KB4073119: Guía de cliente de Windows para que los profesionales de TI se protejan frente a las vulnerabilidades de microarquitectura y de canal lateral de ejecución especulativa basadas en silicon

El 14 de mayo de 2019, Intel publicó información acerca de una nueva subclase de vulnerabilidades del canal de ejecución especulativa, conocida como Muestreo de datos de microarquitectura. Estas vulnerabilidades se abordan en los siguientes CVEs:

• CVE-2019-11091 | Memoria no almacenable en caché de muestreo de datos de microarquitectura (MDSUM)
• CVE-2018-12126 | Muestreo de datos del búfer del almacén de microarquitecturas (MSBDS)
• CVE-2018-12127 | Muestreo de datos de búfer de relleno de microarquitectura (MFBDS)
• CVE-2018-12130 | Muestreo de datos de puerto de carga de microarquitectura (MLPDS)

Hemos publicado actualizaciones para ayudar a mitigar estas vulnerabilidades. Para poder disfrutar de todas las protecciones disponibles, se requieren actualizaciones de firmware (microcódigo) y software. Esto puedo incluir microcódigo de los OEM del dispositivo. En algunos casos, la instalación de estas actualizaciones afectará al rendimiento. Así mismo, también hemos tomado medidas para proteger sus servicios en la nube. Le recomendamos que implemente estas actualizaciones.

Para obtener más información sobre este problema, consulte el siguiente Aviso de seguridad y siga los consejos basados en escenario para determinar cuáles son las acciones necesarias para mitigar la amenaza:

• ADV190013 | Microsoft Guidance to mitigate Microarchitectural Data Sampling vulnerabilities
• Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa

El 6 de agosto de 2019, Intel publicó información detallada sobre una vulnerabilidad de divulgación de información del kernel de Windows. Esta vulnerabilidad es una variante de la vulnerabilidad de canal lateral de ejecución especulativa de la variante 1 de Spectre y se le ha asignado CVE-2019-1125.

El 9 de julio de 2019, publicamos actualizaciones de seguridad para el sistema operativo Windows con el fin de ayudar a mitigar este problema. Tenga en cuenta que aplazamos la documentación pública de esta mitigación hasta la divulgación coordinada en el sector del martes 6 de agosto de 2019.

Los clientes que tengan habilitado Windows Update y que hayan aplicado las actualizaciones de seguridad publicadas el 9 de julio de 2019 están protegidos automáticamente. No es necesario realizar ninguna configuración adicional.

Para obtener más información sobre esta vulnerabilidad y las actualizaciones aplicables, consulte la Guía de actualizaciones de seguridad de Microsoft:

• CVE-2019-1125 | Vulnerabilidad de divulgación de información del kernel de Windows

El 12 de noviembre de 2019, Intel publicó un aviso técnico sobre la vulnerabilidad de anulación asincrónica de transacciones de Intel Transactional Synchronization Extensions (Intel TSX) a la que se le asignó el aviso CVE-2019-11135. Hemos publicado actualizaciones para ayudar a mitigar esta vulnerabilidad. De forma predeterminada, las protecciones del sistema operativo están habilitadas para las ediciones de SO de cliente de Windows.

El 14 de junio de 2022, publicamos ADV220002 | Las instrucciones de Microsoft sobre las vulnerabilidades de datos obsoletos del procesador MMIO de Intel. Las vulnerabilidades se asignan en los siguientes CVEs:

• CVE-2022-21123 | Lectura de datos del búfer compartido (SBDR)
• CVE-2022-21125 | Muestreo de datos en búfer compartido (SBDS)
• CVE-2022-21127 | Actualización del muestreo de datos del búfer de registro especial (actualización SRBDS)
• CVE-2022-21166 | Escritura parcial del registro del dispositivo (DRPW)

Acciones recomendadas

Debe realizar las siguientes acciones para ayudar a protegerse contra estas vulnerabilidades:

1. Aplique todas las actualizaciones disponibles del sistema operativo Windows, incluidas las actualizaciones de seguridad de Windows mensuales.
2. Aplique la actualización del firmware (microcódigo) correspondiente que proporciona el fabricante del dispositivo.
3. Evalúe el riesgo para el entorno en función de la información proporcionada en los avisos de seguridad de Microsoft ADV180002, ADV180012, ADV190013 y ADV220002, además de la información proporcionada en este artículo.
4. Tome medidas según sea necesario mediante los avisos y información de clave del Registro que se proporcionan en este artículo.

