KB4073225-SQL serveri juhised, mis kaitsevad SPECTRE, kokkuvarisemise ja mikro-arhitektuuri andmete proovivõtmise haavatavust

Kokkuvõte

Microsoft on teadlik uutest avalikult avaldatud klassi nõrkadest nõrkustest, mida nimetatakse "spekulatiivseks täitmiseks, mis mõjutavad paljusid tänapäevaseid protsessoreid ja operatsioonisüsteeme. See hõlmab Inteli, AMD ja ARM. Märkus. See probleem mõjutab ka teisi süsteeme (nt Androidi, Chrome ' i, iOS-i ja MacOS-i). Seetõttu soovitame klientidel otsida juhiseid neilt hankijatelt.

Microsoft on välja andnud mitmeid värskendusi nende haavatavuste leevendamiseks. Oleme võtnud kasutusele ka meie pilveteenuste turvamise meetmed. Lisateavet leiate järgmistest jaotistest.

Microsoft pole saanud teavet, mis näitab, et neid haavatavusi on kasutatud klientide ründamiseks praegu. Microsoft jätkab klientide kaitsmiseks tihedat koostööd tööstusharu partneritega (sh kiibi valmistajate, riistvara lõpptootjate ja rakenduste tarnijatega). Kõigi saadaolevate kaitstud seadmete, riistvara või püsivara ja tarkvarauuenduste hankimiseks on vajalikud. See hõlmab mikrotasandil seadme lõpptootjatest ja mõnedel juhtudel ka viirusetõrje tarkvara värskendusi. Haavatavuste kohta leiate lisateavet teemast Microsofti TURVABÜLLETÄÄN ADV180002. Üldisi juhiseid selle haavatavuse leevendamiseks leiate teemast juhised spekulatiivsete kohapealsete haavatavuste leevendamiseks

Microsoft avaldas ADV190013 – Microsofti juhised andmete Microarchitectural haavatavuse leevendamiseks mais 2019. SQL serveril pole ADV190013 kirjeldatud probleemi jaoks ühtegi konkreetset turbe plaastrit. ADV190013 mõjutatud keskkondade kohta leiate juhised käesoleva artikli jaotises soovitused. Pange tähele, et see nõustamine kehtib ainult Inteli protsessorite puhul.

Värskenduse hankimine ja installimine

See värskendus on saadaval ka Windows Server Update Services (WSUS) või Microsoft Update ' i kataloogiveebisaidi kaudu.Märkus: seda värskendust ei laadita alla ja installitakse automaatselt Windows Update ' i kaudu.

Saadaolevad SQL-i plaastrid

Avaldamise ajal on allalaadimiseks saadaval järgmised värskendatud SQL serveri järgud.

Teeninduse väljalase

See dokument värskendatakse siis, kui täiendavad värskendatud järgud on saadaval.

Märkused

Oleme välja andnud kõik SQL serveri nõutavad värskendused, et leevendada "SPECTRE" ja "kokkuvarisemine" spekulatiivset täitmist. Microsoft ei tea ühtegi lisakokkupuudet "SPECTRE" ja "krahhi" spekulatiivsete täitmis-kanali nõrkuste osas, mis pole loetletud jaotises "Saadaolevad SQL-plaastrid".
Kõik järgnevad SQL Server 2014, SQL Server 2016 ja SQL Server 2017 hoolduspaketid ja kumulatiivsed värskendused sisaldavad parandusi. Näiteks sisaldab SQL Server 2016 SP2 juba SPECTRE ja kokkuvarisemise parandusi.
Windowsi järkude kohta leiate lisateavet saadaolevate Windowsi järkude uusima teabe järgmistest juhistest.

Windows Serveri juhised SPECTRE/krahhi kanali haavatavuste kohta

Microarchitectural-i Windows Serveri juhised andmete proovivõtmise haavatavuste kohta

Linuxi ehitamiseks võtke ühendust oma Linuxi tarnijaga, et leida uusimad värskendatud järgud teie teatud Linuxi distributsiooni jaoks.
Kui soovite, et need SQL serveri värskendused oleks võimalikult kiiresti kõrvaldatud, on need SQL serveri värskendused algse kohaletoimetamise mudelina esialgu Microsoft Download Center. Kuigi need värskendused tarnitakse Microsoft Update ' i kaudu märtsis, soovitame, et mõjutatud kliendid installivad värskenduse kohe, ilma et nad peaksid Microsoft Update ' i kaudu kättesaadavaks muutuma.

