KB4073119: Windows-klientvejledning til it-fagfolk for at beskytte mod siliciumbaserede mikroarkitektoniske og speculative execution side-channel-sikkerhedsrisici

Den 14. maj 2019 offentliggjorde Intel oplysninger om en ny underklasse af speculative execution side-channel-sikkerhedsrisici, der kaldes Microarchitectural Data Sampling. Disse sårbarheder er løst i følgende CVE'er:

• CVE-2019-11091 | Microarchitectural Data Sampling Hukommelse (Uncacheable Memory)
• CVE-2018-12126 | MSBDS (Microarchitectural Store Buffer Data Sampling – Microarchitectural Store Buffer Data)
• CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

Vi har udgivet opdateringer, der afhjælper disse sikkerhedsrisici. For at få al den tilgængelige beskyttelse kræves firmware- (mikrokode) og softwareopdateringer. Dette kan omfatte mikrokode fra enheds-OEM'er. I nogle tilfælde påvirker installationen af disse opdateringer ydeevnen. Vi har også handlet for at sikre vores cloud-tjenester. Vi anbefaler kraftigt at installere disse opdateringer.

Du kan få flere oplysninger om dette problem i følgende sikkerhedsmeddelelse og bruge scenariebaseret vejledning til at fastlægge handlinger, der er nødvendige for at afhjælpe truslen:

• ADV190013 | Microsofts vejledning til afhjælpning af sikkerhedsrisici i forbindelse med mikroarkitektonisk dataprøvetagning
• Windows-vejledning til beskyttelse mod "speculative execution side-channel-sikkerhedsrisici"

Den 6. august 2019 frigav Intel detaljer om en sårbarhed i forbindelse med afsløring af Windows-kerneoplysninger. Denne sårbarhed er en variant af Spectre Variant 1-sikkerhedsrisikoen i form af en sidekanals spekulativ udførelse og er blevet tildelt CVE-2019-1125.

Den 9. juli 2019 udgav vi sikkerhedsopdateringer til Windows-operativsystemet for at afhjælpe dette problem. Bemærk, at vi ventede med at dokumentere denne afhjælpning offentligt indtil den koordinerede offentliggørelse af branchen tirsdag den 6. august 2019.

Kunder, der har aktiveret Windows Update og har installeret de sikkerhedsopdateringer, der blev udgivet den 9. juli 2019, er automatisk beskyttet. Det er ikke nødvendigt med yderligere konfiguration.

Du kan finde flere oplysninger om denne sårbarhed og relevante opdateringer i vejledningen til Microsoft Security Update:

• CVE-2019-1125 | Windows-sårbarhed med afsløring af kerneoplysninger

Den 12. november 2019 udgav Intel en teknisk meddelelse om en sårbarhed i forbindelse med Intel TSX's (Transactional Synchronization Extensions) transaction asynchronous abort, der er tildelt CVE-2019-11135. Vi har udgivet opdateringer, der kan afhjælpe denne sikkerhedsrisiko. Som standard er OS-beskyttelsen aktiveret for klientudgaver af Windows.

Den 14. juni 2022 offentliggjorde vi ADV220002 | Microsoft Guidance on Intel Processor MMIO Sold Data Vulnerabilities. Disse sikkerhedsrisici tildeles i følgende CVE'er:

• CVE-2022-21123 | SBDR (Shared Buffer Data Read – SBDR)
• CVE-2022-21125 | SBDS (Shared Buffer Data Sampling – SBDS)
• CVE-2022-21127 | Opdatering af særlig registerbufferdatasampling (SRBDS-opdatering)
• CVE-2022-21166 | Delvis skrivning i enhedsregister (DRPW)

Anbefalede handlinger

Du skal gøre følgende for at beskytte dig mod disse sikkerhedsrisici:

1. Anvend alle tilgængelige opdateringer til Windows-operativsystemet, herunder de månedlige Windows-sikkerhedsopdateringer.
2. Anvend den relevante firmwareopdatering (mikrokode), der leveres af enhedsproducenten.
3. Vurder risikoen for dit miljø baseret på de oplysninger, der findes i Microsoft Security Advisory ADV180002, ADV180012, ADV190013 og ADV220002 ud over oplysningerne i denne artikel.
4. Benyt den nødvendige fremgangsmåde ved hjælp af de vejledninger og oplysninger om registreringsdatabasenøgler, der findes i denne artikel.

Den 12. juli 2022 offentliggjorde vi CVE-2022-23825 | Forvirring ved AMD CPU-grentype, der beskriver, at aliasser i grenforudsigelsen kan få visse AMD-processorer til at forudsige den forkerte grentype. Dette problem kan potentielt medføre afsløring af oplysninger.

