KB4072698: Οδηγίες Windows Server και Azure Stack HCI για προστασία από ευπάθειες μικροαρχιτεκτονικής και υποθετικής εκτέλεσης πλευρικού καναλιού με βάση το πυρίτιο

Αυτό το άρθρο αντιμετωπίζει τις ακόλουθες ευπάθειες υποθετικής εκτέλεσης:

• CVE-2017-5715 | Έγχυση στόχου υποκαταστήματος
• CVE-2017-5753 | Παράκαμψη ελέγχου ορίων
• CVE-2017-5754 | Φόρτωση του παραπλανητικού cache δεδομένων
• CVE-2018-3639 | Speculative Store Bypass

Windows Update θα παρέχει επίσης μετριασμούς για τον Internet Explorer και το Edge. Θα συνεχίσουμε να βελτιώνουμε αυτούς τους μετριασμούς έναντι αυτής της κατηγορίας ευπαθειών.

Για να μάθετε περισσότερα σχετικά με αυτήν την κατηγορία ευπαθειών, ανατρέξτε στο θέμα

• ADV180002 | Καθοδήγηση για τον μετριασμό των ευπαθειών υποθετικής εκτέλεσης πλευρικού καναλιού
• ADV180012 | Οδηγίες της Microsoft για ευπάθειες Speculative Store Bypass

Στις 14 Μαΐου 2019, η Intel δημοσίευσε πληροφορίες σχετικά με μια νέα υποκατηγορία ευπαθειών υποθετικής εκτέλεσης πλευρικού καναλιού, γνωστής ως Microarchitectural Data Sampling και τεκμηριώθηκε στο ADV190013 | Δειγματοληψία Μικροαρχιτεκτονικών Δεδομένων. Τους έχουν εκχωρηθεί τα ακόλουθα CVE:

• CVE-2019-11091 | Δειγματοληψία μικροαρχιτεκτονικών δεδομένων Μνήμη χωρίς δυνατότητα προσωρινής αποθήκευσης (MDSUM)
• CVE-2018-12126 | Δειγματοληψία δεδομένων buffer χώρου αποθήκευσης μικροαρχιτεκτονικής (MSBDS)
• CVE-2018-12127 | Δειγματοληψία δεδομένων buffer μικροαρχιτεκτονικής πλήρωσης (MFBDS)
• CVE-2018-12130 | Δειγματοληψία δεδομένων θύρας φορτίου μικροαρχιτεκτονικής (MLPDS)

Η Microsoft έχει κυκλοφορήσει ενημερώσεις που αποσκοπούν στον μετριασμό αυτών των ευπαθειών. Για να λάβετε όλα τα διαθέσιμα μέτρα προστασίας, απαιτείται υλικολογισμικό (μικροκώδικας) και ενημερώσεις λογισμικού. Αυτό μπορεί να περιλαμβάνει μικροκώδικα από OEM συσκευών. Σε ορισμένες περιπτώσεις, η εγκατάσταση αυτών των ενημερώσεων θα έχει επιπτώσεις στην απόδοση. Έχουμε επίσης ενεργήσει για να διασφαλίσουμε τις υπηρεσίες cloud. Συνιστάται ανεπιφύλακτα να αναπτύξετε αυτές τις ενημερώσεις.

Για περισσότερες πληροφορίες σχετικά με αυτό το πρόβλημα, ανατρέξτε στο ακόλουθο Συμβουλευτικό δελτίο ασφαλείας και χρησιμοποιήστε οδηγίες βάσει σεναρίων για να καθορίσετε τις ενέργειες που είναι απαραίτητες για τον μετριασμό της απειλής:

• ADV190013 | Οδηγίες της Microsoft για τον μετριασμό των ευπαθειών δειγματοληψίας μικροαρχιτεκτονικών δεδομένων
• Οδηγίες των Windows για προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού

Στις 6 Αυγούστου 2019, η Intel κυκλοφόρησε λεπτομέρειες σχετικά με μια ευπάθεια γνωστοποίησης πληροφοριών πυρήνα των Windows. Αυτή η ευπάθεια είναι μια παραλλαγή της ευπάθειας Spectre, Variant 1 speculative execution side-channel και στην οποία έχει εκχωρηθεί CVE-2019-1125.

Στις 9 Ιουλίου 2019, κυκλοφορήσαμε ενημερώσεις ασφαλείας για το λειτουργικό σύστημα Windows για να μετριάσουμε αυτό το πρόβλημα. Λάβετε υπόψη ότι καθυστερήσαμε την τεκμηρίωση αυτού του μετριασμού δημοσίως μέχρι τη συντονισμένη γνωστοποίηση του κλάδου την Τρίτη 6 Αυγούστου 2019.

