KB4072698: Windows Server ja Azure Stack HCI -ohjeet piipohjaisilta mikroarkkitehtuurisilta ja spekulatiivisilta suorituspuolen kanavahaavoittuvuuksilta suojautumiseen

Tässä artikkelissa käsitellään seuraavia spekulatiivisen suorittamisen haavoittuvuuksia:

• CVE-2017-5715 | Haaran kohteen lisäys
• CVE-2017-5753 | Rajojen tarkistuksen ohitus
• CVE-2017-5754 | kyseenalaisen tietovälimuistin lataaminen
• CVE-2018-3639 | Spekulatiivinen Storen ohittaminen

Windows Update tarjoaa myös Internet Explorer- ja Edge-tason lievennyksiä. Parannamme edelleen näitä lievennyksiä tämäntyyppisiä haavoittuvuuksia vastaan.

Lisätietoja tämäntyyppisistä haavoittuvuuksista on ohjeaiheessa

• ADV180002 | Ohjeet spekulatiivisen suorituspuolen kanavan haavoittuvuuksien lieventämiseen
• ADV180012 | Microsoftin ohjeet spekulatiiviseen Storen ohittamiseen

Intel julkaisi 14. toukokuuta 2019 tietoja spekulatiivisen suorituspuolen kanavahaavoittuvuuksien uudesta alaluokasta, joka tunnetaan nimellä Microarchitectural Data Sampling ja joka on dokumentoitu ADV190013 | Mikroarkkitehtuurinen tietojen näytteenotto. Heille on määritetty seuraavat CVE:t:

• CVE-2019-11091 | Mikroarkkitehtuurinen tietojen näytteenotto Välimuistista puuttuva muisti (MDSUM)
• CVE-2018-12126 | Mikroarkkitehtuurinen säilötietojen näytteenotto (MSBDS)
• CVE-2018-12127 | Mikroarkkitehtuurinen täyttöpuskurin tietojen näytteenotto (MFBDS)
• CVE-2018-12130 | Mikroarkkitehtuurinen kuormitusporttitietojen näytteenotto (MLPDS)

Microsoft on julkaissut päivityksiä, jotka auttavat lieventämään näitä haavoittuvuuksia. Jotta saat kaikki käytettävissä olevat suojaukset, tarvitset laiteohjelmiston (mikrokoodin) ja ohjelmistopäivitykset. Tämä voi sisältää mikrokoodia laitteen alkuperäisiltä laitevalmistajilta. Joissakin tapauksissa näiden päivitysten asentaminen vaikuttaa suorituskykyyn. Olemme myös toimineet pilvipalveluidemme suojaamiseksi. On erittäin suositeltavaa asentaa nämä päivitykset.

Lisätietoja tästä ongelmasta on seuraavassa suojaustiedotteessa ja skenaariopohjaisten ohjeiden avulla voit määrittää tarvittavat toimet uhan lieventämiseksi:

• ADV190013 | Microsoftin ohjeet mikroarkkitehtuuriseen tietojen näytteenottoon liittyvien haavoittuvuuksien lieventämiseen
• Windowsin ohjeet spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen

Intel julkaisi 6. elokuuta 2019 tiedot Windowsin ytimen tietojen paljastamiseen liittyvästä haavoittuvuudesta. Tämä haavoittuvuus on muunnelma Spectren variantin 1 spekulatiivisen suorituspuolen kanavahaavoittuvuudesta, ja haavoittuvuudelle on määritetty CVE-2019-1125.

Julkaisimme 9. heinäkuuta 2019 Windows-käyttöjärjestelmän suojauspäivitykset ongelman lieventämiseksi. Huomaa, että lykkäämme tämän lievennyksen dokumentointia julkisesti tiistaina 6. elokuuta 2019 pidettävään koordinoituun toimialajulkistukseen asti.

Asiakkaat, joilla on Windows Update käytössä ja jotka ovat ottaneet käyttöön 9. heinäkuuta 2019 julkaistut tietoturvapäivitykset, saavat automaattisen suojauksen. Lisämäärityksiä ei tarvita.

Lisätietoja tästä haavoittuvuudesta ja siihen liittyvistä päivityksistä on Microsoftin suojauspäivitysoppaassa:

• CVE-2019-1125 | Windowsin ytimen tietojen paljastamisen haavoittuvuus

Intel julkaisi 12.11.2019 teknisen neuvonnan Intelin® tapahtumien synkronointilaajennusten (Intel TSX) tapahtuman asynkronisen keskeytyksen haavoittuvuudesta, jolle on määritetty CVE-2019-11135. Microsoft on julkaissut päivityksiä tämän haavoittuvuuden lieventämiseksi, ja käyttöjärjestelmän suojaukset ovat oletusarvoisesti käytössä Windows Server 2019:ssä, mutta oletusarvoisesti poissa käytöstä Windows Server 2016:ssa ja aiemmissa Windows Server -käyttöjärjestelmäversioissa.

Julkaisimme 14. kesäkuuta 2022 ADV220002 | Microsoftin ohjeet Intel-suorittimen MMIO-alihankkimiseen vanhentuneisiin tietoihin liittyvistä haavoittuvuuksista , joille on määritetty seuraavat CVE:t:

• CVE-2022-21123 | Jaettujen puskuritietojen lukeminen (SBDR)
• CVE-2022-21125 | Jaettu puskuritietojen näytteenotto (SBDS)
• CVE-2022-21127 | SRBDS-päivitys (Special Register Buffer Data Sampling Update)
• CVE-2022-21166 | Device Register Partial Write (DRPW)

Suositellut toimet

Suorita seuraavat toimet suojautuaksesi haavoittuvuuksilta:

1. Ota käyttöön kaikki saatavilla olevat Windows-käyttöjärjestelmäpäivitykset, kuukausittaiset Windows-tietoturvapäivitykset mukaan lukien.
2. Ota käyttöön laitevalmistajan toimittama soveltuva laiteohjelmistopäivitys (mikrokoodi).
3. Arvioi ympäristöösi kohdistuvat riskit Microsoftin suojausilmoitusten tietojen perusteella: ADV180002,ADV180012, ADV190013 ja ADV220002 tässä tietokanta artikkelissa annettujen tietojen lisäksi.
4. Ryhdy tarvittaviin toimiin käyttämällä tiedotteita ja rekisteriavaintietoja, jotka on annettu tässä tietokannan artikkelissa.

Julkaisimme 12. heinäkuuta 2022 CVE-2022-23825 | AMD CPU Branch Type Confusion , jonka mukaan haaran ennustajan aliakset voivat saada tietyt AMD-suorittimet ennustamaan väärän haaratyypin. Tämä ongelma saattaa johtaa tietojen paljastamiseen.

Tältä haavoittuvuudelta suojautumiseksi suosittelemme, että asennat Windows-päivitykset, jotka ovat heinäkuussa 2022 tai sen jälkeen, ja ryhdyt sitten tarvittaviin toimiin CVE-2022-23825 ja rekisteriavaintietojen edellyttämällä tavalla, jotka on annettu tässä tietokannan artikkelissa.

Lisätietoja on AMD-SB-1037-tietoturvatiedotteessa .

Julkaisimme 8. elokuuta 2023 CVE-2023-20569 | Return Address Predictor (tunnetaan myös nimellä Inception), joka kuvaa uutta spekulatiivista sivukanavahyökkäystä, joka voi johtaa spekulatiiviseen suoritukseen hyökkääjän hallitsemassa osoitteessa. Tämä ongelma koskee tiettyjä AMD-suorittimia ja saattaa johtaa tietojen paljastamiseen.

Tältä haavoittuvuudelta suojautumiseksi suosittelemme, että asennat Windows-päivitykset, jotka ovat elokuussa 2023 tai sen jälkeen, ja ryhdyt sitten CVE-2023-20569:n ja rekisteriavaintietojen edellyttämiin toimiin tässä tietokanta-artikkelissa.

Lisätietoja on AMD-SB-7005: n tietoturvatiedotteessa.