Toetatud SQL serveri versioonid, mis on mõjutatud

Microsoft soovitab kõigil klientidel installida SQL serveri värskendused (loetletud allpool) osana nende korrapärasest lappimise tsüklist. Kliendid, kes käitavad SQL Serverit turvalises keskkonnas, kus laiendatavuse punktid on blokeeritud ja kõik samal serveril töötavad kolmanda osapoole koodid on usaldusväärsed ja heaks kiidetud, ei tohiks selle probleemi tõttu mõjutada.

Järgmised SQL serveri versioonid on saadaval värskendustega, kui nad töötavad x86 ja x64 protsessori süsteemidega.

SQL Server 2008
SQL serveri 2008R2
SQL Server 2012
SQL Server 2014
SQL Server 2016
SQL Server 2017

Me ei usu, et IA64 (Microsoft SQL Server 2008) mõjutab. Microsoft analüütilise platvormi teenus (APS) põhineb Microsoft SQL Server 2014 või Microsoft SQL Server 2016, kuid see pole konkreetselt mõjutatud. Selles artiklis on loetletud mõned APS-i üldised juhised.

Soovitused

Järgmises tabelis kirjeldatakse, mida kliendid peaksid tegema, olenevalt sellest, millises keskkonnas SQL Server töötab ja milliseid funktsioone kasutatakse. Microsoft soovitab kasutada parandusi, kasutades tavalisi toiminguid uute kahendfaile testimiseks, enne kui juurutate need tootmise keskkondades.

