KB4073225 – pokyny k systému SQL Server pro ochranu před Spectre, Meltdown a mikroarchitekturou.

Shrnutí

Společnost Microsoft ví o nové veřejně známé třídě chyb zabezpečení, která se označuje jako "spekulativní útoky na provozní kanál", které mají vliv na mnoho moderních procesorů a operačních systémů. To zahrnuje Intel, AMD a ARM. Poznámka Tento problém se týká taky dalších systémů, jako je Android, Chrome, iOS a MacOS. Proto zákazníkům doporučujeme, aby hledali pokyny od těchto dodavatelů.

Společnost Microsoft vydala několik aktualizací, které vám pomůžou tyto chyby zabezpečení zmírnit. Také jsme udělali opatření k zabezpečení našich cloudových služeb. Další informace najdete v následujících částech.

Společnost Microsoft dosud neobdržela žádné informace naznačující, že by tyto útoky byly použity k útoku na zákazníky. Společnost Microsoft nadále úzce spolupracuje s průmyslovými partnery, včetně tvůrců čipu, výrobce hardwaru a aplikací, kteří chtějí chránit zákazníky. Chcete-li získat všechny dostupné ochrany, hardware nebo firmware a aktualizace softwaru. Znamená to také aktualizovat mikro kód od OEM výrobců zařízení a v některých případech také aktualizaci antivirového softwaru. Další informace o těchto chybách najdete v článku Microsoft Security Advisor ADV180002. Obecné pokyny ke zmírnění této třídy chyby najdete v tématu pokyny pro zmírnění spekulativních chyb bočních kanálech pro realizaci .

Společnost Microsoft zveřejnila ADV190013 – pokyny pro řešení chyb zabezpečení mikroarchitektur v květnu 2019. SQL Server nemá žádné zvláštní opravy zabezpečení pro problém popsaný v ADV190013. Pokyny pro prostředí, kterých se to týká, najdete v části doporučení v tomto článku. Upozorňujeme, že tento informační zpravodaj platí jenom pro procesory Intel.

Jak získat a nainstalovat aktualizaci

Tato aktualizace je také k dispozici prostřednictvím služby WSUS (Windows Server Update Services) nebo webu Microsoft Update.Poznámka: Tato aktualizace se automaticky nestáhne a nainstaluje se přes Windows Update.

Podporované verze SQL serveru

Společnost Microsoft doporučuje, aby všechny zákazníky instalovaly aktualizace SQL serveru (uvedené níže) jako součást běžného cyklu oprav.  Zákazníci, kteří používají SQL Server v zabezpečeném prostředí, ve kterém jsou blokovány body rozšiřitelnosti a aby byl veškerý kód třetí strany spuštěný na stejném serveru důvěryhodný a schválen, by tento problém neměl mít.

Následující verze SQL serveru mají k dispozici aktualizace, které jsou dostupné v systémech s procesory x86 a x64:

• SQL Server 2008

• SQL Server 2008R2

• SQL Server 2012

• SQL Server 2014

• SQL Server 2016

• SQL Server 2017

Nevěříme, že to ovlivňuje IA64 (Microsoft SQL Server 2008). Služba Microsoft analytická platforma (APS) je založená na Microsoft SQL serveru 2014 nebo Microsoft SQL serveru 2016, ale netýká se to konkrétně. Některé obecné pokyny pro přístupové body jsou uvedené dále v tomto článku.

Jak

Následující tabulka popisuje, co by zákazníci měli dělat v závislosti na prostředí, ve kterém běží SQL Server a jaké funkce se používají. Společnost Microsoft doporučuje nasadit opravy pomocí obvyklých postupů k otestování nových binárních souborů před jejich nasazením do provozních prostředí.

Informační zpravodaj výkonu

Zákazníci si mohou vyhodnotit výkon určité aplikace při instalaci aktualizací.

Společnost Microsoft doporučuje všem zákazníkům nainstalovat aktualizované verze systému SQL Server a Windows. To by mělo mít zanedbatelný vliv na výkon existujících aplikací na základě testování zatížení SQL. Doporučujeme ale před nasazením do provozního prostředí všechny aktualizace otestovat.