For at beskytte mod denne sårbarhed anbefaler vi, at du installerer Windows-opdateringer, der er dateret på eller efter juli 2022, og derefter træffer de foranstaltninger, som kræves i CVE-2022-23825 og oplysninger om registreringsdatabasenøglen, der findes i denne artikel i videnbasen.

Du kan finde flere oplysninger i sikkerhedsbulletinen AMD-SB-1037 .

Den 8. august 2023 offentliggjorde vi CVE-2023-20569 | AMD CPU Return Address Predictor (også kendt som Inception), der beskriver et nyt spekulativt sidekanalangreb, der kan resultere i spekulativ udførelse på en adresser, der kontrolleres af hackere. Dette problem påvirker visse AMD-processorer og kan potentielt medføre afsløring af oplysninger.

For at beskytte mod denne sårbarhed anbefaler vi, at du installerer Windows-opdateringer, der er dateret august 2023 eller derefter, og derefter træffer de foranstaltninger, som kræves af CVE-2023-20569, og oplysninger om registreringsdatabasenøglen, der er angivet i denne artikel i videnbasen.

Få flere oplysninger i sikkerhedsbulletinen AMD-SB-7005 .

Den 9. april 2024 offentliggjorde vi CVE-2022-0001 | Intel Branch History Injection , som beskriver Branch History Injection (BHI), som er en specifik form for intern BTI. Denne sårbarhed opstår, når en hacker kan manipulere med grenhistorikken før overgangen fra brugertilstand til tilsynsførendetilstand (eller fra VMX-ikke-root/gæst til rodtilstand). Denne manipulation kan medføre, at en indirekte grenforudsigelse vælger en bestemt forudsigelsespost for en indirekte gren, og en afsløringsgadget på den forudsagte destination udføres midlertidigt. Dette kan være muligt, fordi den relevante grenhistorik kan indeholde forgreninger, der er taget i tidligere sikkerhedssammenhænge, og især andre forudsigelsestilstande.

Som standard er bruger-til-kerne-beskyttelse for CVE-2017-5715 deaktiveret for AMD- og ARM-CPU'er. Du skal aktivere afhjælpningen for at modtage yderligere beskyttelse for CVE-2017-5715. Du kan få mere at vide under Ofte stillede spørgsmål #15 i ADV180002 til AMD-processorer og ofte stillede spørgsmål #20 i ADV180002 til ARM-processorer.

Bruger-til-kerne-beskyttelse for CVE-2017-5715 er som standard deaktiveret for AMD-processorer. Kunder skal aktivere afhjælpningen for at modtage yderligere beskyttelse for CVE-2017-5715.  Du kan finde flere oplysninger under Ofte stillede spørgsmål #15 i ADV180002.

Sådan aktiverer du afhjælpningen for CVE-2022-23825 på AMD-processorer:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

For at være fuldt beskyttet skal kunderne muligvis også deaktivere Hyper-Threading (også kendt som SMT (Simultaneous Multi Threading)). Se KB4073757 for at få vejledning til beskyttelse af Windows-enheder.

Sådan aktiverer du afhjælpningen for CVE-2023-20569 på AMD-processorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Sådan aktiverer du afhjælpningen for CVE-2022-0001 på Intel-processorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Du kan finde en detaljeret forklaring af outputtet fra PowerShell-scriptet i KB4074629.

Mikrokoden leveres via en firmwareopdatering. Du bør kontakte producenterne af din CPU (chipsæt) og enhed for at få tilgængelige tilgængelige firmwaresikkerhedsopdateringer til deres specifikke enhed, herunder Intels Microcode Revision Guidance.

Det er en stor udfordring at løse en hardwarerisiko via en softwareopdatering. Afhjælpninger for ældre operativsystemer kræver desuden omfattende arkitektoniske ændringer. Vi arbejder sammen med producenterne af de berørte chips for at finde den bedste måde at afhjælpende foranstaltninger på, som kan blive leveret i fremtidige opdateringer.

Opdateringer til Microsoft overflade-enheder leveres til kunderne via Windows Update sammen med opdateringerne til Windows-operativsystemet. Du kan finde en liste over tilgængelige opdateringer til overflade-enhedsfirmware (mikrokode) under KB4073065.

Hvis enheden ikke er fra Microsoft, kan du anvende firmware fra enhedsproducenten. Kontakt producenten af OEM-enheden for at få flere oplysninger.

