Resumen
Microsoft es consciente de una nueva clase de vulnerabilidades publicadas que se conocen como “ataques de ejecución especulativa de canal lateral” que afectan a muchos procesadores y sistemas operativos modernos, entre los que se incluyen los de Intel, AMD y ARM.
NotaEste problema también afecta a otros sistemas, como a Android, Chrome, iOS y MacOS, por lo que se aconseja a los clientes que se pongan en contacto con dichos proveedores para obtener información.
Hemos lanzado varias actualizaciones para ayudar a mitigar estas vulnerabilidades. También hemos tomado medidas para proteger nuestros servicios en la nube. Vea las secciones siguientes para obtener más detalles.
Todavía no hemos recibido información que indique que estas vulnerabilidades se hayan usado para atacar a nuestros clientes. Seguimos trabajando estrechamente con asociados del sector, incluidos fabricantes de chips, OEM de hardware y proveedores de aplicaciones, para proteger a los clientes. Para obtener todas las protecciones disponibles, se necesitan actualizaciones de software y hardware o firmware. Esto incluye microcódigo de los OEM del dispositivo y, en algunos casos, actualizaciones del software antivirus también.
Para más información sobre las vulnerabilidades, vea el Aviso de seguridad ADV180002 de Microsoft.
Específico de Analytics Platform System
Aunque Analytics Platform System (APS) se ejecute en versiones afectadas de Microsoft SQL Server 2014 y SQL Server 2016, tal como se indica en el artículo de SQL Server Knowledge Base relacionado, APS no admite ninguna función que permita ejecutar directamente código de usuario en el dispositivo.
APS no permite actualmente el uso de lo siguiente:
-
Ensamblados CLR de SQL
-
Paquetes R y Python que se ejecutan a través del mecanismo de scripts externos o desde R o Machine Learning Studio en la misma máquina física que APS
-
Puntos de extensibilidad del Agente SQL que se ejecutan en la misma máquina física que APS (scripts ActiveX)
-
Los proveedores de OLE DB de Microsoft o no de Microsoft que se usan en servidores vinculados donde APS es el origen
-
Procedimientos extendidos almacenados de Microsoft o no de Microsoft
Se restringe la instalación de todo software en el dispositivo, a menos que se apruebe por el equipo del producto Microsoft APS.
Nota Es posible que alguna persona que tenga acceso al dispositivo instale software malintencionado en él, sin permiso de Microsoft.
Recomendación
Recomendamos que todos los clientes instalen la revisión de seguridad más reciente del SO Windows mediante WSUS. Para más información, vea:
Nota Si ejecuta software antivirus, vea KB 4056898 antes de instalar la actualización.
Los clientes que ejecuten una versión del software de APS anterior a V2 AU4 deben actualizar a la versión más reciente de APS. Los clientes que ejecuten HDInsight en APS deben esperar a la revisión AU4, como se indica a continuación.
El equipo de Microsoft APS continúa investigando este problema. Aunque el impacto en APS sea mínimo, el equipo de APS lanzará revisiones relacionadas con Microsoft SQL Server en una fecha posterior.
Fechas:
APS2016 – La fecha prevista de la revisión es febrero de 2018.
AU5 – Por determinar
AU4: Por determinar
Aviso de rendimiento
Continuamos evaluando el rendimiento de los archivos binarios corregidos. Sin embargo, en el momento de la publicación de este artículo, aún no hemos validado el rendimiento de APS con todas las revisiones de microcódigo Se ha recomendado a los clientes que evalúen el rendimiento de su aplicación específica al aplicar las revisiones. Valide el impacto en el rendimiento al habilitar los cambios de microcódigo antes de implementarlos en un entorno de producción.
Actualizaremos está sección con más información cuando esté disponible.