El 12 de julio de 2022 publicamos CVE-2022-23825 | Confusión de tipo de rama de CPU de AMD que describe que los alias en el predictor de rama pueden hacer que ciertos procesadores AMD predigan el tipo de rama incorrecto. Este problema podría provocar la divulgación de información.

Para ayudar a protegerse contra esta vulnerabilidad, recomendamos instalar las actualizaciones de Windows con fecha de julio de 2022 o posterior y luego tomar las medidas requeridas por CVE-2022-23825 y la información de la clave de registro que se proporciona en este artículo de knowledge base.

Para obtener más información, consulte el boletín de seguridad AMD-SB-1037 .

El 8 de agosto de 2023 publicamos CVE-2023-20569 | Predictor de direcciones de retorno de CPU de AMD (también conocido como Inicio) que describe un nuevo ataque de canal lateral especulativo que puede dar lugar a una ejecución especulativa en una dirección controlada por un atacante. Este problema afecta a determinados procesadores AMD y podría provocar la divulgación de información.

Para ayudar a protegerse contra esta vulnerabilidad, recomendamos instalar las actualizaciones de Windows con fecha de agosto de 2023 o posterior y luego tomar las medidas requeridas por CVE-2023-20569 y la información clave del registro que se proporciona en este artículo de knowledge base.

Para obtener más información, consulte el boletín de seguridad AMD-SB-7005 .

El 9 de abril de 2024 publicamos CVE-2022-0001 | Inserción de historial de ramas de Intel , que describe la inserción de historial de ramas (BHI), que es una forma específica de BTI dentro del modo. Esta vulnerabilidad se produce cuando un atacante puede manipular el historial de ramas antes de pasar del usuario al modo supervisor (o del modo VMX que no es de raíz/invitado al modo raíz). Esta manipulación podría provocar que un predictor de rama indirecta seleccione una entrada de predictor específica para una rama indirecta, y se ejecutará de forma transitoria un gadget de divulgación en el destino previsto. Esto puede ser posible porque el historial de ramas relevante puede contener ramas tomadas en contextos de seguridad anteriores y, en particular, otros modos de predicción.

De manera predeterminada, la protección de usuario a kernel para CVE-2017-5715 está deshabilitada para las CPU AMD y ARM. Debe habilitar la mitigación para recibir protecciones adicionales para CVE-2017-5715. Para obtener más información, consulte Preguntas frecuentes #15 en ADV180002 para procesadores AMD y Preguntas frecuentes #20 en ADV180002 para procesadores ARM.

De manera predeterminada, la protección de usuario a kernel para CVE-2017-5715 está deshabilitada para los procesadores AMD. Los clientes deben habilitar la mitigación para recibir protecciones adicionales para CVE-2017-5715.  Para más información, consulte las Preguntas frecuentes #15 en ADV180002.

Para habilitar la mitigación de CVE-2022-23825 en procesadores AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para estar totalmente protegidos, es posible que los clientes también necesiten deshabilitar Hyper-Threading (también conocido como multiproceso simultáneo (SMT)). Consulte KB4073757 para obtener instrucciones sobre cómo proteger dispositivos Windows.

Para habilitar la mitigación de CVE-2023-20569 en procesadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para habilitar la mitigación de CVE-2022-0001 en procesadores Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Para obtener una explicación detallada de la salida del script de PowerShell, consulte KB4074629.

El microcódigo se obtiene a través de una actualización de firmware. Debe consultar con los fabricantes de la CPU (conjunto de chips) y los dispositivos si existe alguna actualización de seguridad de firmware que se pueda aplicar a un dispositivo en particular, incluidas las instrucciones de revisión de microcódigo de Intel.

Abordar una vulnerabilidad de hardware a través de una actualización de software presenta grandes desafíos. Además, las mitigaciones para los sistemas operativos más antiguos requieren cambios arquitectónicos de gran alcance. Estamos trabajando con los fabricantes de los chips afectados para determinar la mejor manera de proporcionar mitigaciones, que es posible que se publiquen en actualizaciones futuras.

Las actualizaciones de los dispositivos Microsoft Surface se proporcionarán a los clientes a través de Windows Update junto con las actualizaciones del sistema operativo Windows. Para obtener una lista de las actualizaciones de firmware (microcódigo) de dispositivos Surface, consulte KB4073065.

Si el dispositivo no es de Microsoft, aplique el firmware del fabricante del dispositivo. Para obtener más información, póngase en contacto con el fabricante de dispositivos OEM.

En febrero y marzo de 2018, Microsoft lanzó protección adicional para algunos sistemas basados en x86. Para obtener más información, consulte KB4073757 y el Aviso de seguridad de Microsoft ADV180002.

Las actualizaciones de Windows 10 para HoloLens están disponibles para los clientes de HoloLens a través de Windows Update.

Después  de aplicar la actualización de seguridad de febrero de 2018 de Windows, los clientes de HoloLens no deben  realizar ninguna acción adicional para actualizar el firmware de sus dispositivos. Estas mitigaciones también se incluirán en las próximas versiones de Windows 10 para HoloLens.

No. Las actualizaciones de solo seguridad no son acumulativas. En función de la versión de sistema operativo que ejecute, debe instalar todas las actualizaciones de solo seguridad  mensuales para protegerse contra estas vulnerabilidades. Por ejemplo, si ejecuta Windows 7 para sistemas de 32 bits en una CPU Intel afectada, debe  instalar todas las  actualizaciones de solo seguridad. Se recomienda instalar estas actualizaciones de solo seguridad según el orden de lanzamiento.

Nota Una versión anterior de estas Preguntas frecuentes indicaba de forma incorrecta que la actualización de solo seguridad de febrero incluía las correcciones de seguridad publicadas en enero. De hecho, no lo hace.

No. La actualización de seguridad 4078130 era una corrección específica para evitar comportamientos inesperados del sistema, problemas de desempeño o rearranques inesperados después de la instalación del microcódigo. La aplicación de las actualizaciones de seguridad de febrero en los sistemas operativos cliente de Windows habilita las tres mitigaciones.

Intel anunció recientemente que ha completado las validaciones y ha comenzado a distribuir el microcódigo para nuevas plataformas de CPU. Microsoft pondrá a disposición de sus usuarios las actualizaciones de microcódigo de la variante 2 de Spectre (CVE-2017-5715 "inserción de destino de bifurcación") que haya validado Intel. KB4093836 enumera una serie específica de artículos de Knowledge Base según cada versión de Windows. Cada artículo de KB contiene las actualizaciones disponibles de microcódigo de Intel según la CPU.

Este problema se resolvió en KB4093118.

AMD anunció recientemente que ha comenzado a distribuir el microcódigo para nuevas plataformas de CPU de la variante 2 de Spectre (CVE-2017-5715 "Inserción de destino de bifurcación"). Para obtener más información, consulte las Novedades de seguridad de AMD y AMD Whitepaper: Architecture Guidelines around Indirect Branch Control. Está disponible en el canal de firmware de OEM.

Microsoft pondrá a disposición de sus usuarios las actualizaciones de microcódigo de la variante 2 de Spectre (CVE-2017-5715 “Inserción de destino de bifurcación"”) que haya validado Intel. Para obtener las actualizaciones más recientes de microcódigo de Intel a través de Windows Update, los clientes deben haber instalado un microcódigo de Intel en dispositivos que ejecutan un sistema operativo de Windows 10 antes actualizarlo a la versión de abril de 2018 de Windows 10 (versión 1803).

La actualización de microcódigo también está disponible directamente desde el Catálogo si no se instaló en el dispositivo antes de actualizar el SO. El microcódigo de Intel está disponible a través de Windows Update, de WSUS o del sitio web del Catálogo de Microsoft Update. Para obtener más información e instrucciones de descarga, consulte KB4100347.

Para más información, vea los recursos siguientes:

• ADV180012 | Guía de Microsoft sobre Speculative Store Bypass para CVE-2018-3639
• ADV180013 | Guía de Microsoft sobre Lectura de registros de sistemas no autorizados para CVE-2018-3640 y KB4073065
• Blog de defensa e investigación de seguridad de Microsoft
• Guía para desarrolladores sobre Speculative Store Bypass

Para obtener detalles, consulte las secciones "Acciones recomendadas" y "P+F" de ADV180012 | Asistencia de Microsoft para la derivación de almacenamiento especulativo.

Para comprobar el estado de SSBD, el script de PowerShell Get-SpeculationControlSettings se actualizó para detectar los procesadores afectados, el estado de las actualizaciones del sistema operativo para SSBD y el estado del microcódigo del procesador, si procede. Para obtener más información y el script de PowerShell, consulte KB4074629.

El 13 de junio de 2018, se anunció una nueva vulnerabilidad relacionada con la ejecución especulativa del canal lateral conocida como Lazy FP State Restore a la que se asignó CVE-2018-3665. No se requiere configurar ninguna opción del Registro para Lazy Restore FP Restore.

Para más información sobre esta vulnerabilidad y conocer las acciones recomendadas, consulte el aviso de seguridad ADV180016 | Microsoft Guidance for Lazy FP State Restore.

Bounds Check Bypass Store (BCBS) se divulgó el 10 de julio de 2018 y se le asignó CVE-2018-3693. Consideramos que BCBS pertenece a la misma clase de vulnerabilidades que Bounds Check Bypass (variante 1). Actualmente, no conocemos de instancias de BCBS en nuestro software, pero seguimos investigando esta clase de vulnerabilidades y trabajaremos con los partners del sector para publicar mitigaciones según sea necesario. Seguimos animando a los investigadores a que envíen las conclusiones pertinentes al programa de recompensa de canal lateral de ejecución especulativa de Microsoft, incluso toda instancia aprovechable de BCBS. Los desarrolladores de software deben revisar las instrucciones para desarrolladores que se actualizaron para BCBS en https://aka.ms/sescdevguide.

El 14 de agosto de 2018, se anunció L1 Terminal Fault (L1TF) y se le asignaron múltiples CVE. Estas nuevas vulnerabilidades de canal lateral de ejecución especulativa pueden utilizarse para leer el contenido de la memoria a través de un límite de confianza y, si se explotan, pueden provocar que se divulgue información. Un atacante podría desencadenar vulnerabilidades a través de varios vectores en función del entorno configurado. L1TF afecta a los procesadores de Intel® Core® e Intel® Xeon®.

Para obtener más información sobre esta vulnerabilidad y una vista detallada de los escenarios afectados, incluido el enfoque de Microsoft para mitigar L1TF, consulte los siguientes recursos:

• ADV180018 | Guía de Microsoft para mitigar la variante L1TF
• Blog de investigación de seguridad de avisos de seguridad
• Guía de servidor para L1 Terminal Fault

Los clientes que usan procesadores ARM de 64 bits deben comprobar con el OEM del dispositivo si tienen soporte técnico de firmware, ya que las protecciones del sistema operativo de ARM64 que mitigan CVE-2017-5715 | La inserción de destino de bifurcación (variante 2 de Spectre) requiere la última actualización de firmware de los OEM del dispositivo para surtir efecto.

Para obtener más información al respecto, consulte los avisos de seguridad siguientes:

• Aviso de seguridad de Intel
• ADV190013 | Microsoft Guidance to mitigate Microarchitectural Data Sampling vulnerabilities

Para obtener más información al respecto, consulte los avisos de seguridad siguientes:

• Aviso de seguridad de Intel
• ADV190013 | Microsoft Guidance to mitigate Microarchitectural Data Sampling vulnerabilities

Puede encontrar más información en la Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa

Obtenga más información en la Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa

Para obtener instrucciones de Azure, consulte este artículo: Guía para mitigar vulnerabilidades de canal lateral de ejecución especulativa en Azure.

Para obtener más información sobre la habilitación de Retpoline, consulte nuestra entrada de blog: Mitigating Spectre variant 2 with Retpoline on Windows (Mitigación de la variante 2 de Spectre con Retpoline en Windows).

Para obtener más información sobre esta vulnerabilidad, consulte la Guía de seguridad de Microsoft: CVE-2019-1125 | Vulnerabilidad de divulgación de información del kernel de Windows.

No tenemos conocimientos de instancias en las que esta vulnerabilidad de divulgación de información haya afectado a nuestra infraestructura de servicios en la nube.

Tan pronto conocimos el problema, trabajamos rápidamente para solucionarlo y publicar una actualización. Creemos firmemente en establecer asociaciones estrechas con investigadores y partners del sector para la protección de nuestros clientes y no publicamos detalles hasta el martes, 6 de agosto, de acuerdo con las prácticas de divulgación de vulnerabilidades coordinadas.

Puede encontrar más información en Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa.

Puede encontrar más información en Guía de Windows para protegerse contra vulnerabilidades del canal lateral de ejecución especulativa.

Puede encontrar más instrucciones en Guidance for disabling Intel® Transactional Synchronization Extensions (Intel® TSX) capability.

Proporcionamos información de contacto de otros proveedores para ayudarle a encontrar soporte técnico. Dicha información de contacto puede cambiar sin notificación previa. No garantizamos la precisión de esta información de contacto de terceros.