Stsenaariumi number	Stsenaariumi kirjeldus	Prioriteetsed soovitused
1	Azure ' i SQL-andmebaas ja andmebaas	Pole vaja midagi teha (üksikasju leiate siit ).
2	SQL Server töötab füüsilise arvuti või virtuaalarvuti JA ükski järgmistest tingimustest on täidetud. Teine rakendus, mis käivitab potentsiaalselt vaenuliku koodi, on samal arvutil samaaegselt majutatud. SQL serveri laiendatavuse liideseid kasutatakse ebausaldusväärse koodiga (vt allpool).	Microsoft soovitab installida Kõik OS-i värskendused, mis kaitsevad CVE 2017-5753. Microsoft soovitab installida Kõik OS -i värskendused, et kaitsta Microarchitectural andmete proovivõtmise haavatavuste eest (CVE-2018-12126, CVE-2018-12130, CVE-2018-12127 ja CVE-2018-11091). Kui lubate tuuma Virtual addressi varjustuse (KVAS) ja kaudsete harude ennustuste leevendamise riistvara tuge (IBP), ei nõuta (vt allpool). SQL serveri plaastrid tuleks paigaldada osana tavalisest lappimise poliitikast järgmisel ajastatud värskendamise aknas. Saate jätkuvalt võimendada hüperlõimede sellisel hostil.
3	SQL Server töötab füüsilise arvuti või virtuaalarvuti JA teine rakendus, mis käivitab potentsiaalselt vaenuliku koodi, on samaaegselt samasse arvutisse majutatud. JA/või SQL serveri laiendatavuse liideseid kasutatakse ebausaldusväärsete koodidega (vt allpool).	Microsoft soovitab installida Kõik OS -i värskendused CVE 2017-5753 vastu kaitsmiseks. Microsoft soovitab installida Kõik OS -i värskendused, et kaitsta Microarchitectural andmete proovivõtmise haavatavuste eest (CVE-2018-12126, CVE-2018-12130, CVE-2018-12127 ja CVE-2018-11091). SQL serveri plaastrite rakendamine (vt allpool). See kaitseb CVE 2017-5753. Tuuma Virtual addressi varjustuse (KVAS) lubamine on tungivalt soovitatav (vt allpool). See kaitseb CVE 2017-5754. Soovitame tungivalt lubada kaudsete harude prognoosimise riistvara tuge (IBP) (vt allpool). See kaitseb CVE 2017-5715 Soovitame hüperlõimede keelata, kui kasutatakse Inteli protsessorit.
4	SQL Server töötab füüsilises arvutis JA teine rakendus, mis käivitab potentsiaalselt vaenuliku koodi, pole samal arvutil samaaegselt korraldatud JA SQL serveri laiendatavuse liideseid kasutatakse usaldusväärse koodi käivitamiseks. Näited CLR-i assemblerid, mis on tootmises kasutamiseks üle vaadatud/heaks kiidetud Lingitud serverid, mida usaldate, et usaldate töötatud kontrollitud päringuid Mitte-näited: Internetist alla laaditud meelevaldsed R/Pythoni skriptid Untrusted CLR-i kahendfaile kolmandast osapoolest	Microsoft soovitab installida Kõik OS-i värskendused, mis kaitsevad CVE 2017-5753. Microsoft soovitab installida Kõik OS -i värskendused, et kaitsta Microarchitectural andmete proovivõtmise haavatavuste eest (CVE-2018-12126, CVE-2018-12130, Cve-2018-12127 ja CVE-2018-11091). Tuuma Virtual addressi varjustuse (KVAS) lubamine on tungivalt soovitatav (vt allpool). See kaitseb CVE 2017-5754. Soovitame tungivalt lubada kaudsete harude prognoosimise riistvara tuge (IBP) (vt allpool). See kaitseb CVE 2017-5715 Soovitame keelata hüperlõimede sellisel keskkonnal, kui kasutatakse Inteli protsessorit. SQL serveri plaastrid tuleks paigaldada osana tavalisest lappimise poliitikast järgmisel ajastatud värskendamise aknas.
5	SQL Server töötab Linux OS-is.	Rakendage oma jaotusvõrgu pakkujale Linux OS-i värskendusi. Linuxi SQL serveri plaastrite rakendamine (vt allpool). See kaitseb CVE 2017-5753. Siit leiate juhised selle kohta, kas lubada Linuxi tuuma leht tabeli isolatsiooni (KPTI) ja IBP (CVEs CVE 2017-5754 ja CVE 2017-5715). Soovitame keelata hüperlõimede sellisel keskkonnal, kui Inteli protsessorit kasutatakse stsenaariumis #3 ja #4 eespool mainitud.
6	Analyticsi platvormi süsteem (APS)	Kuigi APS ei toeta selles Bülletäänis loetletud SQL serveri laiendatavuse funktsioone, soovitatakse Windowsi plaastrid installida APS-seadmesse. KVAS/IBP lubamine pole nõutav.

Jõudluse nõustamine

Klientidel soovitatakse värskenduste rakendamisel hinnata nende konkreetse rakenduse toimivust.

Microsoft soovitab kõigil klientidel SQL serveri ja Windowsi värskendatud versioone installida. See peaks võimaldama olemasolevatele rakendustele ebaolulist jõudlust, mis põhineb SQL-i töökoormuse Microsofti testimisel. Siiski soovitame enne juurutamist teha kõik värskendused, enne kui juurutate need tootmise keskkonnas.

Microsoft on mõõtnud tuuma virtuaalse aadressi varjumise (KVAS), tuuma lehe tabeli ümbersuunamise (KPTI) ja kaudsete harude prognoosimise (IBP) mõju mitmesugustes keskkondades ning leidnud teatud töökoormuse olulise lagunemisega. Soovitame enne juurutamist tootmise keskkonnas nende funktsioonide lubamist testida. Kui nende funktsioonide lubamise efekt on olemasoleva rakenduse jaoks liiga suur, saate kaaluda, kas SQL serveri isoleerimine ebausaldusväärsest koodist, mis töötab samas arvutis, on teie rakenduse jaoks parem.

Täpsemat teavet jõudluse mõjust kaudsete filiaalide ennustuste leevendamise riistvara toest (IBP) leiate siit.

Microsoft värskendab selle jaotise rohkem teavet, kui see on saadaval.