I februar og marts 2018 udgav Microsoft ekstra beskyttelse til nogle x86-baserede systemer. Du kan finde flere oplysninger i KB4073757 og Microsoft Security Advisory ADV180002.

Opdateringer til Windows 10 til HoloLens er tilgængelige for HoloLens-kunder via Windows Update.

Efter at have installeret Windows Sikkerhed-opdateringen fra februar 2018 behøver HoloLens-kunder ikke at foretage sig yderligere for at opdatere enhedens firmware. Disse afhjælpninger medtages også i alle fremtidige versioner af Windows 10 til HoloLens.

Nej. Sikkerhedsopdateringer er ikke kumulative. Afhængigt af hvilken operativsystemversion du kører, skal du installere hver månedlig sikkerhedsopdatering for at være beskyttet mod disse sikkerhedsrisici. Hvis du f.eks. kører Windows 7 til 32-bit systemer på en påvirket Intel CPU, skal du installere alle sikkerhedsopdateringerne. Vi anbefaler, at du installerer disse sikkerhedsopdateringer i udgivelsesrækkefølgen.

Bemærk I en tidligere version af disse ofte stillede spørgsmål stod der fejlagtigt, at sikkerhedsopdateringen for februar omfattede de sikkerhedsrettelser, der blev udgivet i januar. Det gør det faktisk ikke.

Nej. Sikkerhedsopdatering 4078130 var en specifik rettelse for at forhindre uforudsigelige systemfunktionsmåder, problemer med ydeevnen og/eller uventede genstarter efter installation af mikrokode. Ved at anvende sikkerhedsopdateringerne fra februar på Windows-klientoperativsystemer aktiveres alle tre afhjælpninger.

Intel meddelte for nyligt, de har fuldført deres validering og er begyndt at frigive mikrokode til nyere CPU-platforme. Microsoft gør Intels validerede mikrokodeopdateringer tilgængelige i forbindelse med Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 viser specifikke Knowledge Base-artikler efter Windows-version. Hver enkelt specifik KB indeholder Intels tilgængelige mikrokodeopdateringer efter CPU.

Dette problem blev løst i KB4093118.

AMD annoncerede for nylig , at de er begyndt at frigive mikrokode til nyere CPU-platforme omkring Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Du kan finde flere oplysninger i AMD Security Opdateringer and AMD Whitepaper: Architecture Guidelines around Indirect Branch Control. Disse er tilgængelige fra OEM-firmwarekanalen.

Vi gør Intel-validerede mikrokodeopdateringer tilgængelige i forbindelse med Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). For at få de nyeste Intel-mikrokodeopdateringer via Windows Update, skal kunderne skal have installeret Intel-mikrokode på enheder, der kører et Windows 10-operativsystem, før de opgraderer til Windows 10 April 2018-opdatering (version 1803).

Mikrokodeopdateringen er også tilgængelig direkte fra kataloget, hvis den ikke var installeret på enheden, før du opgraderede operativsystemet. Intel-mikrokode er tilgængelig via Windows Update, WSUS eller Microsoft Update-kataloget. Du kan finde flere oplysninger og downloadinstruktioner i KB4100347.

Du kan få flere oplysninger i følgende ressourcer:

• ADV180012 | Microsofts vejledning til spekulativ butikstilsidesættelse for CVE-2018-3639
• ADV180013 | Microsofts vejledning til uautoriserede systemregistre Læs for CVE-2018-3640 og KB4073065
• Microsoft Security Research and Defense Blog
• Udviklervejledning til spekulativ butikstilsidesættelse

Du kan finde flere oplysninger i afsnittene "Anbefalede handlinger" og "Ofte stillede spørgsmål" i ADV180012 | Microsofts vejledning til spekulativ butikstilsidesættelse.

For at bekræfte status for SSBD blev Get-SpeculationControlSettings PowerShell-scriptet opdateret for at registrere påvirkede processorer, status for opdateringer af SSBD-operativsystemet og tilstanden af processormikrokode, hvis det er relevant. Du kan finde flere oplysninger og hente PowerShell-scriptet i KB4074629.

Den 13. juni 2018 blev en yderligere sårbarhed, der involverer side-channel speculative execution, kendt som Lazy FP State Restore, annonceret og tildelt CVE-2018-3665. Der kræves ingen konfigurationsindstillinger (registreringsdatabase) for Lazy Restore FP Restore.

Du kan finde flere oplysninger om denne sårbarhed og anbefalede handlinger i Security Advisory ADV180016 | Microsofts vejledning til gendannelse af Lazy FP-tilstand.

