Registro de cambios
| Cambiar fecha | Descripción de cambio |
|---|---|
| 17 de julio de 2023 | Se ha agregado MMIO y descripciones específicas de los valores de salida en la sección "Salida que tiene todas las mitigaciones habilitadas". |
Resumen
Para ayudarlo a verificar el estado de las mitigaciones de los canales laterales de ejecución especulativa, hemos publicado un script PowerShell (SpeculationControl) que se puede ejecutar en sus dispositivos. Este artículo explica cómo ejecutar el script SpeculationControl y qué significa el resultado.
Los avisos de seguridad ADV180002, ADV180012, ADV180018 y ADV190013 cubren las nueve vulnerabilidades siguientes:
CVE-2017-5715 (inserción de destino de bifurcación)
CVE-2017-5753 (omisión de la comprobación de límites)
Nota
Nota La protección para CVE-2017-5753 (comprobación de límites) no requiere configuraciones de registro adicionales ni actualizaciones de firmware.
CVE-2017-5754 (carga fraudulenta de la caché de datos)
CVE-2018-3639 (derivación del almacenamiento especulativo)
CVE-2018-3620 (error del terminal L1 - SO)
CVE-2018-11091 (Muestreo de datos con microarquitectura de memoria no almacenable en caché (MDSUM))
CVE-2018-12126 (Muestreo de datos con microarquitectura del búfer de almacenamiento (MSBDS))
CVE-2018-12127 (Muestreo de datos con microarquitectura de puerto de carga (MLPDS))
CVE-2018-12130 (Muestreo de datos con microarquitectura de búfer de relleno (MFBDS))
El ADV220002 de aviso cubre vulnerabilidades relacionadas con E/S Memory-Mapped adicionales (MMIO):
- CVE-2022-21123 | Lectura de datos del búfer compartido (SBDR)
- CVE-2022-21125 | Muestreo de datos en búfer compartido (SBDS)
- CVE-2022-21127 | Actualización del muestreo de datos del búfer de registro especial (actualización SRBDS)
- CVE-2022-21166 | Escritura parcial del registro del dispositivo (DRPW)
Este artículo proporciona detalles sobre la secuencia de comandos SpeculationControl PowerShell que ayuda a determinar el estado de las mitigaciones para los CVE enumerados que requieren configuraciones de registro adicionales y, en algunos casos, actualizaciones de firmware.
Más información
Script PowerShell de SpeculationControl
Instale y ejecute el script SpeculationControl mediante uno de los siguientes métodos.
| Método 1: comprobación de PowerShell mediante el Galería de PowerShell (Windows Server 2016 o WMF 5.0/5.1) |
|---|
Instalar el módulo PowerShellPS> Install-Module SpeculationControlEjecute el módulo PowerShell SpeculationControl para verificar que las protecciones están activadas PS> # Save the current execution policy so it can be resetPS> $SaveExecutionPolicy = Get-ExecutionPolicyPS> Set-ExecutionPolicy RemoteSigned -Scope CurrentuserPS> Import-Module SpeculationControlPS> Get-SpeculationControlSettingsPS> # Reset the execution policy to the original statePS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser |
| Método 2: verificación de PowerShell mediante una descarga de TechNet (versiones anteriores del SO/versiones anteriores de WMF) |
|---|
Instalar el módulo PowerShell desde TechNet ScriptCenter
Inicie PowerShell, y luego (siguiendo el ejemplo anterior), copie y ejecute los siguientes comandos: PS> # Save the current execution policy so it can be resetPS> $SaveExecutionPolicy = Get-ExecutionPolicyPS> Set-ExecutionPolicy RemoteSigned -Scope CurrentuserPS> CD C:\ADV180002\SpeculationControlPS> Import-Module .\SpeculationControl.psd1PS> Get-SpeculationControlSettingsPS> # Reset the execution policy to the original statePS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser |
Salida del script PowerShell
La salida del script PowerShell SpeculationControl se parecerá a la siguiente salida. Las protecciones activadas aparecen en la salida como "True".
PS C:\> Get-SpeculationControlSettings
Configuración del control de especulación para CVE-2017-5715 [inserción de destino de bifurcación].