Tuuma Virtual addressi varjumise lubamine (KVAS Windowsis) ja tuuma lehe tabeli ümbersuunamine (KPTI Linuxis)

KVAS ja KPTI leevendavad CVE 2017-5754, mida tuntakse ka GPZ avalikustamise korral "krahh" või "variant 3".

SQL Server töötab paljudes keskkondades: füüsilised arvutid, VMs avaliku ja erasektori pilve keskkondades, Linuxis ja Windowsi süsteemides. Sõltumata keskkonnast töötab programm arvutis või VM-is. Kutsuge seda turbe piirideks.

Kui kõik äärise koodis on juurdepääs kõigile selle piiri andmetele, pole vaja midagi teha. Kui see ei ole nii, öeldakse, et piir on mitme rentnikujaoks.Leitud nõrgad kohad võimaldavad mis tahes koodi, isegi piiratud õigustega, mis töötavad selles piiris mis tahes protsessis, et lugeda muid selle piiri sees olevaid andmeid. Kui ebausaldusväärse koodiga piiril on mõni protsess, võib see kasutada teiste protsesside andmete lugemiseks neid nõrkusi. See ebausaldusväärne kood võib olla ebausaldusväärne kood, kasutades SQL serveri laiendatavuse mehhanisme või muid toiminguid piirides, mis kasutavad ebausaldusväärset koodi.

Mitme rentniku äärise ebausaldusväärne koodiga kaitsmiseks kasutage ühte järgmistest meetoditest.

Eemaldage ebausaldusväärne kood. Lisateavet selle kohta, kuidas seda teha SQL serveri laiendatavuse mehhanismides, leiate altpoolt. Kui soovite eemaldada ebausaldusväärne kood muudest rakendustest samast piirist, siis on tavaliselt vaja rakendada teatud muudatusi. Näiteks kahe VMs-ga eraldamine.
Lülitage KVAS või KPTI. Sellel on jõudluse efekt. Lisateavet leiate käesoleva artikli jaotisest eespool kirjeldatud viisil.

Lisateavet Windowsi KVAS lubamise kohta leiate teemast KB4072698. Lisateavet KPTI lubamise kohta Linuxis leiate oma opsüsteemi edasimüüjalt.

Näide stsenaariumist, mille korral KVAS või KPTI on tungivalt soovitatav

Kohapealne füüsiline arvuti, mis majutab SQL Serverit mitte-süsteemi administraatori kontona, võimaldab klientidel esitada juhuslikud R-skriptid SQL serveri kaudu töötamiseks (mis kasutab sekundaarseid protsesse, et käivitada need skriptid väljaspool Sqlservr. exe). Tuleb lubada KVAS ja KPTI nii, et need kaitseksid Sqlservr. exe andmete avalikustamise eest ning kaitseksid süsteemi tuuma mälus olevate andmete avalikustamise eest. Märkus. SQL serveri laiendatavuse ' i mehhanismi ei peeta automaatselt ebaturvaliseks ainult seetõttu, et seda kasutatakse. Neid mehhanisme saab kasutada ohutult SQL serveris, kui klient on iga sõltuvuse mõistnud ja usaldanud. Samuti on ka muid tooteid, mis on ehitatud SQL-i, mis võib nõuda laiendatavuse mehhanismide õiget toimimist. Näiteks SQL serveri peale ehitatud pakendatud rakendus võib nõuda lingitud serveri või CLR-i salvestatud protseduuri, et õigesti toimida. Microsoft ei soovita, et te need leevendamise osana eemaldate. Selle asemel vaadake üle iga kasutusviis, et teha kindlaks, kas see kood on arusaadav ja usaldusväärne algse toiminguna. Antud juhised aitavad klientidel kindlaks teha, kas nad on olukorras, kus nad peavad KVAS lubama. Selle põhjuseks on see, et sellel toimingul on oluline jõudluse mõju.

Kaudsete filiaalide ennustuste leevendamise (IBP) riistvara toe lubamine

IBP leevendab CVE 2017-5715, mida tuntakse ka ühe poole spektrist või "variant 2" GPZ avalikustamisel.