Julkaisimme 9. huhtikuuta 2024 CVE-2022-0001 | Intel Branch History Injection , joka kuvaa Branch History Injection (BHI) -lisäystä, joka on tilansisäisen STT:n erityinen muoto. Tämä haavoittuvuus ilmenee, kun hyökkääjä saattaa manipuloida haaran historiaa ennen siirtymistä käyttäjätilasta valvojatilaan (tai VMX:n ei-juuri-/vierastilasta juuritilaan). Tämä manipulointi voi saada epäsuoran haaran ennustajan valitsemaan tietyn ennakointimerkinnän epäsuoralle haaralle, jolloin ennustetun kohteen ilmoituspienoisohjelma suoritetaan tilapäisesti. Tämä voi olla mahdollista, koska asiaankuuluva haarahistoria voi sisältää haarautumisia, jotka on otettu aiemmissa suojauskontekstissa ja erityisesti muissa ennakointitiloissa.

Oletusarvon mukaan CVE-2017-5715:n käyttäjästä ytimeen -suojaus on poistettu käytöstä AMD-suorittimilla. Asiakkaiden on otettava lievennys käyttöön, jotta he saavat lisäsuojausta CVE-2017-5715:lle.  Lisätietoja on ADV180002 usein kysytyissä kysymyksissä #15.

Oletusarvon mukaan CVE-2017-5715:n käyttäjästä ytimeen -suojaus on poistettu käytöstä AMD-suorittimilla. Asiakkaiden on otettava lievennys käyttöön, jotta he saavat lisäsuojausta CVE-2017-5715:lle.  Lisätietoja on ADV180002 usein kysytyissä kysymyksissä #15.

Voit ottaa CVE-2022-23825:n lievennyksen käyttöön AMD-suorittimissa seuraavasti:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Täyden suojauksen saamiseksi asiakkaiden on ehkä myös poistettava Hyper-Threading käytöstä (tunnetaan myös nimellä samanaikainen monisäikeisyys (SMT)). Katso KB4073757 ohjeita Windows-laitteiden suojaamiseen.

Voit ottaa CVE-2023-20569:n lievennyksen käyttöön AMD-suorittimissa seuraavasti:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Voit ottaa CVE-2022-0001:n lievennyksen käyttöön Intel-suorittimissa seuraavasti:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Jos haluat yksityiskohtaisen selityksen PowerShell-komentosarjan tulosteesta, katso KB4074629 .

Tammi- ja helmikuussa 2018 julkaistuja Windowsin suojauspäivityksiä ei tarjottu kaikille asiakkaille, jotta asiakkaiden laitteisiin ei olisi tehty haitallisia vaikutuksia. Lisätietoja on kohdassa KB407269 .

Mikrokoodi toimitetaan laiteohjelmistopäivityksen kautta. Kysy alkuperäiseltä laitevalmistajalta laiteohjelmistoversio, jossa on oikea päivitys tietokoneeseesi.

Suorituskykyyn vaikuttavat useat muuttujat, jotka vaihtelevat järjestelmäversiosta käynnissä oleviin kuormituksiin. Joissain järjestelmissä suorituskykyvaikutus on mitätön. Toisille se on huomattava.

Suosittelemme, että arvioit suorituskyvyn vaikutukset järjestelmiisi ja teet tarvittavat muutokset.

Tämän artikkelin näennäiskoneita koskevien ohjeiden lisäksi sinun kannattaa ottaa yhteyttä palveluntarjoajaan ja varmistaa, että näennäiskoneitasi käyttävät isännät on suojattu riittävästi.

Katso Azuressa suoritettavien Windows Server -virtuaalikoneiden ohjeet spekulatiivisen suorituspuolen kanavan haavoittuvuuksien lieventämiseen Azuressa. Lisätietoja Azure Update Managementin käyttämisestä tämän ongelman lieventämiseen vierasvirtuaalikoneissa on kohdassa KB4077467.

Windows Server 2016:n ja Windows 10:n version 1709 Windows Server -säilön näköistiedostoille julkaistut päivitykset sisältävät lievennykset näihin tietoturva-aukkoihin. Muita määrityksiä ei tarvita.