Οι πελάτες που έχουν ενεργοποιήσει Windows Update και έχουν εφαρμόσει τις ενημερώσεις ασφαλείας που κυκλοφόρησαν στις 9 Ιουλίου 2019 προστατεύονται αυτόματα. Δεν απαιτείται περαιτέρω διαμόρφωση.

Για περισσότερες πληροφορίες σχετικά με αυτό το θέμα ευπάθειας και τις κατάλληλες ενημερώσεις, ανατρέξτε στον Οδηγό ενημερώσεων ασφαλείας της Microsoft:

• CVE-2019-1125 | Ευπάθεια αποκάλυψης πληροφοριών πυρήνα των Windows

Στις 12 Νοεμβρίου 2019, η Intel δημοσίευσε τεχνικές συμβουλές σχετικά με την ευπάθεια Intel® Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort που έχει εκχωρηθεί CVE-2019-11135. Η Microsoft έχει κυκλοφορήσει ενημερώσεις για τον μετριασμό αυτής της ευπάθειας και οι προστασίες λειτουργικού συστήματος είναι ενεργοποιημένες από προεπιλογή για το Windows Server 2019, αλλά απενεργοποιημένες από προεπιλογή για το Windows Server 2016 και για παλαιότερες εκδόσεις λειτουργικού Windows Server.

Στις 14 Ιουνίου 2022, δημοσιεύσαμε ADV220002 | Οδηγίες της Microsoft σχετικά με τις ευπάθειες μη ενημερωμένων δεδομένων επεξεργαστή Intel MMIO και αντιστοιχίστηκαν αυτά τα CVE:

• CVE-2022-21123 | Ανάγνωση δεδομένων κοινόχρηστου buffer (SBDR)
• CVE-2022-21125 | Δειγματοληψία δεδομένων κοινόχρηστου buffer (SBDS)
• CVE-2022-21127 | Ειδική ενημέρωση δειγματοληψίας δεδομένων buffer καταχώρησης (ενημέρωση SRBDS)
• CVE-2022-21166 | Καταχώρηση συσκευής Μερική εγγραφή (DRPW)

Προτεινόμενες ενέργειες

Θα πρέπει να προβείτε στις παρακάτω ενέργειες για να προστατευτείτε από τα θέματα ευπάθειας:

1. Εφαρμόζονται όλες οι διαθέσιμες ενημερώσεις λειτουργικού συστήματος των Windows, συμπεριλαμβανομένων των μηνιαίων ενημερώσεων ασφαλείας των Windows.
2. Εφαρμόστε την κατάλληλη ενημέρωση υλικολογισμικού (μικροκώδικα) που παρέχεται από τον κατασκευαστή της συσκευής.
3. Αξιολογήστε τον κίνδυνο για το περιβάλλον σας με βάση τις πληροφορίες που παρέχονται στις Προειδοποιήσεις ασφαλείας της Microsoft: ADV180002, ADV180012, ADV190013 και ADV220002, επιπλέον των πληροφοριών που παρέχονται σε αυτό το γνωσιακή βάση άρθρο.
4. Κάντε τις απαραίτητες ενέργειες, χρησιμοποιώντας τις προειδοποιήσεις και τις βασικές πληροφορίες μητρώου που παρέχονται σε αυτό το γνωσιακή βάση άρθρο.

Στις 12 Ιουλίου 2022, δημοσιεύσαμε το CVE-2022-23825 | AMD CPU Branch Type Confusion που περιγράφει ότι τα ψευδώνυμα στον προγνωστικό κλάδου ενδέχεται να προκαλέσουν την πρόβλεψη λανθασμένου τύπου διακλάδωσης από ορισμένους επεξεργαστές AMD. Αυτό το πρόβλημα μπορεί να οδηγήσει σε αποκάλυψη πληροφοριών.

Για να προστατευτείτε από αυτήν την ευπάθεια, συνιστούμε να εγκαταστήσετε ενημερώσεις των Windows με ημερομηνία ή μεταγενέστερη από τον Ιούλιο του 2022 και, στη συνέχεια, να προβείτε σε ενέργειες όπως απαιτείται από το CVE-2022-23825 και τις πληροφορίες κλειδιού μητρώου που παρέχονται σε αυτό το γνωσιακή βάση άρθρο.

Για περισσότερες πληροφορίες, ανατρέξτε στο ενημερωτικό δελτίο ασφαλείας AMD-SB-1037 .

Στις 8 Αυγούστου 2023, δημοσιεύσαμε το CVE-2023-20569 | Πρόβλεψη διεύθυνσης επιστροφής (γνωστή και ως Inception), η οποία περιγράφει μια νέα υποθετική επίθεση πλευρικού καναλιού που μπορεί να οδηγήσει σε υποθετική εκτέλεση σε μια διεύθυνση που ελέγχεται από εισβολέα. Αυτό το πρόβλημα επηρεάζει ορισμένους επεξεργαστές AMD και ενδέχεται να οδηγήσει σε αποκάλυψη πληροφοριών.

Για να προστατευτείτε από αυτήν την ευπάθεια, συνιστούμε να εγκαταστήσετε ενημερώσεις των Windows με ημερομηνία ή μεταγενέστερη από τον Αύγουστο του 2023 και, στη συνέχεια, να προβείτε σε ενέργειες όπως απαιτείται από το CVE-2023-20569 και τις πληροφορίες κλειδιού μητρώου που παρέχονται σε αυτό το γνωσιακή βάση άρθρο.

Για περισσότερες πληροφορίες, ανατρέξτε στο ενημερωτικό δελτίο ασφαλείας AMD-SB-7005 .

Στις 9 Απριλίου 2024 δημοσιεύσαμε το CVE-2022-0001 | Intel Branch History Injection , το οποίο περιγράφει την έγχυση ιστορικού υποκαταστημάτων (BHI), η οποία είναι μια συγκεκριμένη μορφή ΔΔΠ εντός λειτουργίας. Αυτή η ευπάθεια προκύπτει όταν ένας εισβολέας μπορεί να χειριστεί το ιστορικό διακλάδωσης πριν από τη μετάβαση από τη λειτουργία χρήστη στην κατάσταση εποπτείας (ή από τη λειτουργία μη root/guest στο VMX). Αυτός ο χειρισμός θα μπορούσε να προκαλέσει έναν έμμεσο προγνωστικό κλάδο να επιλέξει μια συγκεκριμένη καταχώρηση πρόβλεψης για έναν έμμεσο κλάδο και ένα gadget αποκάλυψης στον προβλεπόμενο στόχο θα εκτελεστεί παροδικά. Αυτό μπορεί να είναι δυνατό επειδή το σχετικό ιστορικό διακλάδωσης μπορεί να περιέχει κλάδους που έχουν ληφθεί σε προηγούμενα περιβάλλοντα ασφαλείας, και ειδικότερα, άλλους τρόπους πρόβλεψης.

Από προεπιλογή, η προστασία από χρήστη σε πυρήνα για CVE-2017-5715 είναι απενεργοποιημένη για τους επεξεργαστές AMD. Οι πελάτες πρέπει να ενεργοποιήσουν τον μετριασμό για να λάβουν πρόσθετη προστασία για το CVE-2017-5715.  Για περισσότερες πληροφορίες, ανατρέξτε στις Συνήθεις ερωτήσεις #15 στο ADV180002.

Από προεπιλογή, η προστασία χρήστη προς πυρήνα για CVE-2017-5715 είναι απενεργοποιημένη για τους επεξεργαστές AMD. Οι πελάτες πρέπει να ενεργοποιήσουν τον μετριασμό για να λάβουν πρόσθετη προστασία για το CVE-2017-5715.  Για περισσότερες πληροφορίες, ανατρέξτε στις Συνήθεις ερωτήσεις #15 στο ADV180002.

Για να ενεργοποιήσετε τον μετριασμό για το CVE-2022-23825 σε επεξεργαστές AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Για να προστατεύονται πλήρως, οι πελάτες ενδέχεται επίσης να χρειαστεί να απενεργοποιήσουν Hyper-Threading (γνωστή και ως Ταυτόχρονη πολυνηματική επεξεργασία (SMT)). Ανατρέξτε KB4073757 για οδηγίες σχετικά με την προστασία συσκευών Windows.

Για να ενεργοποιήσετε τον μετριασμό για το CVE-2023-20569 σε επεξεργαστές AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Για να ενεργοποιήσετε τον μετριασμό για το CVE-2022-0001 σε επεξεργαστές Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Για μια λεπτομερή επεξήγηση της εξόδου της δέσμης ενεργειών PowerShell, ανατρέξτε στο KB4074629 .

Προκειμένου να μην επηρεαστούν αρνητικά οι συσκευές των πελατών, οι ενημερώσεις ασφαλείας των Windows που κυκλοφόρησαν τον Ιανουάριο και τον Φεβρουάριο του 2018 δεν προσφέρθηκαν σε όλους τους πελάτες. Για λεπτομέρειες, ανατρέξτε στην ενότητα KB407269 .