BCBS (Bounds Check Bypass Store) blev offentliggjort den 10. juli 2018 og tildelt CVE-2018-3693. Vi anser BCBS for at tilhøre den samme klasse af sikkerhedsrisici som Bounds Check Bypass (variant 1). Vi kender i øjeblikket ikke til nogen forekomster af BCBS i vores software, men vi fortsætter med at undersøge denne sårbarhedsklasse og vil samarbejde med partnere i branchen om at frigive afhjælpninger efter behov. Vi opfordrer fortsat forskere til at indsende alle relevante resultater til Microsofts dusørprogram for Speculative Execution Side Channel, herunder eventuelle forekomster af BCBS, der kan udnyttes. Softwareudviklere bør gennemgå den udviklervejledning, der blev opdateret for BCBS på https://aka.ms/sescdevguide.

Den 14. august 2018 blev L1 Terminal Fault (L1TF) annonceret og tildelt flere CVE'er. Disse nye "speculative execution side-channel"-sikkerhedsrisici kan bruges til at læse indholdet af hukommelsen på tværs af en pålidelig grænse og kan, hvis de udnyttes, føre til afsløring af oplysninger. En hacker kan udløse sårbarheder gennem flere vektorer, afhængigt af det konfigurerede miljø. L1TF påvirker Intel Core-processorer®® og Intel® Xeon-processorer®.

Du kan finde flere oplysninger om denne sårbarhed og en detaljeret visning af berørte scenarier, herunder Microsofts tilgang til afhjælpning af L1TF, i følgende ressourcer:

• ADV180018 | Microsofts vejledning til at afhjælpe L1TF-varianten
• Security Advisory Security Research Blog
• Servervejledning til L1-terminalfejl

Kunder, der bruger 64-bit ARM-processorer, bør kontakte enhedens OEM for at få firmwareunderstøttelse, da ARM64-operativsystemets beskyttelse, der afhjælper CVE-2017-5715 | Branch-destinationsinjicering (Spectre, Variant 2) kræver den seneste firmwareopdatering fra enheds-OEM'er for at træde i kraft.

Få flere oplysninger i følgende sikkerhedsvejledninger

• Intels sikkerhedsrådgivning
• ADV190013 | Microsofts vejledning til afhjælpning af sikkerhedsrisici i forbindelse med mikroarkitektonisk dataprøvetagning

Få flere oplysninger i følgende sikkerhedsvejledninger

• Intels sikkerhedsrådgivning
• ADV190013 | Microsofts vejledning til afhjælpning af sikkerhedsrisici i forbindelse med mikroarkitektonisk dataprøvetagning

Du kan finde yderligere vejledning i Windows-vejledning til beskyttelse mod "speculative execution side-channel-sikkerhedsrisici"

Se vejledningen i Windows-vejledningen for at beskytte mod "speculative execution side-channel-sikkerhedsrisici"

Du kan finde vejledning til Azure i denne artikel: Vejledning til afhjælpning af "speculative execution side-channel"-sikkerhedsrisici i Azure.

Du kan finde flere oplysninger om Retpoline-aktivering i vores blogindlæg: Afhjælpning af Spectre variant 2 med Retpoline på Windows.

Du kan finde flere oplysninger om denne sårbarhed i Microsoft-sikkerhedsvejledning: CVE-2019-1125 | Sårbarhed ved afsløring af Windows-kerneoplysninger.

Vi kender ikke til nogen tilfælde af denne sårbarhed i forbindelse med offentliggørelse af oplysninger, der påvirker vores skytjenesteinfrastruktur.

Så snart vi blev opmærksomme på dette problem, arbejdede vi hurtigt på at løse det og udgive en opdatering. Vi tror stærkt på tætte partnerskaber med både forskere og industripartnere for at gøre kunderne mere sikre, og vi offentliggjorde ikke detaljer før tirsdag den 6. august, i overensstemmelse med koordineret praksis for offentliggørelse af sårbarheder.

Du kan finde yderligere vejledning i Windows-vejledningen til at beskytte mod "speculative execution side-channel-sikkerhedsrisici".

Du kan finde yderligere vejledning i Windows-vejledningen til at beskytte mod "speculative execution side-channel-sikkerhedsrisici".

Du kan finde yderligere vejledning i Vejledning til deaktivering af Intel® TSX-funktionen (Intel® Transactional Synchronization Extensions).

Vi leverer tredjepartskontaktoplysninger for at hjælpe dig med at finde teknisk support. Disse kontaktoplysninger kan ændres uden varsel. Microsoft kan ikke garantere nøjagtigheden af tredjeparts-kontaktoplysninger.