите в страничен канал при спекулативно изпълнение

За указания за Azure вижте тази статия: Указания за намаляване на уязвимостите в страничен канал при спекулативно изпълнение в Azure.

За повече информация относно активирането на Retpoline вижте нашата публикация в блога: Предпазни мерки за Spectre variant 2 с Retpoline в Windows.

За повече информация относно тази уязвимост вж. ръководството на защитата на Microsoft: CVE-2019-1125 | Уязвимост от разкриване на информация за ядрото на Windows.

Не ни е известно за случай на тази уязвимост при разкриване на информация, засягаща инфраструктурата ни за услуги в облака.

Веднага щом научихме за този проблем, работихме бързо, за да го разрешим и да издадем актуализация. Силно вярваме в тесните партньорства както с изследователи, така и с партньори в бранша, за да направим клиентите по-защитени, и публикувахме подробности едва във вторник, 6 август, в съответствие с координираните практики за разкриване на уязвимости.

Допълнителни указания можете да намерите в указанията на Windows, за да се защитите срещу уязвимостите в страничен канал при спекулативно изпълнение.

Допълнителни указания можете да намерите в указанията на Windows, за да се защитите срещу уязвимостите в страничен канал при спекулативно изпълнение.

Допълнителни указания можете да намерите в Указания за забраняване на възможността за разширения за синхронизиране на транзакции на Intel® (Intel® TSX).

Предоставяме информация за връзка с трети лица, за да ви помогнем да намерите техническа поддръжка. Тази информация за връзка може да се промени без предизвестие. Не гарантираме точността на тази информация за връзка на трети лица.