Ο μικροκώδικας παρέχεται μέσω μιας ενημέρωσης υλικολογισμικού. Συμβουλευτείτε τον OEM σχετικά με την έκδοση υλικολογισμικού που περιλαμβάνει την κατάλληλη ενημέρωση για τον υπολογιστή σας.

Υπάρχουν πολλές μεταβλητές που επηρεάζουν την απόδοση, από την έκδοση του συστήματος έως τους φόρτους εργασίας που εκτελούνται. Για ορισμένα συστήματα, η επίδραση στην απόδοση θα είναι αμελητέα. Για άλλους, θα είναι σημαντικό.

Σας συνιστούμε να αξιολογήσετε τις επιπτώσεις απόδοσης στα συστήματά σας και να κάνετε τις απαραίτητες προσαρμογές.

Εκτός από τις οδηγίες που παρέχονται σε αυτό το άρθρο σχετικά με τις εικονικές μηχανές, θα πρέπει να επικοινωνήσετε με την υπηρεσία παροχής για να βεβαιωθείτε ότι οι κεντρικοί υπολογιστές που εκτελούν τις εικονικές μηχανές σας προστατεύονται επαρκώς.

Για Windows Server εικονικές μηχανές που εκτελούνται στο Azure, ανατρέξτε στο θέμα Οδηγίες για τον μετριασμό των ευπαθειών υποθετικής εκτέλεσης πλευρικού καναλιού στο Azure . Για οδηγίες σχετικά με τη χρήση του Azure Update Management για τον μετριασμό αυτού του προβλήματος σε φιλοξενούμενες εικονικές μηχανές, ανατρέξτε στην ενότητα KB4077467.

Οι ενημερώσεις που κυκλοφόρησαν για Windows Server είδωλα κοντέινερ για Windows Server 2016 και Windows 10, έκδοση 1709 περιλαμβάνουν τους μετριασμούς για αυτό το σύνολο ευπαθειών. Δεν απαιτείται πρόσθετη ρύθμιση παραμέτρων.

Σημείωση Πρέπει να βεβαιωθείτε ότι ο κεντρικός υπολογιστής στον οποίο εκτελούνται αυτά τα κοντέινερ έχει ρυθμιστεί ώστε να ενεργοποιεί τους κατάλληλους μετριασμούς.

Όχι, η σειρά εγκατάστασης δεν έχει σημασία.

Ναι, πρέπει να κάνετε επανεκκίνηση μετά την ενημέρωση του υλικολογισμικού (μικροκώδικα) και μετά την ενημέρωση του συστήματος.

Ακολουθούν οι λεπτομέρειες για τα κλειδιά μητρώου:

Το FeatureSettingsOverride αντιπροσωπεύει ένα bitmap που παρακάμπτει την προεπιλεγμένη ρύθμιση και τα στοιχεία ελέγχου ποια μετριασμούς θα απενεργοποιηθούν. Το Bit 0 ελέγχει τον μετριασμό που αντιστοιχεί στο CVE-2017-5715. Το Bit 1 ελέγχει τη λύση που αντιστοιχεί στο CVE-2017-5754. Τα bit ορίζονται σε 0 για να ενεργοποιήσουν τον μετριασμό και σε 1 για να απενεργοποιήσουν τον μετριασμό.

Το FeatureSettingsOverrideMask αντιπροσωπεύει μια μάσκα bitmap που χρησιμοποιείται μαζί με το FeatureSettingsOverride. Σε αυτήν την περίπτωση, χρησιμοποιούμε την τιμή 3 (που αντιπροσωπεύεται ως 11 στο δυαδικό αριθμητικό σύστημα ή στο αριθμητικό σύστημα βάσης-2) για να υποδείξουμε τα δύο πρώτα bit που αντιστοιχούν στους διαθέσιμους μετριασμούς. Αυτό το κλειδί μητρώου έχει οριστεί σε 3 τόσο για την ενεργοποίηση όσο και για την απενεργοποίηση των μετριασμών.

Το MinVmVersionForCpuBasedMitigations προορίζεται για κεντρικούς υπολογιστές Hyper-V. Αυτό το κλειδί μητρώου ορίζει την ελάχιστη έκδοση εικονικής μηχανής που απαιτείται για τη χρήση των ενημερωμένων δυνατοτήτων υλικολογισμικού (CVE-2017-5715). Ρυθμίστε αυτήν την παράμετρο σε 1.0 , ώστε να καλύπτει όλες τις εκδόσεις της εικονικής μηχανής. Παρατηρήστε ότι αυτή η τιμή μητρώου θα παραβλεφθεί (καλοήθης) σε κεντρικούς υπολογιστές που δεν είναι Hyper-V. Για περισσότερες λεπτομέρειες, ανατρέξτε στο θέμα Προστασία φιλοξενούμενων εικονικών μηχανών από CVE-2017-5715 (εισαγωγή προορισμού κλάδου).

Ναι, δεν υπάρχουν παρενέργειες εάν αυτές οι ρυθμίσεις μητρώου εφαρμοστούν πριν από την εγκατάσταση των επιδιορθώσεων που σχετίζονται με τον Ιανουάριο του 2018.

Δείτε μια λεπτομερή περιγραφή της εξόδου δέσμης ενεργειών στο KB4074629: Understanding SpeculationControl PowerShell script output .

Ναι, για Windows Server κεντρικούς υπολογιστές Hyper-V 2016 που δεν έχουν ακόμα διαθέσιμη την ενημέρωση υλικολογισμικού, έχουμε δημοσιεύσει εναλλακτικές οδηγίες που μπορούν να μετριάσουν τις επιθέσεις μεταξύ εικονικών μηχανών ή εικονικών μηχανών για τη φιλοξενία επιθέσεων. Ανατρέξτε στο θέμα Εναλλακτικές προστασίες για κεντρικούς υπολογιστές Windows Server 2016 Hyper-V από τις ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού.

Οι ενημερώσεις αποκλειστικά για την ασφάλεια δεν είναι αθροιστικές. Ανάλογα με την έκδοση του λειτουργικού σας συστήματος, ίσως χρειαστεί να εγκαταστήσετε πολλές ενημερώσεις ασφαλείας για πλήρη προστασία. Γενικά, οι πελάτες θα πρέπει να εγκαταστήσουν τις ενημερώσεις Ιανουαρίου, Φεβρουαρίου, Μαρτίου και Απριλίου 2018. Τα συστήματα με επεξεργαστές AMD χρειάζονται μια πρόσθετη ενημέρωση, όπως φαίνεται στον παρακάτω πίνακα:

Συνιστάται να εγκαταστήσετε τις ενημερώσεις αποκλειστικά για την ασφάλεια με τη σειρά έκδοσης.

Όχι. Η ενημέρωση ασφαλείας KB4078130 ήταν μια συγκεκριμένη επιδιόρθωση για την αποτροπή απρόβλεπτων συμπεριφορών συστήματος, προβλημάτων επιδόσεων και απροσδόκητων επανεκκινήσεων μετά την εγκατάσταση μικροκώδικα. Η εφαρμογή των ενημερώσεων ασφαλείας στα λειτουργικά συστήματα υπολογιστή-πελάτη των Windows ενεργοποιεί και τους τρεις μετριασμούς. Στα λειτουργικά συστήματα Windows Server, θα πρέπει να ενεργοποιήσετε τους μετριασμούς αφού κάνετε τις κατάλληλες δοκιμές. Για περισσότερες πληροφορίες, ανατρέξτε στο θέμα KB4072698.

Αυτό το πρόβλημα επιλύθηκε το KB4093118.

Τον Φεβρουάριο του 2018, η Intel ανακοίνωσε ότι είχε ολοκληρώσει τις επικυρώσεις της και άρχισε να κυκλοφορεί μικροκώδικα για νεότερες πλατφόρμες CPU. Η Microsoft διαθέτει τις επικυρωμένες ενημερώσεις μικροκώδικα της Intel που αφορούν τα Spectre Variant 2, Spectre Variant 2 (CVE-2017-5715 | Έγχυση στόχου υποκαταστήματος).  KB4093836 παραθέτει συγκεκριμένα γνωσιακή βάση άρθρα ανά έκδοση των Windows. Κάθε συγκεκριμένο άρθρο της Γνωσιακής βάσης περιέχει τις διαθέσιμες ενημερώσεις μικροκώδικα της Intel με βάση τον επεξεργαστή.

Στις 11 Ιανουαρίου 2018, η Intel ανέφερε προβλήματα στον μικροκώδικα που κυκλοφόρησε πρόσφατα και ο οποίος προοριζόταν για την επίλυση του Spectre παραλλαγή 2 (CVE-2017-5715 | Έγχυση στόχου υποκαταστήματος). Συγκεκριμένα, η Intel σημείωσε ότι αυτός ο μικροκώδικας μπορεί να προκαλέσει "υψηλότερες από τις αναμενόμενες επανεκκινήσεις και άλλη απρόβλεπτη συμπεριφορά συστήματος" και ότι αυτά τα σενάρια μπορεί να προκαλέσουν "απώλεια ή καταστροφή δεδομένων". Σύμφωνα με την εμπειρία μας, η αστάθεια του συστήματος μπορεί να προκαλέσει απώλεια ή καταστροφή δεδομένων σε ορισμένες περιπτώσεις. Στις 22 Ιανουαρίου, η Intel πρότεινε στους πελάτες να σταματήσουν να αναπτύσσουν την τρέχουσα έκδοση μικροκώδικα στους επηρεαζόμενους επεξεργαστές, ενώ η Intel εκτελεί πρόσθετες δοκιμές στην ενημερωμένη λύση. Κατανοούμε ότι η Intel συνεχίζει να διερευνά τις πιθανές επιπτώσεις της τρέχουσας έκδοσης μικροκώδικα. Ενθαρρύνουμε τους πελάτες να ελέγχουν τις οδηγίες σε συνεχή βάση, ώστε να λαμβάνουν ενημερωμένες αποφάσεις.

Καθώς η Intel πραγματοποιεί δοκιμές, ενημερώσεις και αναπτύσσει νέο μικροκώδικα, διαθέτουμε μια ενημέρωση εκτός ζώνης (OOB), την KB4078130, η οποία συγκεκριμένα απενεργοποιεί μόνο τη λύση έναντι του CVE-2017-5715. Στις δοκιμές μας, αυτή η ενημερωμένη έκδοση βρέθηκε ότι αποτρέπει την περιγραφόμενη συμπεριφορά. Για την πλήρη λίστα των συσκευών, ανατρέξτε στις οδηγίες για την αναθεώρηση μικροκώδικα από την Intel. Η ενημέρωση αυτή καλύπτει το Windows 7 Service Pack 1 (SP1) Windows 8.1 και όλες τις εκδόσεις του Windows 10, τόσο το πρόγραμμα-πελάτη όσο και το διακομιστή. Αν χρησιμοποιείτε μια συσκευή που επηρεάζεται, αυτή η ενημέρωση μπορεί να εφαρμοστεί με λήψη της από την τοποθεσία web Κατάλογος του Microsoft Update. Η εφαρμογή αυτού του ωφέλιμου φορτίου απενεργοποιεί συγκεκριμένα μόνο τη λύση έναντι του CVE-2017-5715.

Προς το παρόν, δεν υπάρχουν γνωστές αναφορές που να υποδεικνύουν ότι αυτό το Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection) έχει χρησιμοποιηθεί για επιθέσεις σε πελάτες. Συνιστούμε, κατά περίπτωση, στους χρήστες των Windows να ενεργοποιήσουν ξανά τη λύση έναντι της ευπάθειας CVE-2017-5715, όταν η Intel αναφέρει ότι έχει επιλυθεί αυτή η απρόβλεπτη συμπεριφορά συστήματος για τη συσκευή σας.

Τον Φεβρουάριο του 2018, η Intel ανακοίνωσε ότι ολοκλήρωσε τις επικυρώσεις της και άρχισε να κυκλοφορεί μικροκώδικα για νεότερες πλατφόρμες CPU. Η Microsoft διαθέτει ενημερώσεις μικροκώδικα επικυρωμένες από την Intel που σχετίζονται με τα Spectre Variant 2, Spectre Variant 2 (CVE-2017-5715 | Έγχυση στόχου υποκαταστήματος). KB4093836 παραθέτει συγκεκριμένα γνωσιακή βάση άρθρα ανά έκδοση των Windows. Τα KB παραθέτουν τις διαθέσιμες ενημερώσεις μικροκώδικα της Intel ανά CPU.

Για περισσότερες πληροφορίες, ανατρέξτε στα άρθρα AMD Security Ενημερώσεις και AMD Whitepaper: Architecture Guidelines around Indirect Branch Control . Αυτά είναι διαθέσιμα από το κανάλι υλικολογισμικού OEM.

Διαθέτουμε ενημερώσεις μικροκώδικα με επικύρωση Intel που αφορούν το Spectre Variant 2 (CVE-2017-5715 | Έγχυση στόχου υποκαταστήματος). Για να λάβουν τις τελευταίες ενημερώσεις μικροκώδικα της Intel μέσω του Windows Update, οι πελάτες πρέπει να έχουν εγκαταστήσει μικροκώδικα της Intel στις συσκευές που εκτελούν ένα λειτουργικό σύστημα Windows 10 πριν από την αναβάθμιση στην Ενημέρωση Απριλίου 2018 του Windows 10 (έκδοση 1803).

Η ενημέρωση μικροκώδικα είναι επίσης διαθέσιμη απευθείας από τον κατάλογο του Microsoft Update, αν δεν εγκαταστάθηκε στη συσκευή πριν από την αναβάθμιση του συστήματος. Ο μικροκώδικας της Intel είναι διαθέσιμος μέσω του Windows Update, του Υπηρεσίες Windows Server Update Services (WSUS) ή του Καταλόγου του Microsoft Update. Για περισσότερες πληροφορίες και οδηγίες λήψης, ανατρέξτε στο KB4100347.

Για περισσότερες πληροφορίες, ανατρέξτε στους παρακάτω πόρους:

• ADV180012 | Οδηγίες της Microsoft για ευπάθειες Speculative Store Bypass για CVE-2018-3639
• ADV180013 | Οδηγίες της Microsoft για καταχώρηση συστήματος απατεώνων για CVE-2018-3640 και KB 4073065 | Οδηγίες για πελάτες επιφάνεια
• Ιστολόγιο έρευνας και άμυνας στον τομέα της ασφάλειας της Microsoft
• Καθοδήγηση προγραμματιστών για ευπάθειες Speculative Store Bypass

Δείτε τις ενότητες "Προτεινόμενες ενέργειες" και "Συνήθεις ερωτήσεις" του ADV180012 | Οδηγίες της Microsoft για ευπάθειες Speculative Store Bypass.

Για να επαληθευτεί η κατάσταση του SSBD, η δέσμη ενεργειών PowerShell Get-SpeculationControlSettings έχει ενημερωθεί για τον εντοπισμό των επεξεργαστών που επηρεάζονται, την κατάσταση των ενημερώσεων του λειτουργικού συστήματος SSBD και την κατάσταση του μικροκώδικα του επεξεργαστή, εάν υπάρχει. Για περισσότερες πληροφορίες και για να αποκτήσετε τη δέσμη ενεργειών PowerShell, ανατρέξτε στο θέμα KB4074629.

Στις 13 Ιουνίου 2018, ανακοινώθηκε μια πρόσθετη ευπάθεια που αφορά την υποθετική εκτέλεση πλευρικού καναλιού, γνωστή ως Lazy FP State Restore, και εκχωρήθηκε CVE-2018-3665 . Για πληροφορίες σχετικά με αυτήν την ευπάθεια και τις προτεινόμενες ενέργειες, ανατρέξτε στο Συμβουλευτικό δελτίο ασφάλειας ADV180016 | Οδηγίες της Microsoft για Lazy FP State Restore .

Σημείωση Δεν υπάρχουν απαιτούμενες ρυθμίσεις διαμόρφωσης (μητρώου) για την επαναφορά FP Lazy Restore.

Το Bounds Check Bypass Store (BCBS) αποκαλύφθηκε στις 10 Ιουλίου 2018 και αντιστοιχίστηκε στο CVE-2018-3693. Θεωρούμε ότι η υπηρεσία BCBS ανήκει στην ίδια κατηγορία ευπαθειών με την παράκαμψη ελέγχου ορίων (παραλλαγή 1). Προς το παρόν, δεν έχουμε υπόψη μας καμία παρουσία της υπηρεσίας BCBS στο λογισμικό μας. Ωστόσο, συνεχίζουμε να ερευνούμε αυτήν την κατηγορία ευπάθειας και θα συνεργαστούμε με συνεργάτες του κλάδου για την έκδοση μετριασμών, όπως απαιτείται. Ενθαρρύνουμε τους ερευνητές να υποβάλουν τυχόν σχετικά ευρήματα στο πρόγραμμα επιβράβευσης Microsoft Speculative Execution Side Channel, συμπεριλαμβανομένων τυχόν εκμεταλλεύσιμων παρουσιών του BCBS. Οι προγραμματιστές λογισμικού θα πρέπει να εξετάσουν τις οδηγίες προγραμματιστή που έχουν ενημερωθεί για το BCBS στο C++ Οδηγίες προγραμματιστών για μη επιδιωκόμενα πλευρικά κανάλια εκτέλεσης

Στις 14 Αυγούστου 2018, ανακοινώθηκε το L1 Terminal Fault (L1TF) και του εκχωρήθηκαν πολλαπλά CVE. Αυτές οι νέες ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού μπορούν να χρησιμοποιηθούν για την ανάγνωση του περιεχομένου της μνήμης κατά μήκος ενός αξιόπιστου ορίου και, εάν αξιοποιηθούν, θα μπορούσαν να οδηγήσουν σε αποκάλυψη πληροφοριών. Υπάρχουν πολλά διανύσματα με τα οποία ένας εισβολέας θα μπορούσε να ενεργοποιήσει τις ευπάθειες, ανάλογα με το ρυθμισμένο περιβάλλον. Το L1TF επηρεάζει τους επεξεργαστές Intel® Core® και τους επεξεργαστές Intel® Xeon®.

Για περισσότερες πληροφορίες σχετικά με αυτό το θέμα ευπάθειας και μια λεπτομερή προβολή των σεναρίων που επηρεάζονται, συμπεριλαμβανομένης της προσέγγισης της Microsoft για τον μετριασμό του L1TF, ανατρέξτε στους ακόλουθους πόρους:

• ADV180018 | Οδηγίες της Microsoft για τον μετριασμό της παραλλαγής L1TF
• Συμβουλευτικές υπηρεσίες ασφάλειας Ιστολόγιο έρευνας ασφάλειας
• Καθοδήγηση διακομιστή για σφάλμα τερματικού L1

Τα βήματα για την απενεργοποίηση Hyper-Threading διαφέρουν από τον OEM στον OEM, αλλά γενικά αποτελούν μέρος των εργαλείων εγκατάστασης και ρύθμισης παραμέτρων του BIOS ή του υλικολογισμικού.

Οι πελάτες που χρησιμοποιούν επεξεργαστές ARM 64 bit πρέπει να επικοινωνήσουν με τον κατασκευαστή της συσκευής για υποστήριξη υλικολογισμικού, επειδή οι προστασίες του λειτουργικού συστήματος ARM64 μετριάζουν το CVE-2017-5715 | Η έγχυση προορισμού κλάδου (Spectre, παραλλαγή 2) απαιτεί την πιο πρόσφατη ενημέρωση υλικολογισμικού από OEM συσκευών για να τεθεί σε ισχύ.

Για περισσότερες πληροφορίες, ανατρέξτε στις ακόλουθες προειδοποιήσεις ασφαλείας

• Συμβουλευτικό δελτίο ασφαλείας της Intel
• ADV190013 | Οδηγίες της Microsoft για τον μετριασμό των ευπαθειών δειγματοληψίας μικροαρχιτεκτονικών δεδομένων

Μπορείτε να βρείτε περισσότερες οδηγίες στις οδηγίες των Windows για την προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού

Ανατρέξτε στις οδηγίες στις οδηγίες των Windows για την προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού

Για Azure οδηγίες, ανατρέξτε σε αυτό το άρθρο: Οδηγίες για τον μετριασμό των ευπαθειών υποθετικής εκτέλεσης πλευρικού καναλιού στο Azure.

Για περισσότερες πληροφορίες σχετικά με την ενεργοποίηση του Retpoline, ανατρέξτε στην ανάρτηση ιστολογίου μας: Mitigating Spectre variant 2 with Retpoline on Windows .

Για λεπτομέρειες σχετικά με αυτό το θέμα ευπάθειας, ανατρέξτε στον Οδηγό ασφαλείας της Microsoft: CVE-2019-1125 | Ευπάθεια αποκάλυψης πληροφοριών πυρήνα των Windows.

Δεν γνωρίζουμε καμία περίπτωση ευπάθειας αυτής της αποκάλυψης πληροφοριών που να επηρεάζει την υποδομή των υπηρεσιών cloud.

Μόλις αντιληφθήκαμε αυτό το πρόβλημα, εργαστήκαμε γρήγορα για να το αντιμετωπίσουμε και να κυκλοφορήσουμε μια ενημέρωση. Πιστεύουμε ακράδαντα στις στενές συνεργασίες τόσο με τους ερευνητές όσο και με τους συνεργάτες του κλάδου για να κάνουμε τους πελάτες πιο ασφαλείς και δεν δημοσιεύσαμε λεπτομέρειες μέχρι την Τρίτη 6 Αυγούστου, σύμφωνα με τις συντονισμένες πρακτικές αποκάλυψης ευπαθειών.

Μπορείτε να βρείτε περαιτέρω οδηγίες στις οδηγίες των Windows για την προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού.

Μπορείτε να βρείτε περαιτέρω οδηγίες στις οδηγίες των Windows για την προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού.

Περισσότερες οδηγίες μπορείτε να βρείτε στην ενότητα Οδηγίες για την απενεργοποίηση της δυνατότητας Intel Transactional Synchronization Extensions (Intel TSX).

Τα προϊόντα τρίτων κατασκευαστών που περιγράφονται σε αυτό το άρθρο κατασκευάζονται από εταιρείες ανεξάρτητες από τη Microsoft. Δεν παρέχουμε καμία εγγύηση, έμμεση ή άλλη, σχετικά με την απόδοση και την αξιοπιστία αυτών των προϊόντων.

Παρέχουμε στοιχεία επικοινωνίας τρίτων για να σας βοηθήσουμε να βρείτε τεχνική υποστήριξη. Αυτά τα στοιχεία επικοινωνίας μπορεί να αλλάξουν χωρίς προειδοποίηση. Δεν εγγυόμαστε την ακρίβεια αυτών των στοιχείων επικοινωνίας τρίτων.