La compatibilidad de hardware para la mitigación de inserción de destino de rama está presente: False
La compatibilidad del so windows para la mitigación de inserción de destino de rama está presente: True
La compatibilidad del so windows para la mitigación de inserción de destino de rama está habilitada: False
La compatibilidad del sistema operativo Windows para la mitigación de inserción de destino de rama está deshabilitada por la directiva del sistema: True
La compatibilidad del sistema operativo Windows para la mitigación de inserción de destino de rama está deshabilitada por la ausencia de compatibilidad de hardware: True
Configuración del control de especulación para CVE-2017-5754 [carga de caché de datos fraudulenta].
El hardware es vulnerable a la carga de caché de datos rogue: True
La compatibilidad del so windows para la mitigación de carga de caché de datos fraudulentos está presente: True
Se ha habilitado la compatibilidad del so windows para la mitigación de carga de caché de datos fraudulentos: True
El hardware requiere sombreado va del kernel: True
La compatibilidad del sistema operativo Windows para la sombra va del kernel está presente: Falso
Se ha habilitado la compatibilidad del sistema operativo Windows para la sombra VA del kernel: False
Se ha habilitado la compatibilidad del sistema operativo Windows para la optimización de PCID: Falso
Ajustes de control de especulación para CVE-2018-3639 [omisión especulativa del almacén]
El hardware es vulnerable a la omisión especulativa del almacén: Verdadero
La compatibilidad de hardware para la mitigación de omisión de almacenamiento especulativo está presente: Falso
La compatibilidad del so windows para la mitigación de omisión de almacenamiento especulativo está presente: True
La compatibilidad del so windows para la mitigación de omisión de almacenamiento especulativo está habilitada en todo el sistema: Falso
Configuración del control de especulación para CVE-2018-3620 [Error del terminal L1].
El hardware es vulnerable al error del terminal L1: Verdadero
El sistema operativo Windows es compatible con la mitigación de errores del terminal L1: Verdadero
El soporte del sistema operativo Windows para la mitigación de errores del terminal L1 está activado: Verdadero
Configuración del control de especulación para MDS [muestreo de datos con microarquitectura].
La compatibilidad del SO de Windows para mitigación MDS está presente: True
El hardware es vulnerable a MDS: True
La compatibilidad del SO de Windows para mitigación MDS está habilitada: True
Configuración de control de especulación para SBDR [datos leídos de búferes compartidos]
La compatibilidad del SO de Windows para la mitigación SBDR está presente: True
El hardware es vulnerable a SBDR: True
Se ha habilitado la compatibilidad del so windows para la mitigación SBDR: True
Ajustes de control de especulación para FBSDP [propagador de datos obsoletos del búfer de relleno]
La compatibilidad del so windows para mitigación FBSDP está presente: True
El hardware es vulnerable a FBSDP: True
La compatibilidad del so windows para la mitigación FBSDP está habilitada: True
Configuración del control de especulación para PSDP [propagador primario de datos obsoletos].
La compatibilidad del so windows para mitigación PSDP está presente: True
El hardware es vulnerable a PSDP: True
La compatibilidad del so windows para mitigación PSDP está habilitada: True
BTIHardwarePresent: True
BTIWindowsSupportPresent: True
BTIWindowsSupportEnabled: True
BTIDisabledBySystemPolicy: False
BTIDisabledByNoHardwareSupport: False
BTIKernelRetpolineEnabled: True
BTIKernelImportOptimizationEnabled: True
RdclHardwareProtectedReported: True
RdclHardwareProtected: False
KVAShadowRequired: True
KVAShadowWindowsSupportPresent: True
KVAShadowWindowsSupportEnabled: True
KVAShadowPcidEnabled: True
SSBDWindowsSupportPresent: True
SSBDHardwareVulnerable: Verdadero
SSBDHardwarePresentar: False
SSBDWindowsSupportEnabledSystemWide: False
L1TFHardwareVulnerable: Verdadero
L1TFWindowsSupportPresent: True
L1TFWindowsSupportEnabled: True
L1TFInvalidPteBit: 45
L1DFlushSupported: False
HvL1tfStatusAvailable: True
HvL1tfProcessorNotAffected: True
MDSWindowsSupportPresent: True
MDSHardwareVulnerable: Verdadero
MDSWindowsSupportEnabled: True
FBClearWindowsSupportPresent: True
SBDRSSDPHardwareVulnerable: Verdadero
FBSDPHardwareVulnerable: Verdadero
PSDPHardwareVulnerable: Verdadero
Explicación de la salida del script PowerShell SpeculationControl
La cuadrícula de salida final corresponde a la salida de las líneas anteriores. Esto aparece porque PowerShell imprime el objeto devuelto por una función. La siguiente tabla explica cada línea de la salida del script PowerShell.
| Resultado | Explicación |
|---|---|
| Configuración del control de especulación para CVE-2017-5715 [inserción de destino de bifurcación]. | Esta sección proporciona el estado del sistema para la variante 2, CVE-2017-5715, inyección de destino de rama. |
| El hardware es compatibilidad con la mitigación de la inserción de destino de bifurcación | Se asigna a BTIHardwarePresent. Esta línea le indica si las características de hardware están presentes para soportar la mitigación de inserción de destino de bifurcación. El OEM del dispositivo es responsable de proporcionar el BIOS/firmware actualizado que contiene el microcódigo proporcionado por los fabricantes de CPU. Si esta línea es Verdadero, las características de hardware requeridas están presentes. Si la línea es Falso, las características de hardware requeridas no están presentes. Por lo tanto, no se puede activar la mitigación de inserción de destino de bifurcación. Nota BTIHardwarePresent será True en las máquinas virtuales invitadas si la actualización del OEM se aplica al host y se sigue la guía . |
| El sistema operativo Windows es compatible con la mitigación de la inserción de destino de bifurcación | Corresponde a BTIWindowsSupportPresent. Esta línea le indica si el sistema operativo Windows es compatible con la mitigación de inserción de destino de bifurcación. Si es Verdadero, el sistema operativo admite habilitar la mitigación de inserción de destino de bifurcación (y, por lo tanto, ha instalado la actualización de enero de 2018). Si es Falso, la actualización de enero de 2018 no está instalada en el dispositivo y no se puede activar la mitigación de inserción de destino de bifurcación. Nota Si una máquina virtual invitada no puede detectar la actualización de hardware del host, BTIWindowsSupportEnabled siempre será False. |
| Se activa la compatibilidad del sistema operativo Windows con la mitigación de la inserción de destino de bifurcación | Se asigna a BTIWindowsSupportEnabled. Esta línea le indica si la compatibilidad con el sistema operativo Windows está activada para la mitigación de la inserción de destino de bifurcación. Si es True, se habilita el soporte técnico de hardware y el so para la mitigación de inserción de destino de rama para el dispositivo, lo que protege frente a CVE-2017-5715. Si es Falso, se cumple una de las siguientes condiciones:
|
| El soporte del sistema operativo Windows para la mitigación de la inserción de destino de bifurcación está deshabilitado por la directiva del sistema | Se asigna a BTIDisabledBySystemPolicy. Esta línea le indica si la mitigación de inserción de destino de bifurcación está deshabilitada por la directiva del sistema (como una directiva definida por el administrador). La directiva del sistema hace referencia a los controles del Registro documentados en KB4072698. Si es Verdadero, la directiva del sistema es responsable de desactivar la mitigación. Si es Falso, la mitigación está desactivada por una causa diferente. |
| El soporte del sistema operativo Windows para la mitigación de la inserción de destino de bifurcación se desactiva por la ausencia de soporte de hardware | Se asigna a BTIDisabledByNoHardwareSupport. Esta línea le indica si la mitigación de inserción de destino de bifurcación está desactivada debido a la ausencia de soporte de hardware. Si es Verdadero, la ausencia de soporte de hardware es responsable de deshabilitar la mitigación. Si es Falso, la mitigación está desactivada por una causa diferente. Nota Si una máquina virtual invitada no puede detectar la actualización de hardware del host, BTIDisabledByNoHardwareSupport siempre será True. |
| Configuración del control de especulación para CVE-2017-5754 [carga de caché de datos fraudulenta]. | Esta sección proporciona el estado del sistema de resumen para la variante 3, CVE-2017-5754, carga de caché de datos rogue. La mitigación para esto se conoce como sombra de dirección virtual del kernel (VA) o mitigación de carga de caché de datos no autorizada. |
| El hardware es vulnerable a la carga fraudulenta de la caché de datos | Se asigna a RdclHardwareProtected. Esta línea le indica si el hardware es vulnerable a CVE-2017-5754. Si es Verdadero, se cree que el hardware es vulnerable a CVE-2017-5754. Si es Falso, se sabe que el hardware no es vulnerable a CVE-2017-5754. |
| El sistema operativo Windows es compatible con la mitigación de la carga de caché de datos no autorizados | Se asigna a KVAShadowWindowsSupportPresent. Esta línea indica si la compatibilidad del sistema operativo Windows para la característica de vigilancia del kernel VA está presente. |
| Se activa la compatibilidad del sistema operativo Windows con la mitigación de la carga de caché de datos no autorizados | Asignado a KVAShadowWindowsSupportEnabled. Esta línea le indica si la función de sombra VA del kernel está habilitada. Si es Verdadero, se cree que el hardware es vulnerable a CVE-2017-5754, el sistema operativo Windows es compatible y la función está habilitada. |
| El hardware requiere la vigilancia del kernel VA | Se asigna a KVAShadowRequired. Esta línea le indica si su sistema requiere la vigilancia del kernel VA para mitigar una vulnerabilidad. |
| El sistema operativo Windows es compatible con la vigilancia del kernel VA | Se asigna a KVAShadowWindowsSupportPresent. Esta línea indica si la compatibilidad del sistema operativo Windows para la característica de vigilancia del kernel VA está presente. Si es Verdadero, la actualización de enero de 2018 está instalada en el dispositivo, y la vigilancia del kernel VA es compatible. Si es Falso, la actualización de enero de 2018 no está instalada, y no existe soporte para la vigilancia del kernel VA. |
| Se activa la compatibilidad del sistema operativo Windows con la vigilancia del kernel VA | Asignado a KVAShadowWindowsSupportEnabled. Esta línea le indica si la función de sombra VA del kernel está habilitada. Si es Verdadero, el sistema operativo Windows es compatible y la función está habilitada. La característica de vigilancia del Kernel VA está actualmente habilitada por defecto en las versiones cliente de Windows y deshabilitada por defecto en las versiones de Windows Server. Si es Falso, o bien no existe compatibilidad con el sistema operativo Windows, o bien la función no está habilitada. |
| Se activa la compatibilidad del sistema operativo Windows con la optimización del rendimiento del PCID Nota PCID no es necesario para la seguridad. Solo indica si está activada una mejora del rendimiento. PCID no es compatible con Windows Server 2008 R2 |
Se asigna a KVAShadowPcidEnabled. Esta línea le indica si está habilitada una optimización de rendimiento adicional para la vigilancia del kernel VA. Si es Verdadero, la vigilancia del kernel VA está habilitada, el hardware es compatible con PCID, y la optimización de PCID para la vigilancia del kernel VA está habilitada. Si es Falso, es posible que el hardware o el sistema operativo no admitan PCID. No es una debilidad de seguridad que la optimización del PCID no esté habilitada. |
| Existe compatibilidad con el sistema operativo Windows para la derivación del almacenamiento especulativo | Se asigna a SSBDWindowsSupportPresent. Esta línea le indica si el sistema operativo Windows es compatible con la opción de la derivación del almacenamiento especulativo. Si es True, la actualización de enero de 2018 se instala en el dispositivo y se admite la sombra va del kernel. Si es False, la actualización de enero de 2018 no está instalada y el soporte de sombra va del kernel no existe. |
| El hardware requiere la derivación del almacenamiento especulativo | Se asigna a SSBDHardwareVulnerablePresent. Esta línea le indica si el hardware es vulnerable a CVE-2018-3639. Si es True, se cree que el hardware es vulnerable a CVE-2018-3639. Si es False, se sabe que el hardware no es vulnerable a CVE-2018-3639. |
| El hardware es compatible con la derivación del almacenamiento especulativo. | Se asigna a SSBDHardwarePresent. Esta línea indica si las características de hardware están presentes para admitir la derivación del almacenamiento especulativo. El OEM del dispositivo es responsable de proporcionar el BIOS/firmware actualizado que contiene el microcódigo proporcionado por Intel. Si esta línea es True, están presentes las características de hardware necesarias. Si la línea es False, las características de hardware necesarias no están presentes. Por lo tanto, no se puede activar la derivación del almacenamiento especulativo. Nota SSBDHardwarePresent se aplicará a las máquinas virtuales invitadas si la actualización del OEM se aplica al host. |
| Se ha activado la compatibilidad con el SISTEMA OPERATIVO Windows para la derivación del almacenamiento especulativo | Se asigna a SSBDWindowsSupportEnabledSystemWide. Esta línea indica si la derivación del almacenamiento especulativo está activada en el sistema operativo Windows. Si es True, el soporte técnico de hardware y el sistema operativo para la deshabilitación de omisión especulativa de store está activado para el dispositivo que impide que se produzca una omisión especulativa de Store, eliminando así el riesgo de seguridad por completo. Si es Falso, se cumple una de las siguientes condiciones:
|
| Configuración del control de especulación para CVE-2018-3620 [Error del terminal L1]. | Esta sección proporciona el estado del sistema de resumen para L1TF (sistema operativo) referido por CVE-2018-3620. Esta mitigación garantiza que se utilicen bits de marco de página seguros para entradas de tabla de páginas no presentes o no válidas. Nota En esta sección no se proporciona un resumen del estado de mitigación para L1TF (VMM) al que hace referencia CVE-2018-3646. |
| El hardware es vulnerable al error del terminal L1: Verdadero | Asignado a L1TFHardwareVulnerable. Esta línea indica si el hardware es vulnerable a errores terminales L1 (L1TF, CVE-2018-3620). Si es Verdadero, se cree que el hardware es vulnerable a CVE-2018-3620. Si es Falso, se sabe que el hardware no es vulnerable a CVE-2018-3620. |
| El sistema operativo Windows es compatible con la mitigación de errores del terminal L1: Verdadero | Se asigna a L1TFWindowsSupportPresent. Esta línea le indica si el sistema operativo Windows es compatible con la mitigación del sistema operativo del error del terminal L1 (L1TF). Si es True, la actualización de agosto de 2018 se instala en el dispositivo y la mitigación para CVE-2018-3620 está presente. Si es Falso, la actualización de agosto de 2018 no está instalada, y la mitigación para CVE-2018-3620 no está presente. |
| El soporte del sistema operativo Windows para la mitigación de errores del terminal L1 está activado: Verdadero | Se asigna a L1TFWindowsSupportEnabled. Esta línea indica si la mitigación del sistema operativo Windows para error de terminal L1 (L1TF, CVE-2018-3620) está habilitada. Si es Verdadero, se cree que el hardware es vulnerable a CVE-2018-3620, la compatibilidad del sistema operativo Windows con la mitigación está presente y la mitigación está habilitada. Si es Falso, o bien el hardware no es vulnerable, el sistema operativo Windows no es compatible, o la mitigación no está habilitada. |
| Configuración del control de especulación para MDS [Muestreo de datos con microarquitectura]. | Esta sección proporciona el estado del sistema para el conjunto de vulnerabilidades de MDS, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 y ADV220002. |
| El sistema operativo Windows es compatible con la mitigación MDS | Asignado a MDSWindowsSupportPresent. Esta línea le indica si el sistema operativo Windows es compatible con la mitigación del sistema operativo Muestreo de datos con microarquitectura (MDS). Si es Verdadero, la actualización de mayo de 2019 está instalada en el dispositivo y la mitigación para MDS está presente. Si es Falso, la actualización de mayo de 2019 no está instalada y la mitigación para MDS no está presente. |
| El hardware es vulnerable a MDS | Asignado a MDSHardwareVulnerable. Esta línea indica si el hardware es vulnerable a un conjunto de vulnerabilidades de muestreo de datos microarchitecturales (MDS) (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139). Si es Verdadero, se cree que el hardware está afectado por estas vulnerabilidades. Si es Falso, se sabe que el hardware no es vulnerable. |
| Se activa la compatibilidad del sistema operativo Windows con la mitigación MDS | Asignado a MDSWindowsSupportEnabled. Esta línea le indica si está activada la mitigación del sistema operativo Windows para el muestreo de datos con microarquitectura (MDS). Si es Verdadero, se cree que el hardware está afectado por las vulnerabilidades MDS, el sistema operativo Windows es compatible con la mitigación y ésta está habilitada. Si es Falso, o bien el hardware no es vulnerable, el sistema operativo Windows no es compatible, o la mitigación no está habilitada. |
| La compatibilidad del sistema operativo Windows para mitigación SBDR está presente | Asignado a FBClearWindowsSupportPresent. Esta línea indica si la compatibilidad del sistema operativo Windows para la mitigación del sistema operativo SBDR está presente. Si es Verdadero, la actualización de junio de 2022 está instalada en el dispositivo, y la mitigación para SBDR está presente. Si es Falso, la actualización de junio de 2022 no está instalada, y la mitigación para SBDR no está presente. |
| El hardware es vulnerable a SBDR | Asignado a SBDRSSDPHardwareVulnerable. Esta línea indica si el hardware es vulnerable a SBDR [shared buffers data read] set of vulnerabilities (CVE-2022-21123). Si es Verdadero, se cree que el hardware está afectado por estas vulnerabilidades. Si es Falso, se sabe que el hardware no es vulnerable. |
| La compatibilidad del sistema operativo Windows con la mitigación SBDR está habilitada | Asignado a FBClearWindowsSupportEnabled. Esta línea indica si la mitigación del sistema operativo Windows para SBDR [búferes compartidos de datos leídos] está habilitada. Si es Verdadero, se cree que el hardware está afectado por las vulnerabilidades SBDR, el sistema operativo de Windows para la mitigación está es compatible y la mitigación está habilitada. Si es Falso, o bien el hardware no es vulnerable, el sistema operativo Windows no es compatible, o la mitigación no está habilitada. |
| La compatibilidad del sistema operativo Windows para mitigación FBSDP está presente | Asignado a FBClearWindowsSupportPresent. Esta línea le dice si el sistema operativo Windows es compatible con la mitigación del sistema operativo FBSDP. Si es Verdadero, la actualización de junio de 2022 está instalada en el dispositivo, y la mitigación para FBSDP está presente. Si es Falso, la actualización de junio de 2022 no está instalada y la mitigación para FBSDP no está presente. |
| El hardware es vulnerable a FBSDP | Asignado a FBSDPHardwareVulnerable. Esta línea indica si el hardware es vulnerable a FBSDP [propagador de datos obsoletos del búfer] conjunto de vulnerabilidades (CVE-2022-21125, CVE-2022-21127 y CVE-2022-21166). Si es Verdadero, se cree que el hardware está afectado por estas vulnerabilidades. Si es Falso, se sabe que el hardware no es vulnerable. |
| La compatibilidad del sistema operativo windows para la mitigación FBSDP está habilitada | Asignado a FBClearWindowsSupportEnabled. Esta línea le indica si la mitigación del sistema operativo Windows para FBSDP [propagador de datos obsoletos del búfer de relleno] está habilitada. Si es Verdadero, se cree que el hardware está afectado por las vulnerabilidades FBSDP, el sistema operativo Windows es compatible con la mitigación y ésta está habilitada. Si es Falso, o bien el hardware no es vulnerable, el sistema operativo Windows no es compatible, o la mitigación no está habilitada. |
| Existe compatibilidad con el sistema operativo Windows para mitigación PSDP | Asignado a FBClearWindowsSupportPresent. Esta línea le indica si el sistema operativo Windows es compatible con la mitigación del sistema operativo PSDP. Si es Verdadero, la actualización de junio de 2022 se instala en el dispositivo y la mitigación para PSDP está presente. Si es Falso, la actualización de junio de 2022 no está instalada y la mitigación para PSDP no está presente. |
| El hardware es vulnerable a PSDP | Asignado a PSDPHardwareVulnerable. Esta línea le indica si el hardware es vulnerable al conjunto de vulnerabilidades PSDP [propagador primario de datos obsoletos]. Si es Verdadero, se cree que el hardware está afectado por estas vulnerabilidades. Si es Falso, se sabe que el hardware no es vulnerable. |
| La compatibilidad del sistema operativo Windows para la mitigación PSDP está habilitada | Asignado a FBClearWindowsSupportEnabled. Esta línea le indica si la mitigación del sistema operativo Windows para PSDP [propagador de datos obsoletos principal] está habilitada. Si es Verdadero, se cree que el hardware se ve afectado por las vulnerabilidades de PSDP, el sistema operativo windows es compatible con la mitigación y la mitigación está habilitada. Si es Falso, o bien el hardware no es vulnerable, el sistema operativo Windows no es compatible, o la mitigación no está habilitada. |
Salida que tiene habilitadas todas las mitigaciones
Se espera la siguiente salida para un dispositivo que tiene todas las mitigaciones activadas, junto con lo necesario para satisfacer cada condición.
BTIHardwarePresent: true: actualización> de FIRMWARE o BIOS OEM aplicada
BTIWindowsSupportPresent: true:> actualización de enero de 2018 instalada
BTIWindowsSupportEnabled: True:> en el cliente, no es necesario realizar ninguna acción. En el servidor, siga las instrucciones.
BTIDisabledBySystemPolicy: False -> asegúrese de que no está deshabilitada por directiva.
BTIDisabledByNoHardwareSupport: Falso:> asegúrate de que se aplique la actualización de firmware o BIOS OEM.
BTIKernelRetpolineEnabled: False
BTIKernelImportOptimizationEnabled: True
KVAShadowRequired: True o False -> ninguna acción, esta es una función de la CPU que usa el equipo
Si KVAShadowRequired es True
KVAShadowWindowsSupportPresent: True:> instalar la actualización de enero de 2018
KVAShadowWindowsSupportEnabled: True:> en el cliente, no es necesaria ninguna acción. En el servidor, siga las instrucciones.
KVAShadowPcidEnabled: True o False :> ninguna acción, esta es una función de la CPU que usa el equipo
Si SSBDHardwareVulnerablePresent es True
SSBDWindowsSupportPresent: True> : instalar actualizaciones de Windows tal y como se indica en ADV180012
SSBDHardwarePresentar: True> : instalar la actualización de BIOS/firmware con compatibilidad con SSBD desde el OEM del dispositivo
SSBDWindowsSupportEnabledSystemWide: True:> sigue las acciones recomendadas para activar SSBD
Si L1TFHardwareVulnerable es True
L1TFWindowsSupportPresent: True> : instalar actualizaciones de Windows tal y como se indica en ADV180018
L1TFWindowsSupportEnabled: True>: siga las acciones descritas en ADV180018 para Windows Server o Cliente según corresponda para habilitar la mitigación
L1TFInvalidPteBit: 0
L1DFlushSupported: True
MDSWindowsSupportPresent: True:> instalar la actualización de junio de 2022
MDSHardwareVulnerable: False:> se sabe que el hardware no es vulnerable
MDSWindowsSupportEnabled: True:> la mitigación para muestreo de datos microarchitecturales (MDS) está habilitada
FBClearWindowsSupportPresent: True:> instalar la actualización de junio de 2022
SBDRSSDPHardwareVulnerable: Verdadero> : se cree que el hardware se ve afectado por estas vulnerabilidades
FBSDPHardwareVulnerable: True -> se cree que el hardware se ve afectado por estas vulnerabilidades
PSDPHardwareVulnerable: Verdadero:> se cree que el hardware se ve afectado por estas vulnerabilidades
FBClearWindowsSupportEnabled: True:> representa la habilitación de mitigación para SBDR/FBSDP/PSDP. Asegúrate de que se actualice el BIOS/firmware del OEM, FBClearWindowsSupportPresent es True, las mitigaciones habilitadas como se describe en ADV220002 y KVAShadowWindowsSupportEnabled es True.
Entrada de registro
En la tabla siguiente se asigna la salida a las claves del Registro que se tratan en KB4072698: instrucciones de HCI de pila de Windows Server y Azure para protegerse frente a vulnerabilidades de canal lateral de ejecución especulativa y microarchivar basadas en placas.
| Clave del registro | Asignación |
|---|---|
| FeatureSettingsOverride: bit 0 | Se asigna a - Inserción de destino de rama - BTIWindowsSupportEnabled |
| FeatureSettingsOverride: bit 1 | Asignado a: Carga de la caché de datos - VAShadowWindowsSupportEnabled |
Referencias
Declinación de responsabilidades de información de terceros
Proporcionamos información de contacto de otros proveedores para ayudarle a encontrar soporte técnico. Dicha información de contacto puede cambiar sin notificación previa. No garantizamos la precisión de esta información de contacto de terceros.