Selle artikli juhised Windowsi KVAS lubamiseks võimaldavad ka IBP. Kuid IBP nõuab ka riistvara tootjalt püsivara värskendamist. Lisaks Windowsi kaitse lubamise KB4072698 juhistele peavad kliendid hankima ja installima värskendusi riistvara tootjalt.

Näide stsenaariumist, kus IBP on tungivalt soovitatav

Kohapealne füüsiline arvuti majutab SQL Serverit koos rakendusega, mis võimaldab ebausaldusväärsetel kasutajatel üles laadida ja käivitada suvalise JavaScripti koodi. Eeldades, et SQL-andmebaasis on konfidentsiaalseid andmeid, soovitatakse tungivalt IBP andmete avalikustamise eest kaitsmiseks.

Olukordades, kus IBP riistvara tuge ei esine, soovitab Microsoft eraldada ebausaldusväärseid protsesse ja usaldusväärset protsessi erinevatele füüsilistele arvutitele või virtuaalsetele masinatele.

Linuxi kasutajad: võtke ühendust oma opsüsteemi levitajaga, et saada teavet selle kohta, kuidas kaitsta varianti 2 (CVE 2017-5715).

Näide stsenaariumist, mille korral on soovitatav leevendada Microarchitectural andmete valimite haavatavust

Kaaluge näidet, kus kohapealne server töötab kahel eksemplaril, kui SQL Server majutab kahte erinevat ärirakendust kahes erinevas virtuaalses arvutis samal füüsilisel kandjal. Oletagem, et need kaks ärirakendust ei saa lugeda SQL serveri eksemplarides talletatud andmeid. Ründaja, kes need nõrgad kohad kasutas, saab lugeda priviligeeritud andmeid üle usalduse piiride, kasutades ebausaldusväärset koodi, mis töötab seadmes eraldi protsessina või SQL serveri laiendatavuse mehhanismi abil (vt allolevat jaotist SQL serveri laiendatavuse suvandite kohta). Ühiskasutatavates ressursside keskkonnas (nt mõnes pilveteenuse teenuste konfiguratsioonis) võivad need haavatavused lubada ühe virtuaalarvuti juurdepääsu teabe muul viisil. Mitte-sirvimise stsenaariumide korral autonoomsete süsteemide korral vajab ründaja eelnevat juurdepääsu süsteemile või võimalust kasutada TARGETi süsteemis spetsiaalselt formuleeritud rakendust, et neid turvaauke kasutada.

Ebausaldusväärsed SQL serveri laiendatavuse mehhanismid

SQL Server sisaldab palju laiendatavuse funktsioone ja mehhanisme. Enamik neist mehhanismidest on vaikimisi keelatud. Siiski soovitame klientidel vaadata iga tootmise eksemplari laiendatavuse funktsiooni kasutamiseks. Soovitame, et kõik need funktsioonid oleksid piiratud binaarfailide kogumiga ning et kliendid pääseksid juurde juurdepääsule, et vältida suvalise koodi käitamist sama arvuti SQL serverina. Soovitame klientidel kindlaks teha, kas soovite iga binaarse usaldada, ja keelata või eemaldada ebausaldusväärseid kahendfaile.

SQL CLR-i assemblerid
R-ja Pythoni paketid kulgevad välise skripti mehhanismi kaudu või käitavad sama füüsilise arvuti kaudu SQL serveri autonoomset R/IT-stuudiokorterit

SQL-agendi laiendatavuse punktid, mis töötavad samas füüsilises arvutis SQL serverina (ActiveX-skriptid)
Mitte-Microsoft OLE DB pakkujad, mida kasutatakse lingitud serverites
Mitte-Microsofti laiendatud salvestatud protseduurid
Serveri siseselt teostatud COM-objektid (juurdepääs sp_OACreate kaudu)
Xp_cmdshell kaudu teostatud programmid

Ebausaldusväärse koodiga SQL Serveri kasutamisel ilmnevad vähendamised.

