KB4073225-οδηγίες για τον SQL Server για προστασία από τα τρωτά σημεία, τα τρωτά σημεία και τα μικροαρχιτεκτονικά δεδομένα δειγματοληψίας

Σύνοψη

Η Microsoft έχει επίγνωση μιας νέας κλάσης ευπάθειας που έχει δημοσιοποιηθεί δημόσια και αναφέρεται ως "κερδοσκοπικές επιθέσεις από πλευράς καναλιού εκτέλεσης" που επηρεάζουν πολλούς σύγχρονους επεξεργαστές και λειτουργικά συστήματα. Αυτό περιλαμβάνει την Intel, την AMD και το ARM. Σημείωση Αυτό το πρόβλημα επηρεάζει επίσης άλλα συστήματα, όπως το Android, το Chrome, το iOS και το MacOS. Επομένως, συμβουλεύουμε τους πελάτες να αναζητούν καθοδήγηση από αυτούς τους προμηθευτές.

Η Microsoft έχει κυκλοφορήσει αρκετές ενημερώσεις για να μετριάσει αυτά τα θέματα ευπάθειας. Έχουμε επίσης λάβει μέτρα για να εξασφαλίσουμε τις υπηρεσίες cloud. Για περισσότερες πληροφορίες, ανατρέξτε στις παρακάτω ενότητες.

Η Microsoft δεν έχει λάβει καμία πληροφορία για να υποδείξει ότι αυτά τα θέματα ευπάθειας έχουν χρησιμοποιηθεί για την επίθεση προς τους πελάτες αυτή τη στιγμή. Η Microsoft συνεχίζει να συνεργάζεται στενά με τους βιομηχανικούς εταίρους, συμπεριλαμβανομένων των κατασκευαστών chip, των ΟΕΜ υλικού και των προμηθευτών εφαρμογών, για την προστασία των πελατών. Για να λάβετε όλες τις διαθέσιμες προστασίες, απαιτούνται ενημερώσεις υλικού ή υλικολογισμικού και λογισμικού. Αυτό περιλαμβάνει μικροκώδικα από τους OEM της συσκευής και, σε ορισμένες περιπτώσεις, ενημερώσεις για το λογισμικό προστασίας από ιούς. Για περισσότερες πληροφορίες σχετικά με τα θέματα ευπάθειας, ανατρέξτε στο θέμα συμβουλευτική ADV180002 ασφαλείας της Microsoft. Για γενικές οδηγίες για την άμβλυνση αυτής της κλάσης ευπάθειας, ανατρέξτε στο θέμα οδηγίες για τον μετριασμό των τρωτών σημείων του δευτερεύοντος καναλιού εκτέλεσης με κερδοσκοπικούς τύπους

Microsoft Published ADV190013-οδηγίες της Microsoft για τον μετριασμό των ευπαθειών στη δειγματοληψία μικροαρχιτεκτονικών δεδομένων τον μάιο του 2019. Ο SQL Server δεν διαθέτει συγκεκριμένες ενημερωμένες εκδόσεις κώδικα ασφαλείας για το πρόβλημα που περιγράφεται στο ADV190013. Μπορείτε να δείτε οδηγίες για περιβάλλοντα που επηρεάζονται από το ADV190013 στην ενότητα συστάσεων αυτού του άρθρου. Λάβετε υπόψη ότι αυτό το συμβουλευτικό δελτίο ισχύει μόνο για επεξεργαστές Intel.

Πώς μπορείτε να αποκτήσετε και να εγκαταστήσετε την ενημέρωση

Αυτή η ενημέρωση είναι επίσης διαθέσιμη μέσω των υπηρεσιών Windows Server Update Services (WSUS) ή της τοποθεσίας Web του Microsoft Update Catalog.Σημείωση: αυτή η ενημέρωση δεν θα ληφθεί και θα εγκατασταθεί αυτόματα μέσω του Windows Update.

Υποστηριζόμενες εκδόσεις του SQL Server που επηρεάζονται

Η Microsoft συνιστά σε όλους τους πελάτες να εγκαταστήσουν τις ενημερώσεις του SQL Server (που αναφέρονται παρακάτω) ως μέρος του κανονικού κύκλου επιδιόρθωσης.  Οι πελάτες που εκτελούν τον SQL Server σε ένα ασφαλές περιβάλλον όπου οι πόντοι επεκτασιμότητας είναι αποκλεισμένοι και όλος ο κώδικας τρίτου μέρους που εκτελείται στον ίδιο διακομιστή είναι αξιόπιστος και εγκεκριμένος θα πρέπει να επηρεάζεται από αυτό το πρόβλημα.

Οι παρακάτω εκδόσεις του SQL Server έχουν διαθέσιμες ενημερώσεις όταν εκτελούνται σε συστήματα επεξεργαστών x86 και x64:

• SQL Server 2008

• SQL Server 2008R2

• SQL Server 2012

• SQL Server 2014

• SQL Server 2016

• SQL Server 2017

Δεν πιστεύουμε ότι επηρεάζεται το IA64 (Microsoft SQL Server 2008). Η υπηρεσία πλατφόρμας αναλυτικών λύσεων της Microsoft (APS) βασίζεται στον Microsoft SQL Server 2014 ή στον Microsoft SQL Server 2016, αλλά δεν επηρεάζεται ειδικά. Ορισμένες γενικές οδηγίες για το APS παρατίθενται παρακάτω σε αυτό το άρθρο.

Συστάσεις

Ο παρακάτω πίνακας περιγράφει τι πρέπει να κάνουν οι πελάτες, ανάλογα με το περιβάλλον στο οποίο εκτελείται ο SQL Server και ποιες λειτουργίες χρησιμοποιούνται. Η Microsoft συνιστά να αναπτύξετε επιδιορθώσεις χρησιμοποιώντας τις συνήθεις διαδικασίες για να ελέγξετε τα νέα δυαδικά αρχεία πριν από την ανάπτυξή τους σε περιβάλλοντα παραγωγής.

Συμβουλευτική επιδόσεων

Συνιστάται στους πελάτες να αξιολογούν την απόδοση της συγκεκριμένης εφαρμογής τους όταν εφαρμόζουν ενημερώσεις.

Η Microsoft συμβουλεύει όλους τους πελάτες να εγκαταστήσουν ενημερωμένες εκδόσεις του SQL Server και των Windows. Αυτό θα πρέπει να έχει έναν αμελητέο-έως-ελάχιστο αντίκτυπο στις υπάρχουσες εφαρμογές, με βάση τον έλεγχο του φόρτου εργασίας SQL από τη Microsoft. Ωστόσο, συνιστούμε να ελέγξετε όλες τις ενημερώσεις πριν από την ανάπτυξή τους σε περιβάλλον παραγωγής.

Η Microsoft έχει μετρήσει το αποτέλεσμα της σκίασης εικονικών διευθύνσεων πυρήνα (KVAS), της υποκατεύθυνσης του πίνακα σελίδων πυρήνα (KPTI) και του μετριασμού πρόβλεψης έμμεσων κλάδων (ΑΕΣ) σε διάφορους φόρτους εργασίας SQL σε διάφορα περιβάλλοντα και εντόπισε ορισμένους φόρτους εργασίας με σημαντική υποβάθμιση. Συνιστάται να ελέγξετε το αποτέλεσμα επιδόσεων της ενεργοποίησης αυτών των δυνατοτήτων πριν από την ανάπτυξή τους σε ένα περιβάλλον παραγωγής. Εάν το αποτέλεσμα της απόδοσης της ενεργοποίησης αυτών των δυνατοτήτων είναι πολύ υψηλό για μια υπάρχουσα εφαρμογή, μπορείτε να εξετάσετε εάν η απομόνωση του SQL Server από μη αξιόπιστο κώδικα που εκτελείται στον ίδιο υπολογιστή είναι ένας καλύτερος μετριασμός για την εφαρμογή σας.

Περισσότερες πληροφορίες σχετικά με το αποτέλεσμα της απόδοσης από την έμμεση υποστήριξη του υλικού μετριασμού πρόβλεψης κλάδων (ΑΕΣ) είναι αναλυτικά εδώ.

Η Microsoft θα ενημερώσει αυτήν την ενότητα με περισσότερες πληροφορίες όταν είναι διαθέσιμη.

Ενεργοποίηση της σκίασης εικονικών διευθύνσεων του πυρήνα (KVAS στα Windows) και του indirecting πίνακα σελίδων πυρήνα (KPTI σε Linux)

Το KVAS και το KPTI μετριάζουν το CVE 2017-5754, γνωστό και ως "κατάρρευση" ή "παραλλαγή 3" στην αποκάλυψη του GPZ.

Ο SQL Server εκτελείται σε πολλά περιβάλλοντα: φυσικούς υπολογιστές, ΣΠΣ σε δημόσια και ιδιωτικά περιβάλλοντα cloud, σε συστήματα Linux και Windows. Ανεξάρτητα από το περιβάλλον, το πρόγραμμα εκτελείται σε υπολογιστή ή VM. Ονομάστε αυτό το όριοασφαλείας.

Εάν όλος ο κώδικας στο όριο έχει πρόσβαση σε όλα τα δεδομένα σε αυτό το όριο, δεν είναι απαραίτητη καμία ενέργεια. Εάν αυτό δεν συμβαίνει, το όριο λέγεται ότι είναι πολυ-μισθωτής. Τα θέματα ευπάθειας που διαπιστώθηκαν καθιστούν δυνατή τη χρήση οποιουδήποτε κώδικα, ακόμα και με μειωμένα δικαιώματα, που εκτελούνται σε οποιαδήποτε διεργασία σε αυτό το όριο, για την ανάγνωση οποιωνδήποτε άλλων δεδομένων μέσα σε αυτό το όριο. Εάν υπάρχει κάποια διεργασία στο όριο που εκτελεί μη αξιόπιστο κώδικα, θα μπορούσε να χρησιμοποιήσει αυτά τα θέματα ευπάθειας για την ανάγνωση δεδομένων από άλλες διεργασίες. Αυτός ο μη αξιόπιστος κώδικας μπορεί να είναι μη αξιόπιστος κώδικας με τη χρήση μηχανισμών επεκτασιμότητας του SQL Server ή άλλων διεργασιών στο όριο που εκτελεί μη αξιόπιστο κώδικα.

Για προστασία από μη αξιόπιστο κώδικα σε ένα όριο πολλών μισθωτών, χρησιμοποιήστε μία από τις ακόλουθες μεθόδους

• Κατάργηση του μη αξιόπιστου κώδικα. Για περισσότερες πληροφορίες σχετικά με τον τρόπο για να το κάνετε αυτό για τους μηχανισμούς επεκτασιμότητας του SQL Server, ανατρέξτε παρακάτω. Για να καταργήσετε μη αξιόπιστο κώδικα από άλλες εφαρμογές στο ίδιο όριο, συνήθως απαιτούνται αλλαγές στην εφαρμογή. Για παράδειγμα, ο διαχωρισμός σε δύο ΣΠΣ.

• Ενεργοποιήστε το KVAS ή το KPTI. Αυτό θα έχει εφέ επιδόσεων. Για περισσότερες πληροφορίες, όπως περιγράφεται παραπάνω σε αυτό το άρθρο.

Για περισσότερες πληροφορίες σχετικά με τον τρόπο με τον οποίο μπορείτε να ενεργοποιήσετε το KVAS για Windows, ανατρέξτε στο θέμα KB4072698. Για περισσότερες πληροφορίες σχετικά με τον τρόπο με τον οποίο μπορείτε να ενεργοποιήσετε το KPTI σε Linux, συμβουλευτείτε τον διανομέα του λειτουργικού σας συστήματος.

Παράδειγμα σεναρίου στο οποίο συνιστάται ανεπιφύλακτα το KVAS ή το KPTI

Ένας φυσικός υπολογιστής εσωτερικής εγκατάστασης που φιλοξενεί τον SQL Server ως λογαριασμός διαχειριστή χωρίς σύστημα επιτρέπει στους πελάτες να υποβάλουν αυθαίρετες δέσμες ενεργειών R για να εκτελεστούν μέσω του SQL Server (το οποίο χρησιμοποιεί δευτερεύουσες διεργασίες για την εκτέλεση αυτών των δεσμών ενεργειών εκτός του Sqlservr. exe). Είναι απαραίτητο να ενεργοποιήσετε το KVAS και το KPTI και τα δύο για προστασία από την αποκάλυψη δεδομένων μέσα στη διαδικασία Sqlservr. exe και για την προστασία από την αποκάλυψη δεδομένων μέσα στη μνήμη πυρήνα του συστήματος. Σημείωση Ένας μηχανισμός επεκτασιμότητας εντός του SQL Server δεν θεωρείται αυτόματα μη ασφαλής μόνο και μόνο επειδή χρησιμοποιείται. Αυτοί οι μηχανισμοί μπορούν να χρησιμοποιηθούν με ασφάλεια στον SQL Server, με την προϋπόθεση ότι κάθε εξάρτηση είναι κατανοητή και αξιόπιστη από τον πελάτη. Επίσης, υπάρχουν και άλλα προϊόντα που είναι ενσωματωμένα στην κορυφή του SQL, τα οποία ενδέχεται να απαιτούν μηχανισμούς επεκτασιμότητας για να λειτουργήσουν σωστά. Για παράδειγμα, μια συσκευασμένη εφαρμογή που είναι ενσωματωμένη στο επάνω μέρος του SQL Server μπορεί να απαιτεί ένα συνδεδεμένο διακομιστή ή μια αποθηκευμένη διαδικασία CLR για να λειτουργεί σωστά. Η Microsoft δεν συνιστά να τα καταργήσετε αυτά ως μέρος του μετριασμού. Αντί για αυτό, εξετάστε κάθε χρήση για να προσδιορίσετε εάν αυτός ο κώδικας είναι κατανοητός και αξιόπιστος ως αρχική ενέργεια. Αυτή η καθοδήγηση παρέχεται για να βοηθήσει τους πελάτες να προσδιορίσουν εάν βρίσκονται σε μια κατάσταση στην οποία πρέπει να ενεργοποιήσουν το KVAS. Αυτό συμβαίνει επειδή αυτή η ενέργεια έχει σημαντικές επιπτώσεις στις επιδόσεις.

Ενεργοποίηση της υποστήριξης υλικού μετριασμού (ΑΕΣ) έμμεσης πρόβλεψης κλάδων

Η ΑΕΣ μετριάζει κατά του CVE 2017-5715, γνωστό και ως ήμισυ του φαντάσματος ή της "variant 2" στην αποκάλυψη του GPZ.

Οι οδηγίες σε αυτό το άρθρο για να ενεργοποιήσετε το KVAS στα Windows επιτρέπουν επίσης την ΑΕΣ. Ωστόσο, το ΑΕΣ απαιτεί επίσης μια ενημέρωση υλικολογισμικού από τον κατασκευαστή του υλικού σας. Εκτός από τις οδηγίες στο KB4072698 για να ενεργοποιήσετε την προστασία στα Windows, οι πελάτες πρέπει να λαμβάνουν και να εγκαθιστούν ενημερώσεις από τον κατασκευαστή του υλικού τους.

Παράδειγμα σεναρίου στο οποίο συνιστάται ανεπιφύλακτα η ΑΕΣ

Ένας φυσικός υπολογιστής εσωτερικής εγκατάστασης φιλοξενεί τον SQL Server παράλληλα με μια εφαρμογή που επιτρέπει στους μη αξιόπιστους χρήστες να αποστέλλουν και να εκτελούν αυθαίρετο κώδικα JavaScript. Αν υποθέσουμε ότι υπάρχουν εμπιστευτικά δεδομένα στη βάση δεδομένων SQL, συνιστάται ανεπιφύλακτα η ΑΕΣ ως μέτρο προστασίας από την αποκάλυψη πληροφοριών από διεργασία σε διεργασία.

Σε περιπτώσεις όπου δεν υπάρχει υποστήριξη υλικού ΑΕΣ, η Microsoft συνιστά το διαχωρισμό των μη αξιόπιστων διεργασιών και της αξιόπιστης διεργασίας σε διαφορετικούς φυσικούς υπολογιστές ή εικονικές μηχανές.

Χρήστες του Linux: επικοινωνήστε με τον διανομέα του λειτουργικού συστήματος για πληροφορίες σχετικά με τον τρόπο προστασίας από την παραλλαγή 2 (CVE 2017-5715).

Ένα παράδειγμα σεναρίου στο οποίο συνιστάται ιδιαίτερα ο μετριασμός των ευπαθειών για τη δειγματοληψία μικροαρχιτεκτονικών δεδομένων

Εξετάστε ένα παράδειγμα όπου ένας διακομιστής εσωτερικής εγκατάστασης εκτελεί δύο παρουσίες του SQL Server που φιλοξενεί δύο διαφορετικές επιχειρηματικές εφαρμογές σε δύο διαφορετικές εικονικές μηχανές στον ίδιο φυσικό κεντρικό υπολογιστή. Ας υποθέσουμε ότι αυτές οι δύο επιχειρηματικές εφαρμογές δεν πρέπει να έχουν τη δυνατότητα ανάγνωσης δεδομένων που είναι αποθηκευμένα σε παρουσίες του SQL Server. Ένας εισβολέας που εκμεταλλεύτηκε με επιτυχία αυτά τα θέματα ευπάθειας μπορεί να έχει τη δυνατότητα να διαβάσει τα προνομιούχα δεδομένα σε σχέση με τα όρια αξιοπιστίας, χρησιμοποιώντας μη αξιόπιστο κώδικα που εκτελείται στον υπολογιστή ως ξεχωριστή διεργασία ή μη αξιόπιστος κώδικας που εκτελείται με τη χρήση μηχανισμού επεκτασιμότητας του SQL Server (ανατρέξτε στην ενότητα παρακάτω για επιλογές επεκτασιμότητας στον SQL Server). Στα κοινόχρηστα περιβάλλοντα πόρων (όπως υπάρχει σε ορισμένες ρυθμίσεις παραμέτρων των υπηρεσιών cloud), αυτά τα θέματα ευπάθειας θα μπορούσαν να επιτρέψουν σε μία εικονική μηχανή να αποκτήσει εσφαλμένη πρόσβαση σε πληροφορίες από μια άλλη. Σε σενάρια χωρίς περιήγηση σε αυτόνομα συστήματα, ένας εισβολέας θα χρειαστεί προηγούμενη πρόσβαση στο σύστημα ή δυνατότητα εκτέλεσης μιας ειδικά κατασκευασμένης εφαρμογής στο σύστημα προορισμού για τη μόχλευση αυτών των ευπαθειών.

Μη αξιόπιστοι μηχανισμοί επεκτασιμότητας του SQL Server

Ο SQL Server περιέχει πολλές δυνατότητες και μηχανισμούς επεκτασιμότητας. Οι περισσότεροι από αυτούς τους μηχανισμούς είναι απενεργοποιημένοι από προεπιλογή. Ωστόσο, συμβουλεύουμε τους πελάτες να εξετάζουν κάθε παρουσία παραγωγής για τη χρήση δυνατοτήτων επεκτασιμότητας. Συνιστούμε κάθε μία από αυτές τις δυνατότητες να περιοριστεί στο ελάχιστο όριο δυαδικών αρχείων και οι πελάτες να περιορίζουν την πρόσβαση για να εμποδίσουν την εκτέλεση αυθαίρετου κώδικα στον ίδιο υπολογιστή με τον SQL Server. Συμβουλεύουμε τους πελάτες να προσδιορίσουν αν θα εμπιστευτούν κάθε δυαδικό αρχείο και να απενεργοποιήσουν ή να αφαιρέσουν μη αξιόπιστα δυαδικά αρχεία.

• Συγκροτήσεις CLR SQL

• Πακέτα r και Python που εκτελούνται μέσω του μηχανισμού εξωτερικών δεσμών ενεργειών ή εκτελούνται από το αυτόνομο Studio εκμάθησης R/Machine στον ίδιο φυσικό υπολογιστή με τον SQL Server

• Σημεία επεκτασιμότητας παράγοντα SQL που εκτελούνται στον ίδιο φυσικό υπολογιστή με τον SQL Server (δέσμες ενεργειών ActiveX)

• Υπηρεσίες παροχής OLE DB που δεν ανήκουν στη Microsoft και χρησιμοποιούνται σε συνδεδεμένους διακομιστές

• Σύνθετες αποθηκευμένες διαδικασίες που δεν ανήκουν στη Microsoft

• Αντικείμενα COM που εκτελούνται εντός του διακομιστή (με πρόσβαση μέσω sp_OACreate)

• Προγράμματα που εκτελούνται μέσω xp_cmdshell

Μετριασμούς που πρέπει να ακολουθήσετε εάν χρησιμοποιείτε μη αξιόπιστο κώδικα στον SQL Server: