KB4072698: Instrucciones para Windows Server y Azure Stack HCI para protegerse frente a vulnerabilidades de canal de ejecución especulativa y microarquitectural basadas en placas

En este artículo se abordan las siguientes vulnerabilidades de ejecución especulativa:

• CVE-2017-5715 | Inyección de destino de rama
• CVE-2017-5753 | Comprobar omisión de límites
• CVE-2017-5754 | Carga de caché de datos rogue
• CVE-2018-3639 | Omisión especulativa de store

Windows Update también proporcionará mitigaciones de Internet Explorer y Edge. Continuaremos mejorando estas mitigaciones contra esta clase de vulnerabilidades.

Para más información sobre esta clase de vulnerabilidades, consulte

• ADV180002 | Guidance to mitigate speculative execution side-channel vulnerabilities
• ADV180012 | Microsoft Guidance for Speculative Store Bypass

El 14 de mayo de 2019, Intel publicó información sobre una nueva subclase de vulnerabilidades de canal lateral de ejecución especulativa conocida como Muestreo de datos microarchivar y documentada en ADV190013 | Muestreo de datos microarchitecturales. A estas vulnerabilidades, se les han asignado los CVE siguientes:

• CVE-2019-11091 | Muestreo de datos microarchitectural memoria que no se puede almacenar (MDSUM)
• CVE-2018-12126 | Muestreo de datos del búfer del almacén de microarquitecturas (MSBDS)
• CVE-2018-12127 | Muestreo de datos de búfer de relleno microarchitectural (MFBDS)
• CVE-2018-12130 | Muestreo de datos de puertos de carga microarchitectural (MLPDS)

Microsoft ha publicado actualizaciones para ayudar a mitigar estas vulnerabilidades. Para poder disfrutar de todas las protecciones disponibles, se requieren actualizaciones de firmware (microcódigo) y software. Esto puedo incluir microcódigo de los OEM del dispositivo. En algunos casos, la instalación de estas actualizaciones afectará al rendimiento. Así mismo, también hemos tomado medidas para proteger sus servicios en la nube. Le recomendamos que implemente estas actualizaciones.

Para obtener más información sobre este problema, consulte el siguiente Aviso de seguridad y siga los consejos basados en escenario para determinar cuáles son las acciones necesarias para mitigar la amenaza:

• ADV190013 | Microsoft Guidance to mitigate Microarchitectural Data Sampling vulnerabilities
• Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa

El 6 de agosto de 2019, Intel publicó información detallada sobre una vulnerabilidad de divulgación de información del kernel de Windows. Esta vulnerabilidad es una variante de spectre, vulnerabilidad de canal lateral de ejecución especulativa variante 1 y se ha asignado CVE-2019-1125.

El 9 de julio de 2019, publicamos actualizaciones de seguridad para el sistema operativo Windows con el fin de ayudar a mitigar este problema. Tenga en cuenta que aplazamos la documentación pública de esta mitigación hasta la divulgación coordinada en el sector del martes 6 de agosto de 2019.

Los clientes que tengan habilitado Windows Update y que hayan aplicado las actualizaciones de seguridad publicadas el 9 de julio de 2019 están protegidos automáticamente. No es necesario realizar ninguna configuración adicional.

Para obtener más información sobre esta vulnerabilidad y las actualizaciones aplicables, consulte la Guía de actualizaciones de seguridad de Microsoft:

• CVE-2019-1125 | Vulnerabilidad de divulgación de información del kernel de Windows

El 12 de noviembre de 2019, Intel publicó un aviso técnico sobre la vulnerabilidad de anulación asincrónica de transacciones de Intel® Transaction Extensions (Intel TSX) que se asigna a CVE-2019-11135. Microsoft ha publicado actualizaciones para ayudar a mitigar esta vulnerabilidad y las protecciones del sistema operativo están habilitadas de forma predeterminada para Windows Server 2019, pero deshabilitadas de forma predeterminada para Windows Server 2016 y versiones anteriores del sistema operativo Windows Server.

El 14 de junio de 2022, publicamos ADV220002 | Guía de Microsoft sobre vulnerabilidades de datos obsoletos de MMIO del procesador Intel y asignados estos CVEs:

• CVE-2022-21123 | Lectura de datos de búfer compartida (SBDR)
• CVE-2022-21125 | Muestreo de datos de búfer compartido (SBDS)
• CVE-2022-21127 | Actualización especial de muestreo de datos de búfer de registro (actualización SRBDS)
• CVE-2022-21166 | Escritura parcial del registro de dispositivo (DRPW)

Acciones recomendadas

Debe realizar las siguientes acciones para ayudar a protegerse contra las vulnerabilidades:

1. Aplique todas las actualizaciones disponibles del sistema operativo Windows, incluidas las actualizaciones de seguridad de Windows mensuales.
2. Aplique la actualización del firmware (microcódigo) correspondiente que proporciona el fabricante del dispositivo.
3. Evalúe el riesgo para su entorno en función de la información que se proporciona en los avisos de seguridad de Microsoft: ADV180002, ADV180012, ADV190013 y ADV220002, además de la información proporcionada en este artículo de knowledge base.
4. Tome medidas según sea necesario mediante los avisos y información de clave del Registro que se proporcionan en este artículo de knowledge base.

El 12 de julio de 2022, publicamos CVE-2022-23825 | Confusión del tipo de rama de CPU DE AMD que describe que los alias en el predictor de rama pueden hacer que determinados procesadores AMD pronostiquen el tipo de rama incorrecto. Este problema podría provocar la divulgación de información.

Para ayudar a protegerse frente a esta vulnerabilidad, recomendamos instalar las actualizaciones de Windows con fecha de julio de 2022 o posteriores y, a continuación, tomar medidas según lo requiera CVE-2022-23825 e información de clave del Registro que se proporciona en este knowledge base artículo.

Para obtener más información, consulta el boletín de seguridad AMD-SB-1037 .

El 8 de agosto de 2023, publicamos CVE-2023-20569 | Return Address Predictor (también conocido como Inception) que describe un nuevo ataque de canal lateral especulativo que puede dar lugar a la ejecución especulativa en una dirección controlada por un atacante. Este problema afecta a determinados procesadores AMD y podría provocar la divulgación de información.

Para ayudar a protegerte frente a esta vulnerabilidad, te recomendamos instalar las actualizaciones de Windows con fecha de agosto de 2023 o posteriores y, a continuación, tomar medidas según lo requiera CVE-2023-20569 e información de clave del Registro que se proporciona en este knowledge base artículo.

Para obtener más información, consulta el boletín de seguridad AMD-SB-7005 .

El 9 de abril de 2024 publicamos CVE-2022-0001 | Inyección de historial de rama intel que describe la inyección de historial de ramas (BHI), que es una forma específica de BTI intra mode. Esta vulnerabilidad se produce cuando un atacante puede manipular el historial de ramas antes de pasar del usuario al modo supervisor (o del modo VMX que no es de raíz/invitado al modo raíz). Esta manipulación podría provocar que un predictor de rama indirecta seleccione una entrada de predictor específica para una rama indirecta, y se ejecutará de forma transitoria un gadget de divulgación en el destino previsto. Esto puede ser posible porque el historial de ramas relevante puede contener ramas tomadas en contextos de seguridad anteriores y, en particular, otros modos de predicción.

De manera predeterminada, la protección de usuario a kernel para CVE-2017-5715 está deshabilitada para las CPU AMD. Los clientes deben habilitar la mitigación para recibir protecciones adicionales para CVE-2017-5715.  Para más información, consulte las Preguntas frecuentes #15 en ADV180002.

De manera predeterminada, la protección de usuario a kernel para CVE-2017-5715 está deshabilitada para los procesadores AMD. Los clientes deben habilitar la mitigación para recibir protecciones adicionales para CVE-2017-5715.  Para más información, consulte las Preguntas frecuentes #15 en ADV180002.

Para habilitar la mitigación para CVE-2022-23825 en procesadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para estar totalmente protegidos, es posible que los clientes también necesiten deshabilitar Hyper-Threading (también conocido como multiproceso simultáneo (SMT)). Consulta KB4073757 para obtener instrucciones sobre la protección de dispositivos Windows.

Para habilitar la mitigación para CVE-2023-20569 en procesadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para habilitar la mitigación para CVE-2022-0001 en procesadores Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Para obtener una explicación detallada del resultado del script de PowerShell, vea KB4074629 .

A fin de evitar que los dispositivos de los clientes se vean afectados negativamente, las actualizaciones de seguridad de Windows que se publicaron en enero y febrero de  2018  no se ofrecieron a todos los clientes. Para obtener más información, consulte KB407269 .

El microcódigo se obtiene a través de una actualización de firmware. Póngase en contacto con su OEM para que le informe qué  versión de firmware tiene la actualización adecuada para su equipo.

Existen múltiples variables que afectan el rendimiento, desde la versión del sistema hasta las cargas de trabajo que se ejecutan. En  algunos sistemas, el impacto en el rendimiento será insignificante. En  otros, será considerable.

Se recomienda que evalúe el impacto en el rendimiento de sus sistemas y que realice los ajustes necesarios.

Además de las instrucciones que aparecen en este artículo con respecto a las máquinas virtuales, debe ponerse en contacto con su proveedor de servicios para asegurarse de que los hosts que ejecutan sus máquinas virtuales están adecuadamente protegidos.

Para las máquinas virtuales de Windows Server que se ejecutan en Azure, consulte Guía para mitigar las vulnerabilidades del canal lateral de ejecución especulativa en Azure. Para obtener instrucciones sobre cómo usar Azure Administración de actualizaciones para mitigar este problema en máquinas virtuales invitadas, vea KB4077467.

Las actualizaciones que se publicaron para las imágenes del contenedor de Windows Server para Windows Server 2016 y Windows 10, versión 1709, incluyen mitigaciones para este conjunto de vulnerabilidades. No se precisa ninguna configuración adicional.

Nota Debe asegurarse de que el host en el que se ejecutan estos contenedores está configurado para habilitar las mitigaciones adecuadas.

No, el orden de instalación es indiferente.

Sí, debe reiniciar la máquina después la actualización del firmware (microcódigo) y nuevamente después de la actualización del sistema.

Estos son los detalles sobre las claves del Registro:

FeatureSettingsOverride representa un mapa de bits que anula la configuración predeterminada y controla las mitigaciones que se deshabilitarán. El bit 0 controla la mitigación adecuada para CVE-2017-5715. El bit 1 controla la mitigación que corresponde a CVE-2017-5754. Los bits se establecen en 0 para habilitar la mitigación y en 1 para deshabilitar la mitigación.

FeatureSettingsOverrideMask representa una máscara de mapa de bits que se usa junto con FeatureSettingsOverride. En esta situación, usamos el valor 3 (representado como 11 en el sistema numérico binario o en el sistema de números base 2) para indicar los dos primeros bits que corresponden a las mitigaciones disponibles. Esta clave del Registro se establece en 3, tanto  para habilitar las mitigaciones como para deshabilitarlas.

MinVmVersionForCpuBasedMitigations es para los hosts de Hyper-V. Esta clave del Registro define la versión mínima de VM necesaria para que puedas usar las capacidades de firmware actualizadas (CVE-2017-5715). Esta clave se establece en 1.0 para cubrir todas las versiones de máquina virtual. Tenga en cuenta que este valor del registro se ignorará (benigno) en los hosts que no son de Hyper-V. Para obtener más información, consulte Proteger las máquinas virtuales invitadas de CVE-2017-5715 (inserción de destino de rama).

Sí. No  hay efectos secundarios si estos valores del registro se aplican antes de instalar las correcciones relacionadas con enero de 2018.

Consulte una descripción detallada de la salida del script en KB4074629: Descripción de la salida del script de PowerShell de CryptoControl .

Sí. En el caso de los hosts de Hyper-V de Windows Server 2016 para los que la actualización del firmware aún no está disponible, hemos publicado instrucciones alternativas que pueden ayudar a mitigar los ataques de máquina virtual a máquina virtual o de máquina virtual al host. Consulte Protección alternativa para hosts de Hyper-V de Windows Server 2016 contra vulnerabilidades del canal lateral de ejecución especulativa.

Las actualizaciones solo de seguridad no son acumulativas. En función de la versión de su sistema operativo, es posible que deba instalar varias actualizaciones de seguridad para contar con protección completa. En general, los clientes deberán instalar las actualizaciones de enero, febrero, marzo y abril de  2018 . Los sistemas que cuentan con procesadores AMD necesitan una actualización adicional, tal como se muestra en la siguiente tabla:

Se recomienda instalar las actualizaciones solo de seguridad en el orden de lanzamiento.

No. La actualización de seguridad KB4078130 era una corrección específica para evitar comportamientos impredecibles del sistema, problemas de rendimiento y reinicios inesperados después de instalar el microcódigo. La aplicación de las actualizaciones de seguridad de febrero en los sistemas operativos cliente de Windows habilita las tres mitigaciones. En los sistemas operativos de Windows Server, aún debe habilitar las mitigaciones después de realizar las pruebas adecuadas. Para obtener más información, consulte KB4072698.

Este problema se ha resuelto en KB4093118.

En febrero de 2018, Intel anunció que había completado sus validaciones y comenzó a lanzar microcódigo para plataformas de CPU más recientes. Microsoft pone a disposición actualizaciones de microcódigo validado de Intel que se refieren a la variante 2 de Spectre de Spectre (CVE-2017-5715 | Inyección de destino de rama).  KB4093836 enumera artículos knowledge base específicos por versión de Windows. Cada artículo específico de KB contiene las actualizaciones disponibles de microcódigo de Intel según la CPU.

El 11 de enero de 2018, Intel informó de problemas en microcódigo publicado recientemente que tenían como objetivo abordar la variante 2 de Spectre (CVE-2017-5715 | Inyección de destino de rama). Específicamente, Intel señaló que este microcódigo puede causar "reinicios superiores a lo esperado y otros comportamientos impredecibles del sistema" y que estos escenarios pueden causar "pérdida de datos o daños". Nuestra experiencia es que la inestabilidad del sistema puede causar pérdida de datos o corrupción en algunas circunstancias. El 22 de enero, Intel recomendó que los clientes dejen de implementar la versión actual del microcódigo en los procesadores afectados mientras Intel realiza pruebas adicionales en la solución actualizada. Entendemos que Intel continúa investigando el potencial efecto de la versión actual del microcódigo. Recomendamos  a los clientes que revisen sus instrucciones constantemente para informar sus decisiones.

Mientras Intel prueba, actualiza e implementa nuevo microcódigo, estamos haciendo disponible una actualización fuera de banda (OOB), KB4078130, que deshabilita específicamente solo la mitigación frente a CVE-2017-5715. Durante las pruebas, se ha observado que esta actualización evita el comportamiento descrito. Para obtener la lista completa de dispositivos, consulta la guía de revisión de microcódigo de Intel. Esta actualización abarca Windows 7 Service Pack 1 (SP1), Windows 8.1 y todas las versiones de Windows 10, tanto para clientes como para servidores. Si estás ejecutando un dispositivo afectado, esta actualización se puede aplicar descargándola desde el sitio web del Catálogo de Microsoft Update. La aplicación de esta carga útil deshabilita específicamente solo la mitigación contra CVE-2017-5715.

A partir de este momento, no hay ningún informe conocido que indique que esta variante 2 de Spectre (CVE-2017-5715 | Inyección de destino de rama) se ha utilizado para atacar a los clientes. Recomendamos a los usuarios de Windows que, cuando sea adecuado, vuelvan a habilitar la mitigación contra CVE-2017-5715 cuando Intel notifique que este comportamiento imprevisible del sistema se haya resuelto para su dispositivo.

En febrero de 2018, Intel anunció que había completado sus validaciones y comenzó a lanzar microcódigo para plataformas de CPU más recientes. Microsoft pone a disposición actualizaciones de microcódigo validado por Intel relacionadas con la variante 2 de Spectre de Spectre (CVE-2017-5715 | Inyección de destino de rama). KB4093836 enumera artículos knowledge base específicos por versión de Windows. Los artículos de KB mencionan las actualizaciones disponibles de microcódigo de Intel según la CPU.

Para obtener más información, consulta las Notas del Novedades de seguridad de AMD y AMD: Directrices de arquitectura sobre el control indirecto de ramas. Está disponible en el canal de firmware de OEM.

Estamos poniendo a disposición actualizaciones de microcódigo validado por Intel que se refieren a la variante 2 de Spectre (CVE-2017-5715 | Inyección de destino de rama). Para obtener las actualizaciones más recientes de microcódigo de Intel a través de Windows Update, los clientes deben haber instalado un microcódigo de Intel en dispositivos que ejecutan un sistema operativo de Windows 10 antes actualizarlo a la versión de abril de 2018 de Windows 10 (versión 1803).

La actualización del microcódigo también está disponible directamente desde el catálogo de Microsoft Update si no se instaló en el dispositivo antes de actualizar el sistema. El microcódigo de Intel está disponible a través de Windows Update, Windows Server Update Services (WSUS) o el catálogo de Microsoft Update. Para obtener más información e instrucciones de descarga, consulta KB4100347.

Para más información, vea los recursos siguientes:

• ADV180012 | Microsoft Guidance for Speculative Store Bypass for CVE-2018-3639
• ADV180013 | Guía de Microsoft sobre Rogue System Register Read para CVE-2018-3640 y KB 4073065 | Guía para clientes de Surface
• Blog de defensa e investigación de seguridad de Microsoft
• Guía para desarrolladores sobre Speculative Store Bypass

Consulte las secciones "Acciones recomendadas" y "Preguntas frecuentes" de ADV180012 | Instrucciones de Microsoft para la omisión especulativa de Store.

Para comprobar el estado de SSBD, se ha actualizado el script de PowerShell Get-SpeculationControlSettings para detectar los procesadores afectados, el estado de las actualizaciones del sistema operativo SSBD y el estado del microcódigo del procesador, si procede. Para obtener más información y el script de PowerShell, consulte KB4074629.

El 13 de junio de 2018, se anunció y asignó CVE-2018-3665 una vulnerabilidad adicional que implica la ejecución especulativa de canal lateral, conocida como Lazy FP State Restore. Para obtener información sobre esta vulnerabilidad y las acciones recomendadas, consulte el Aviso de seguridad ADV180016 | Microsoft Guidance for Lazy FP State Restore .

Nota No se necesitan opciones de configuración (registro) para Lazy Restore FP Restore.

Bounds Check Bypass Store (BCBS) se divulgó el 10 de julio de 2018 y cedió CVE-2018-3693. Consideramos que BCBS pertenece a la misma clase de vulnerabilidades que Bounds Check Bypass (variante 1). Actualmente no estamos al tanto de ninguna instancia de BCBS en nuestro software. Sin embargo, seguimos investigando esta clase de vulnerabilidades y trabajaremos con los partners del sector para publicar mitigaciones según sea necesario. Animamos a los investigadores a enviar cualquier hallazgo relevante al programa de recompensas del Canal de ejecución especulativa de Microsoft, incluyendo cualquier instancia explotable de BCBS. Los desarrolladores de software deben revisar las instrucciones para desarrolladores que se han actualizado para BCBS en C++ Developer Guidance for Speculative Execution Side Channels

El 14 de agosto de 2018, se anunció la vulnerabilidad L1 Terminal Fault (L1TF) y se le asignaron múltiples CVE. Estas nuevas vulnerabilidades de canal lateral de ejecución especulativa pueden utilizarse para leer el contenido de la memoria a través de un límite de confianza y, si se atacan, pueden provocar que se divulgue información. Existen múltiples vectores por medio de los cuales un atacante podría activar las vulnerabilidades, según el entorno configurado. L1TF afecta a los procesadores de Intel® Core® e Intel® Xeon®.

Para obtener más información sobre esta vulnerabilidad y una vista detallada de los escenarios afectados, incluido el enfoque de Microsoft para mitigar L1TF, consulte los siguientes recursos:

• ADV180018 | Guía de Microsoft para mitigar la variante L1TF
• Blog de investigación de seguridad de avisos de seguridad
• Guía de servidor para L1 Terminal Fault

Si bien los pasos necesarios para deshabilitar Hyper-Threading son diferentes según el OEM, en general, son parte de la configuración del BIOS o firmware y de las herramientas de configuración.

Los clientes que usan procesadores ARM de 64 bits deben ponerse en contacto con el OEM del dispositivo para obtener soporte de firmware, ya que las protecciones del sistema operativo ARM64 que mitigan CVE-2017-5715 | La inyección de destino de rama (Spectre, variante 2) requiere la actualización de firmware más reciente de los OEM de dispositivo para que surta efecto.

Para obtener más información al respecto, consulte los avisos de seguridad siguientes:

• Aviso de seguridad de Intel
• ADV190013 | Microsoft Guidance to mitigate Microarchitectural Data Sampling vulnerabilities

Puede encontrar más información en la Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa

Obtenga más información en la Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa

Para obtener instrucciones Azure, consulta este artículo: Instrucciones para mitigar vulnerabilidades de canal de ejecución especulativa en Azure.

Para obtener más información sobre la habilitación de Retpoline, consulta nuestra entrada de blog: Mitigating Spectre variant 2 with Retpoline on Windows .

Para obtener más información sobre esta vulnerabilidad, consulta la Guía de seguridad de Microsoft: CVE-2019-1125 | Vulnerabilidad de divulgación de información del kernel de Windows.

No tenemos conocimientos de instancias en las que esta vulnerabilidad de divulgación de información haya afectado a nuestra infraestructura de servicios en la nube.

Tan pronto conocimos el problema, trabajamos rápidamente para solucionarlo y publicar una actualización. Creemos firmemente en establecer asociaciones estrechas con investigadores y partners del sector para la protección de nuestros clientes y no publicamos detalles hasta el martes, 6 de agosto, de acuerdo con las prácticas de divulgación de vulnerabilidades coordinadas.

Puede encontrar más información en Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa.

Puede encontrar más información en Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa.

Puede encontrar más instrucciones en Guía para deshabilitar Intel  Extensiones de sincronización transaccional (Intel  TSX).

Los productos de otros fabricantes que se mencionan en este artículo han sido creados por compañías independientes de Microsoft. No ofrecemos ninguna garantía, ya sea implícita o de otro tipo, sobre la confiabilidad o el rendimiento de dichos productos.

Proporcionamos información de contacto de otros proveedores para ayudarle a encontrar soporte técnico. Dicha información de contacto puede cambiar sin notificación previa. No garantizamos la precisión de esta información de contacto de terceros.