Stsenaarium/kasutamise juhtum	Kergendamine või Soovitatavad toimingud
SQL serveri käivitamine CLR-iga lubatud (sp_configure "CLR enabled"; 1)	Kui see on võimalik, keelake CLR, kui teie rakenduses pole vaja SQL serverisse laaditud ebausaldusväärsete koodide riski vähendada. (SQL Server 2017 +) Kui teie rakenduses on endiselt vaja CLR-i, siis lubage ainult teatud komplektide laadimine, kasutades funktsiooni "CLR range Security" (CLR range Security), kasutades sys.sp_add_trusted_assembly (sys.sp_add_trusted_assembly (Transact-SQL)) Kaaluge, kas CLR-koodi saab migreerida T-SQL-i samaväärsesse koodi Vaadake üle turbega seotud stsenaariumid, mille abil saab kasutada CLR-i põhiseid toiminguid. Limiitide loomine, väliste ACCESSI assamblee ja ebaturvaliste ASSEMBLERite lubamine minimaalsetele kasutajatele või koodile, et keelata uute komplektide laadimine olemasolevasse juurutatud rakendusse.
Java/R/Pythoni väliste skriptide käivitamine SQL serverist (sp_configure "välised skriptid lubatud"; 1)	Kui võimalik, keelake välised skriptid, kui te ei vaja oma rakenduses rünnakut vähendada. (SQL Server 2017 +) Võimaluse korral migreerige välised skriptid, tehes punktisüsteemi, et kasutada selle asemel kohalike punktisüsteemide funktsiooni (kohalik punktisüsteem, kasutades funktsiooni ennustamine T-SQL) Vaadake üle turvalisuse load, et lukustada stsenaariumid, kus väliseid skripte saab kasutada. Piirake kõigi väliste SKRIPTIde lubamist minimaalsete kasutajate/koodide jaoks, et meelevaldseid skripte ei saaks käivitada.
Lingitud serverite kasutamine (sp_addlinkedserver)	Vaadake üle installitud OLEDB pakkujad ja arvestage, et arvutist eemaldatakse kõik ebausaldusväärsed OLEDB pakkujad. (Veenduge, et te ei eemaldaks OLEDB pakkujaid, kui neid kasutatakse väljaspool arvutis olevat SQL Serverit). Näide olemasolevate OLEDB pakkujate loendamise kohta leiate siit: OleDbEnumerator. GetEnumerator meetod (tüüp) Vaadake üle ja eemaldage kõik mittevajalikud lingitud serverid SQL serverist (sp_dropserver), et vähendada võimalust, et Sqlservr. exe protsessis täidetakse ebausaldusväärne kood. Vaadake üle turbe õigused, mida soovite lukustada, et muuta mis tahes lingitud serveri õigusi kasutajate minimaalsele arvule. Vaadake üle lingitud serveri sisselogimise/mandaadi vastendused (sp_addlinkedsvrlogin/sp_droplinkedsvrlogin), et piirata, kes saab sooritada toiminguid lingitud serverite kasutajate/stsenaariumide minimaalse kogumiga.
Laiendatud salvestatud protseduuride kasutamine (sp_addextendedproc)	Kui laiendatud salvestatud protseduurid on aegunud, eemaldatakse kõik nende kasutusviisid ja neid ei kasutata tootmissüsteemide kaudu.
Xp_cmdshell kasutamine SQL serveri binaarfailide kasutuselevõtmiseks	See funktsioon on vaikimisi välja lülitatud. Vaadake üle ja Piirake xp_cmdshell kasutamist ebausaldusväärsete kahendfaile. Selle lõpp-punkti kaudu saate reguleerida sp_configure kaudu, nagu on kirjeldatud allpool. xp_cmdshell serveri konfiguratsiooni suvand
COM-objektide kasutamine sp_OACreate kaudu	See funktsioon on vaikimisi välja lülitatud. COM-objekte kasutatakse serverisse installitud sp_OACreate käitamise koodi kaudu. Vaadake üle kõik sellised kõned ebausaldusväärsete kahendfaile. Saate kontrollida sätteid sp_configure kaudu, nagu on kirjeldatud allpool. Ole-automatiseerimise protseduuride serveri konfigureerimise suvand