Huomautus Sinun on silti varmistettava, että isäntä, jolla nämä säilöt toimivat, on määritetty ottamaan käyttöön tarvittavat lievennykset.

Ei, asennusjärjestyksellä ei ole merkitystä.

Kyllä, sinun on käynnistettävä tietokone uudelleen laiteohjelmistopäivityksen (mikrokoodin) jälkeen ja uudelleen järjestelmäpäivityksen jälkeen.

Rekisteriavainten tiedot:

FeatureSettingsOverride edustaa bittikarttaa, joka ohittaa oletusasetuksen ja ohjaa, mitkä lievennykset poistetaan käytöstä. Bitti 0 ohjaa lievennystä, joka vastaa CVE-2017-5715:tä. Bitti 1 ohjaa lievennystä, joka vastaa CVE-2017-5754:ää. Bittien arvoksi on määritetty 0 , jotta lievennys otetaan käyttöön, ja arvoon 1 , kun lievennys poistetaan käytöstä.

FeatureSettingsOverrideMask edustaa bittikarttapeitettä, jota käytetään yhdessä FeatureSettingsOverride -toiminnon kanssa. Tässä tapauksessa käytetään arvoa 3 (esitetään binaarinumerojärjestelmässä 11:nä) osoittamaan kaksi ensimmäistä bittiä, jotka vastaavat käytettävissä olevia lievennyksiä. Tämän rekisteriavaimen arvoksi on määritetty 3 sekä lievennysten ottamiseksi käyttöön että poistamiseksi käytöstä.

MinVmVersionForCpuBasedMitigations on tarkoitettu Hyper-V-isäntille. Tämä rekisteriavain määrittää VM:n vähimmäisversion, jota tarvitaan päivitettyjen laiteohjelmiston ominaisuuksien käyttämiseen (CVE-2017-5715). Määritä arvoksi 1.0 , jotta se kattaa kaikki virtuaalikoneversiot. Huomaa, että tämä rekisteriarvo ohitetaan (hyvänlaatuinen) muissa kuin Hyper-V-isännissä. Lisätietoja on artikkelissa Vierasvirtuaalikoneiden suojaaminen CVE-2017-5715:ltä (haaran kohteen lisäys).

Kyllä, ei ole sivuvaikutuksia, jos nämä rekisteriasetukset otetaan käyttöön ennen tammikuuhun 2018 liittyvien korjausten asentamista.

Katso komentosarjan tulosteen yksityiskohtainen kuvaus kohdasta KB4074629: SpeculationControl PowerShell -komentosarjan tulosteen ymmärtäminen .

Kyllä, Windows Server 2016 Hyper-V -isännille, joihin ei ole vielä saatavilla laiteohjelmistopäivitystä, olemme julkaisseet vaihtoehtoisia ohjeita, jotka voivat auttaa lieventämään VM-to- tai VM to host -hyökkäyksiä. Katso Vaihtoehtoisia suojauksia Windows Server 2016 Hyper-V -isännille spekulatiivisia suorituspuolen kanavahaavoittuvuuksia vastaan.

Vain suojauspäivitykset eivät ole kumulatiivisia. Käyttöjärjestelmäversion mukaan sinun on ehkä asennettava useita tietoturvapäivityksiä, jotta saat täyden suojauksen. Yleensä asiakkaiden on asennettava tammikuun, helmikuun, maaliskuun ja huhtikuun 2018 päivitykset. Järjestelmät, joissa on AMD-suorittimia, tarvitsevat lisäpäivityksiä seuraavassa taulukossa esitetyllä tavalla:

Suosittelemme, että asennat vain suojauspäivitykset julkaisujärjestyksessä.

Ei. Suojauspäivitys KB4078130 oli erityinen korjaus, jolla estettiin järjestelmän arvaamattomia toimintoja, suorituskykyongelmia ja odottamattomia uudelleenkäynnistyksiä mikrokoodin asentamisen jälkeen. Ottamalla suojauspäivitykset käyttöön Windows-asiakaskäyttöjärjestelmissä voit ottaa käyttöön kaikki kolme lievennystä. Windows Server -käyttöjärjestelmissä lievennykset on otettava käyttöön asianmukaisen testauksen jälkeen. Lisätietoja on artikkelissa KB4072698.

Tämä ongelma ratkaistiin vuonna KB4093118.

Helmikuussa 2018 Intel ilmoitti saaneensa validointinsa valmiiksi ja alkaneensa julkaista mikrokoodia uudemmille suoritinalustoille. Microsoft on julkaisemassa Intelin vahvistamia mikrokoodipäivityksiä, jotka koskevat Spectre-kakkosvarianttia Spectre-kakkosta Spectre-kakkosta (CVE-2017-5715 | Branch Target Injection).  KB4093836 luetteloi tietyt tietokanta artikkelit Windows-version mukaan. Kukin tiettyyn KB-artikkeliin sisältyy saatavilla olevat Intelin mikrokoodipäivitykset suorittimen mukaan.

11. tammikuuta 2018 Intel ilmoitti ongelmista hiljattain julkaistussa mikrokoodissa, jonka oli tarkoitus käsitellä Spectre-kakkosvarianttia (CVE-2017-5715 | Branch Target Injection). Intel huomautti erityisesti, että tämä mikrokoodi voi aiheuttaa "odotettua suurempia uudelleenkäynnistyksiä ja muuta arvaamatonta järjestelmän toimintaa" ja että nämä skenaariot voivat aiheuttaa "tietojen menetystä tai vioittumista". Kokemuksemme mukaan järjestelmän epävakaus voi joissakin tapauksissa aiheuttaa tietojen häviämistä tai vioittumista. Intel antoi 22. tammikuuta asiakkaille suosituksen, että asiakkaat lopettaisivat nykyisen mikrokoodiversion käytön prosessoreissa, joita ongelma koskee, siksi aikaa kun Intel suorittaa päivitetyn ratkaisun lisätestauksia. Ymmärrämme, että Intel jatkaa nykyisen mikrokoodiversion mahdollisten vaikutusten tutkimista. Kehotamme asiakkaita seuraamaan ohjeisiinsa säännöllisesti päätösten tueksi.

Sillä välin, kun Intel testaa, päivittää ja ottaa käyttöön uutta mikrokoodia, julkaisemme päivitystiheyden ulkopuolisen päivityksen (OOB), KB4078130, joka poistaa käytöstä vain CVE-2017-5715:n lievennyksen. Microsoftin testauksissa tämän päivityksen on todettu estävän kuvatun toiminnan. Katso täydellinen luettelo laitteista Intelin mikrokoodiversion ohjeista . Tämä päivitys kattaa Windows 7 Service Pack 1:n (SP1), Windows 8.1:n ja kaikki Windows 10:n versiot, sekä asiakas- että palvelinversiot. Jos käytössäsi on laite, johon ongelma vaikuttaa, voit ottaa tämän päivityksen käyttöön lataamalla sen Microsoft Update -luettelon sivustosta. Näiden tietojen soveltaminen poistaa käytöstä vain CVE-2017-5715:n lievennyksen.

Tällä hetkellä ei ole tiedossa raportteja siitä, että tämä Spectre-variantti 2 (CVE-2017-5715 | Branch Target Injection) on hyökätty asiakkaisiin. Suosittelemme, että Windows-käyttäjät ottavat tarvittaessa CVE-2017-5715-korjauksen uudelleen käyttöön, kun Intel on raportoinut, että järjestelmän arvaamattoman toiminnan aiheuttava ongelma on korjattu laitteessasi.

Helmikuussa 2018 Intel ilmoitti , että se on saanut validointinsa päätökseen ja alkanut julkaista mikrokoodia uudemmille suoritinalustoille. Microsoft on julkaisemassa Intelin vahvistamia mikrokoodipäivityksiä, jotka liittyvät Spectre-kakkosvariantin Spectre-kakkosvarianttiin (CVE-2017-5715 | Branch Target Injection). KB4093836 luetteloi tietyt tietokanta artikkelit Windows-version mukaan. KB-luettelo saatavilla olevista Intelin mikrokoodipäivityksistä suorittimen mukaan.

Lisätietoja on AMD Security Päivitykset -raportissa ja AMD:n teknisessä raportissa: Arkkitehtuuriohjeita epäsuoran haaran ohjaukseen . Nämä ovat saatavilla OEM-laiteohjelmistokanavalta.

Olemme tuomassa saataville Intelin vahvistamia mikrokoodipäivityksiä, jotka koskevat Spectre-kakkosvarianttia (CVE-2017-5715 | Branch Target Injection). Saadakseen uusimmat Intelin mikrokoodipäivitykset Windows Update:n kautta asiakkailla on oltava asennettuna Intelin mikrokoodi laitteissa, joissa on Windows 10 -käyttöjärjestelmä, ennen päivitystä Windows 10:n huhtikuun 2018 päivitykseen (versio 1803).

Mikrokoodipäivitys on myös saatavilla suoraan Microsoft Update -luettelosta, jos sitä ei ole asennettu laitteeseen ennen järjestelmän päivitystä. Intelin mikrokoodi on saatavana Windows Update- Windows Server Update Services (WSUS) -palveluiden tai Microsoft Update -luettelon kautta. Katso lisätietoja ja latausohjeet KB4100347.

Lisätietoja on seuraavissa ohjeaiheissa:

• ADV180012 | Microsoftin ohjeet spekulatiiviseen Storen ohittamiseenCVE-2018-3639:lle
• ADV180013 | Microsoftin ohjeet kyseenalaisten järjestelmärekisterien lukemiseen CVE-2018-3640:n ja KB 4073065:n lukeminen | Ohjeita pinta-asiakkaille
• Microsoftin Security Research and Defense -blogi
• Kehittäjän ohjeet spekulatiiviseen Storen ohittamiseen

Katso Suositellut toimet- ja Usein kysytyt kysymykset -osiot ADV180012 | Microsoftin ohjeet spekulatiiviseen Storen ohittamiseen.

SSBD:n tilan tarkistamiseksi PowerShell-komentosarja Get-SpeculationControlSettings on päivitetty tunnistamaan vialliset suorittimet, SSBD-käyttöjärjestelmän päivitysten tila ja suorittimen mikrokoodin tila tarvittaessa. Jos haluat lisätietoja ja hankkia PowerShell-komentosarjan, katso KB4074629.

13. kesäkuuta 2018 julkistettiin ylimääräinen haavoittuvuus, johon liittyy spekulatiivista suoritusta, nimeltään Lazy FP State Restore, ja sille annettiin CVE-2018-3665 . Lisätietoja tästä haavoittuvuudesta ja suositelluista toimenpiteistä on suojaustiedotteessa ADV180016 | Microsoftin ohjeet laiskan FP-tilan palauttamiseen .

Huomautus Lazy Restore FP Restorelle ei tarvita määritysasetuksia (rekisteriasetuksia).

Bounds Check Bypass Store (BCBS) julkistettiin 10. heinäkuuta 2018, ja sille määritettiin CVE-2018-3693. BCBS:n katsotaan kuuluvan samaan haavoittuvuuksien luokkaan kuin Bounds Check Bypass (variantti 1). Ohjelmistossa ei ole tällä hetkellä tiedossa BCBS-esiintymiä. Jatkamme kuitenkin tämän haavoittuvuusluokan tutkimista ja teemme yhteistyötä alan kumppaneiden kanssa tarvittavan lievennyksen julkaisemiseksi. Kannustamme tutkijoita lähettämään kaikki olennaiset havainnot Microsoftin spekulatiivisen suorituspuolen kanavan palkkio-ohjelmaan, mukaan lukien BCBS:n kaikki hyväksikäytettävät esiintymät. Ohjelmistokehittäjien tulisi tutustua BCBS:ää koskeviin kehittäjien ohjeisiin, jotka on päivitetty C++:ssa Spekulatiivisen suorituspuolen kanavien kehittäjäohjeet

14. elokuuta 2018 ilmoitettiin L1-päätevika (L1TF), jolle määritettiin useita CVE:itä. Näitä uusia spekulatiivisia suorituspuolen kanavahaavoittuvuuksia voidaan käyttää muistin sisällön lukemiseen luotetun rajan yli, ja jos niitä hyödynnetään, ne voivat johtaa tietojen paljastumiseen. On olemassa useita vektoreita, joiden avulla hyökkääjä voi laukaista haavoittuvuudet määritetyn ympäristön mukaan. L1TF vaikuttaa Intel® Core®- ja Intel® Xeon® -prosessoreihin.

Lisätietoja tästä haavoittuvuudesta sekä yksityiskohtaisen kuvan skenaarioista, joihin se vaikuttaa, mukaan lukien Microsoftin tapa lieventää L1TF:ää, on seuraavissa resursseissa:

• ADV180018 | Microsoftin ohjeet L1TF-variantin lieventämiseen
• Suojaustiedotteet Tietoturvatutkimusblogi
• Palvelimen ohjeet L1-päätevikaan

Hyper-Threading käytöstä poistamisen vaiheet vaihtelevat alkuperäisten laitevalmistajien välillä, mutta ne ovat yleensä osa BIOSin tai laiteohjelmiston määritys- ja määritystyökaluja.

64-bittisiä ARM-suorittimia käyttävien asiakkaiden tulee pyytää laiteohjelmistotukea laitteen alkuperäiseltä laitevalmistajalta, koska ARM64-käyttöjärjestelmän suojaukset vaikuttavat CVE-2017-5715 | Haarakohteen injektio (Spectre, variantti 2) edellyttää, että laitteen alkuperäisten laitevalmistajien uusin laiteohjelmistopäivitys tulee voimaan.

Lisätietoja on seuraavissa suojausneuvoissa

• Intelin tietoturvailmoitus
• ADV190013 | Microsoftin ohjeet mikroarkkitehtuuriseen tietojen näytteenottoon liittyvien haavoittuvuuksien lieventämiseen

Lisää ohjeita spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen on Windowsin ohjeissa

Tutustu Windowsin ohjeisiin spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen

Azure-ohjeita on seuraavassa artikkelissa: Ohjeita spekulatiivisen suorituspuolen kanavan haavoittuvuuksien lieventämiseen Azuressa.

Lisätietoja Retpolinen käyttöönotosta on blogikirjoituksessamme: Spectren variantin 2 lieventäminen Retpolinen avulla Windowsissa .

Lisätietoja tästä haavoittuvuudesta on Microsoftin tietoturvaoppaassa: CVE-2019-1125 | Windowsin ytimen tietojen paljastamisen haavoittuvuus.

Tiedossamme ei ole minkäänlaista tietojen paljastamista koskevaa haavoittuvuutta, joka vaikuttaisi pilvipalveluinfrastruktuuriimme.

Heti kun huomasimme tämän ongelman, korjasimme sen nopeasti ja julkaisimme päivityksen. Uskomme vahvasti läheiseen kumppanuuteen sekä tutkijoiden että alan kumppaneiden kanssa asiakkaiden turvallisuuden parantamiseksi, ja julkistimme yksityiskohdat vasta tiistaina 6. elokuuta koordinoitujen haavoittuvuuksien paljastamiskäytäntöjen mukaisesti.

Lisätietoja spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen on Windowsin ohjeissa.

Lisätietoja spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen on Windowsin ohjeissa.

Lisäohjeita on ohjeissa Intelin tapahtumien synkronointilaajennusten (Intel TSX) ominaisuuden käytöstä poistamiseen

Tässä artikkelissa käsiteltävät kolmansien osapuolten tuotteet ovat Microsoftista riippumattomien, itsenäisten yritysten valmistamia. Emme anna mitään oletettuja tai muita takuita siitä, että nämä tuotteet toimivat tai että ne ovat luotettavia.

Tarjoamme yhteystiedot kolmannelle osapuolelle, jonka kautta saat teknistä tukea. Nämä yhteystiedot saattavat muuttua ilman ennakkoilmoitusta. Emme takaa kolmannen osapuolen yhteystietojen tarkkuutta.