Leitfaden zum Schutz vor spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten bei Exchange Server

Zusammenfassung

Microsoft ist eine neue öffentlich gemeldete Klasse von Sicherheitsanfälligkeiten bekannt, die als „spekulative ausführungsseitige Channelangriffe“ (Speculative Execution Side-Channel Attacks) bezeichnet werden und viele moderne Prozessoren und Betriebssysteme betreffen. Hierzu zählen Chipsätze von Intel, AMD und ARM.

Wir haben aktuell keine Hinweise darauf, dass diese Sicherheitsanfälligkeiten zu Angriffen auf Kunden genutzt wurden. Wir arbeiten auch weiterhin eng mit Branchenpartnern zusammen, um den Schutz der Kunden zu gewährleisten. Hierzu zählen Prozessorchiphersteller, Hardware-OEMs und App-Hersteller. Für den umfassenden Schutz sind Hardware- oder Firmwareupdates sowie Softwareupdates erforderlich. Dies beinhaltet Microcode von Geräte-OEMs und in manchen Fällen Updates für Antivirensoftware. Wir haben mehrere Updates veröffentlicht, um das Risiko durch diese Sicherheitsanfälligkeiten zu reduzieren. Weitere Informationen zu den Sicherheitsanfälligkeiten finden Sie in der Microsoft-Sicherheitsempfehlung ADV180002. Allgemeine Anweisungen finden Sie auch unter Leitfaden zum Schutz vor spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten. Darüber hinaus haben wir Schutzmaßnahmen für unsere Clouddienste ergriffen. Einzelheiten entnehmen Sie den nachfolgenden Abschnitten.

Betroffene Exchange Server-Versionen

Da es sich hierbei um Angriffe auf Hardwareebene auf Systeme mit x64- und x86-Prozessoren handelt, sind alle unterstützten Versionen von Microsoft Exchange Server von diesem Problem betroffen.

Empfehlungen

In der folgenden Tabelle sind die empfohlenen Maßnahmen für Kunden von Exchange Server beschrieben. Derzeit sind keine speziellen Exchange-Updates erforderlich. Wir empfehlen jedoch Kunden, stets das neueste kumulative Update für Exchange Server und alle erforderlichen Sicherheitsupdates anzuwenden. Es wird empfohlen, Fixes mithilfe der regulären Verfahren bereitzustellen, um neue Binärdateien vor der Bereitstellung in Produktionsumgebungen zu validieren.

Empfehlungen zur Leistung

Wir empfehlen allen Kunden, die Leistung ihrer spezifischen Umgebung zu evaluieren, wenn sie Updates anwenden.

Lösungen, die von Microsoft für die hier beschriebenen Arten von Sicherheitsanfälligkeiten bereitgestellt werden, nutzen softwarebasierte Mechanismen für den Schutz vor dem prozessübergreifenden Zugriff auf Daten. Wir empfehlen allen Kunden, aktualisierte Versionen von Exchange Server und Windows zu installieren. Basierend auf von Microsoft durchgeführten Tests der Exchange-Workloads sollte dies minimale Auswirkungen auf die Leistung haben.

Wir haben die Auswirkungen von  KVAS (Kernel Virtual Address Shadowing) auf verschiedene Workloads gemessen. Dabei haben wir bei einigen Workloads eine erhebliche Leistungsbeeinträchtigung festgestellt. Exchange Server zählt zu den Workloads, bei denen eine erhebliche Leistungsbeeinträchtigung auftreten kann, wenn KVAS aktiviert ist. Bei Servern mit einer hohen CPU-Auslastung oder hohen E/A-Nutzungsmustern tritt voraussichtlich die größte Leistungsbeeinträchtigung auf. Es wird dringend empfohlen, vor der Bereitstellung in einer Produktionsumgebung zuerst mithilfe von Tests in einer Laborumgebung, die Ihren Produktionsanforderungen entspricht, die Auswirkungen der Aktivierung von KVAS auf die Leistung zu evaluieren. Wenn die Leistungsbeeinträchtigung aufgrund der Aktivierung von KVAS zu groß ist, können Sie sich überlegen, ob es für die Anwendung eine bessere Risikominderung darstellt, Exchange Server von nicht vertrauenswürdigem Code zu isolieren, der auf demselben System ausgeführt wird.

Zusätzlich zu KVAS finden Sie hier Informationen zur Leistungsbeeinträchtigung aufgrund der Hardwareunterstützung zur Risikominderung für Branch Target Injection (IBC). Bei einem Server, auf dem Exchange ausgeführt wird und auf dem eine IBC-Lösung bereitgestellt ist, kann eine erhebliche Leistungsbeeinträchtigung auftreten, wenn IBC aktiviert wird.

Wir gehen davon aus, dass Hardwarehersteller Updates für ihre Produkte in Form von Microcodeupdates anbieten werden. Aufgrund unserer Erfahrung mit Exchange konnten wir feststellen, dass die Leistungsbeeinträchtigung durch Microcodeupdates verstärkt wird. Inwieweit dies der Fall ist, hängt in hohem Maß von den Komponenten und dem Design des Systems ab, auf dem diese angewendet werden. Wir sind der Auffassung, dass eine Einzellösung – ob software- oder hardwarebasiert – allein nicht ausreicht, um diese Art von Sicherheitsanfälligkeit zu beheben. Wir möchten Sie dazu auffordern, die Leistung aller Updates zu evaluieren, um auf diese Weise Unterschiede beim Systemdesign und der Leistung zu berücksichtigen, bevor Sie diese in der Produktionsumgebung anwenden. Das Exchange-Team plant nicht, den Größenanpassungsrechner zu aktualisieren, der derzeit von Kunden zur Bewertung von Leistungsunterschieden verwendet wird. Die von diesem Tool gelieferten Berechnungen berücksichtigen keine Änderungen der Leistung im Zusammenhang mit Fixes für diese Probleme. Basierend auf unserer eigenen Nutzung und der Nutzung durch unsere Kunden werden wir dieses Tool und die unserer Meinung nach erforderlichen Anpassungen auch weiterhin evaluieren.

Wir werden diesen Abschnitt aktualisieren, sobald weitere Informationen verfügbar sind.

Aktivieren von KVAS (Kernel Virtual Address Shadowing)

Exchange Server wird in vielen Umgebungen ausgeführt, beispielsweise auf physischen Systemen, auf VMs in Public Cloud- und Private Cloud-Umgebungen sowie unter Windows-Betriebssystemen. Unabhängig von der Umgebung befindet sich das Programm auf einem physischen System oder einem virtuellen Computer (Virtual Machine, VM).  Diese Umgebung, ob physisch oder virtuell, wird als Sicherheitsbegrenzung bezeichnet.

Wenn der gesamte Code innerhalb der Sicherheitsbegrenzung Zugriff auf alle Daten innerhalb dieser Sicherheitsbegrenzung hat, sind keine Schritte erforderlich. Wenn dies nicht der Fall ist, wird die Sicherheitsbegrenzung als mehrinstanzenfähig bezeichnet.Die gefundenen Sicherheitsanfälligkeiten ermöglichen es, dass beliebiger Code, der in einem beliebigen Prozess innerhalb dieser Sicherheitsbegrenzung ausgeführt wird, alle anderen Daten innerhalb dieser Sicherheitsbegrenzung lesen kann. Dies gilt selbst bei reduzierten Berechtigungen. Wenn ein Prozess innerhalb der Sicherheitsbegrenzung nicht vertrauenswürdigen Code ausführt, könnte dieser Prozess mithilfe dieser Sicherheitsanfälligkeiten Daten aus anderen Prozessen lesen.

Zum Schutz vor nicht vertrauenswürdigem Code in einer mehrinstanzenfähigen Sicherheitsbegrenzung führen Sie einen der folgenden Schritte aus:

• Entfernen Sie den nicht vertrauenswürdigen Code.

• Aktivieren Sie KVAS, um Schutz vor der Offenlegung von Informationen zwischen Prozessen zu bieten. Dies hat Auswirkungen auf die Leistung. Ausführliche Informationen hierzu finden Sie in den Abschnitten weiter oben in diesem Artikel.

Weitere Informationen zum Aktivieren von KVAS für Windows finden Sie unter KB 4072698.

Aktivieren der Hardwareunterstützung zur Risikominderung für Branch Target Injection (IBC)

IBC ermöglicht die Risikominderung für CVE 2017-5715, auch bekannt als eine Hälfte von Spectre oder „Variante 2“ in der GPZ-Veröffentlichung.

Diese Anweisungen zum Aktivieren von KVAS unter Windows können auch zum Aktivieren von IBC verwendet werden. Für IBC ist jedoch auch ein Firmwareupdate Ihres Hardwareherstellers erforderlich. Zusätzlich zu den Anweisungen in KB 4072698, die den Schutz unter Windows ermöglichen, müssen Kunden Updates von ihrem Hardwarehersteller beziehen und installieren.

Nicht vertrauenswürdige Exchange Server-Erweiterungsmechanismen

Exchange Server enthält Erweiterungsfunktionen und -mechanismen. Viele dieser Erweiterungsfunktionen und -mechanismen basieren auf APIs, die die Ausführung von nicht vertrauenswürdigem Code auf dem Server, auf dem Exchange Server ausgeführt wird, nicht zulassen. Transport-Agents und die Exchange-Verwaltungsshell könnten die Ausführung von nicht vertrauenswürdigem Code auf einem Server, auf dem Exchange Server ausgeführt wird, in bestimmten Situationen zulassen. Mit Ausnahme von Transport-Agents erfordern Erweiterungsfunktionen in allen Fällen eine Authentifizierung, bevor sie verwendet werden können. Wir empfehlen, die Verwendung von Erweiterungsfunktionen nach Möglichkeit auf die unbedingt erforderlichen Binärdateien zu begrenzen. Darüber hinaus empfehlen wir Kunden, den Serverzugriff zu beschränken, um die Ausführung von beliebigem Code auf denselben Systemen wie Exchange Server zu verhindern. Wir raten Ihnen, festzustellen, ob die einzelnen Binärdateien vertrauenswürdig sind. Nicht vertrauenswürdige Binärdateien sollten Sie deaktivieren bzw. entfernen. Darüber hinaus sollten Sie sicherstellen, dass Verwaltungsschnittstellen im Internet nicht verfügbar gemacht werden.