Společnost Microsoft nahlásila účinek stínové relace virtuální adresy jádra (KVAS), nepřímého přesměru tabulky stránek jádra (KPTI) a nepřímých rizik pro předvídání větví (IBP) na různých pracovních vytíženích SQL v různých prostředích a našli si nějaké pracovní vytížení s výrazným zhoršením. Doporučujeme, abyste v provozním prostředí zkoušeli povolit tyto funkce pomocí výkonu. Pokud je výkon těchto funkcí v existující aplikaci moc velký, můžete zvážit, jestli je izolace SQL serveru od nedůvěryhodného kódu, který běží na stejném počítači, vhodnější pro vaši aplikaci.

Další informace o výkonu z nepřímých předpovědí pro omezení předpovědi větví najdete tady.

Microsoft tento oddíl bude aktualizovat o další informace, jakmile bude k dispozici.

Povolení stínování virtuální adresy jádra (KVAS ve Windows) a indirekce tabulky stránek jádra (KPTI na Linux)

KVAS a KPTI s 2017-5754 ohledem na "Meltdown" nebo "variant 3" v informacích o GPZ.

SQL Server je spuštěný v mnoha prostředích: fyzické počítače, virtuální počítače virtuálních počítačů ve veřejných a privátních cloudových prostředích na systémech Linux a Windows. Bez ohledu na prostředí je program spuštěný na počítači nebo na VMu. Volejte na tuto bezpečnostní hranici.

Pokud má veškerý kód na hranici přístup ke všem datům v dané hranici, není nutná žádná akce. Pokud tomu tak není, znamená to, že je to více tenantů. Nalezené chyby zabezpečení umožňují číst libovolný kód, a to i s omezenými oprávněními, které jsou spouštěny v rámci této hranice, ke čtení všech dalších dat v této hranici. Pokud je v hranici s nedůvěryhodným kódem nějaký proces, mohl by tyto chyby zabezpečení použít ke čtení dat z jiných procesů. Tento nedůvěryhodný kód by mohl být nedůvěryhodný kód pomocí mechanismů rozšiřitelnosti systému SQL Server nebo jiných procesů na hranici, která používá nedůvěryhodný kód.

Chcete-li chránit před nedůvěryhodným kódem v hranici více tenantů, použijte některou z následujících metod

• Odeberte nedůvěryhodný kód. Další informace o tom, jak postupovat pro mechanismy rozšiřitelnosti serveru SQL Server, najdete níže. Pokud chcete odebrat nedůvěryhodný kód z jiných aplikací na stejném okraji, obvykle se vyžadují změny specifické pro jednotlivé aplikace. Například se dělí na dva virtuální počítače.

• Zapněte KVAS nebo KPTI. Bude to mít vliv na výkon. Další informace najdete v tomto článku.

Další informace o tom, jak povolit KVAS pro Windows, najdete v tématu KB4072698. Další informace o tom, jak povolit KPTI na Linux, najdete v tématu s distributorem operačního systému.

Příklad scénáře, ve kterém je KVAS nebo KPTI důrazně doporučen

Místní fyzický počítač, který hostuje SQL Server jako nesystémový účet správce, umožňuje zákazníkům odesílat libovolné skripty $, které budou spouštěny přes SQL Server (který používá sekundární procesy ke spuštění těchto skriptů mimo Sqlservr. exe). V rámci procesu Sqlservr. exe je nezbytné KVAS a KPTI chránit před zveřejněním dat v paměti jádra systému. Poznámka Mechanismus rozšiřitelnosti v systému SQL Server není automaticky považován za nebezpečný, protože se používá. Tyto mechanismy lze bezpečně používat v systému SQL Server, pokud je to pro jednotlivé závislosti srozumitelné a důvěryhodné. V systému SQL jsou také k dispozici další produkty, které mohou vyžadovat mechanismy rozšiřitelnosti pro správné fungování. Například zabalená aplikace, která je součástí SQL serveru, může vyžadovat propojený server nebo uloženou proceduru CLR, aby fungovala správně. Společnost Microsoft nedoporučuje, abyste je odebrali jako součást omezení rizik. Pokud chcete zjistit, jestli se tento kód považuje za počáteční akci, můžete místo toho zkontrolovat jednotlivé možnosti. Tento návod vám poskytne zákazníkům možnost určit, jestli jsou v situaci, kdy mají povolit KVAS. Důvodem je to, že tato akce má závažný vliv na výkon.

Povolení podpory pro hardware s nepřímým vypředvídáním větví (IBP)

IBP zmírňuje riziko oproti CVE 2017-5715, známé také jako jedna polovina Spectre nebo "variant 2" ve zpřístupnění GPZ.

Pokyny v tomto článku k povolení KVAS ve Windows taky umožňují IBP. IBP také vyžaduje aktualizaci firmwaru od výrobce hardwaru. Kromě pokynů v KB4072698 pro povolení ochrany v systému Windows musí zákazníci získat a nainstalovat aktualizace od výrobce hardwaru.

Příklad scénáře, ve kterém se důrazně doporučuje IBP

Místní fyzický počítač hostuje SQL Server vedle aplikace, která umožňuje nedůvěryhodným uživatelům nahrát a spustit libovolný kód JavaScriptu. Za předpokladu, že v databázi SQL existují důvěrná data, IBP se důrazně doporučuje pro ochranu před zpřístupněním informací mezi procesy.

V situacích, kdy podpora hardwaru IBP není k dispozici, společnost Microsoft doporučuje rozdělit nedůvěryhodné procesy a důvěryhodné procesy na různé fyzické počítače nebo virtuální počítače.

Uživatelé systému Linux: požádejte distributora operačního systému o informace o ochraně před variantou 2 (CVE 2017-5715).

Příklad scénáře, ve kterém důrazně doporučujeme zmírnit chyby zabezpečení při vzorkování mikroarchitektur

Podívejte se na příklad, ve kterém je místní server spuštěn dvěma instancemi SQL serveru hostujících dvěma různými podnikovými aplikacemi na jednom fyzickém hostiteli. Předpokládejme, že tyto dvě obchodní aplikace by neměly mít možnost číst data uložená napříč instancemi SQL serveru. Útočník, který by tyto chyby zabezpečení úspěšně zneužil, může číst privilegovaná data napříč hranicemi důvěryhodnosti pomocí nedůvěryhodného kódu, který je v počítači spuštěný jako samostatný proces nebo nedůvěryhodný kód provedený pomocí mechanismu rozšiřitelnosti SQL serveru (viz část níže pro možnosti rozšíření v systému SQL Server). V prostředích se sdílenými prostředky (například v některých konfiguracích cloudových služeb) můžou tyto chyby zabezpečení umožnit, aby jeden virtuální počítač správně nasdílel informace z jiného. V případech, kdy se nejedná o scénáře v samostatných systémech, by útočník musel tuto chybu zabezpečení zneužít až po předchozím přístupu k systému nebo k spuštění speciálně vytvořené aplikace v cílovém systému.

Nedůvěryhodné mechanismy rozšiřitelnosti SQL serveru

SQL Server obsahuje mnoho rozšiřujících funkcí a mechanismů. Většina z těchto mechanismů je ve výchozím nastavení zakázaná. Doporučujeme však zákazníkům, aby zkontrolovali každou instanci výroby pro použití funkcí rozšiřitelnosti. Doporučujeme, aby všechny tyto funkce byly omezeny na minimální sadu binárních souborů a aby zákazníci zakázali přístup k libovolnému kódu na stejném počítači jako SQL Server. Doporučujeme zákazníkům, aby určili, jestli mají všechny binární soubory důvěřovat, a zakázání nebo odebrání nedůvěryhodných binárních souborů.

• Sestavení SQL CLR

• Balíčky r a Python spuštěné prostřednictvím mechanismu externích skriptů nebo spouštěné ze samostatného programu R/Machine Learning Studio na stejném fyzickém počítači jako SQL Server

• Body rozšiřitelnosti agenta SQL na stejném fyzickém počítači jako SQL Server (skripty ActiveX)

• Zprostředkovatelé OLE DB od jiného výrobce, kteří používají odkazované servery

• Rozšířené uložené procedury jiných výrobců

• Objekty COM spuštěné na serveru (dostupný prostřednictvím sp_OACreate)

• Programy spouštěné prostřednictvím xp_cmdshell

Zklidňující fakta týkající se použití nedůvěryhodného kódu v systému SQL Server: