KB4073119 : Guide à l'intention des informaticiens pour la protection des clients Windows contre les vulnérabilités des canaux latéraux de l'exécution spéculative et de la microarchitecture basée sur le silicium.

Le 14 mai 2019, Intel a publié des informations concernant une nouvelle sous-classe de vulnérabilités de canal auxiliaire d’exécution spéculative appelées « Microarchitectural Data Sampling ». Ces vulnérabilités sont traitées dans les CVE suivants :

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
• CVE-2018-12126 | Echantillonnage des données de la mémoire tampon du store microarchitectural (MSBDS))
• CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

Microsoft a publié des mises à jour pour contribuer à atténuer ces vulnérabilités. Pour bénéficier de toutes les protections disponibles, des mises à jour du microprogramme (microcode) et des mises à jour logicielles sont requises. Cela peut concerner notamment le microcode des fabricants d’appareils OEM. Dans certains cas, l’installation de ces mises à jour a un impact sur les performances. Microsoft a également pris des mesures pour sécuriser ses services cloud. Microsoft recommande vivement de déployer ces mises à jour.

Pour plus d’informations sur ce problème, consultez l’avis de sécurité suivant et utilisez les instructions propres à chaque scénario pour déterminer les actions nécessaires pour atténuer la menace :

• ADV190013 | Instructions de Microsoft pour atténuer les vulnérabilités « Microarchitectural Data Sampling »
• Instructions Windows concernant la protection contre les vulnérabilités de canal auxiliaire d’exécution spéculative

Le 6 août 2019, Intel a publié des détails sur une vulnérabilité de divulgation d’informations dans le noyau Windows. Cette vulnérabilité est une variante de la vulnérabilité de canal auxiliaire d’exécution spéculative variante 1 de Spectre et a reçu le titre CVE-2019-1125.

Le 9 juillet 2019, Microsoft a publié des mises à jour de sécurité pour le système d’exploitation Windows afin d’atténuer ce problème. Microsoft n’a publié les informations sur cette atténuation que le mardi 6 août 2019, lors de la divulgation coordonnée à l’échelle du secteur.

Les clients ayant activé Windows Update et appliqué les mises à jour de sécurité publiées le 9 juillet 2019 sont automatiquement protégés. Aucune configuration supplémentaire n’est nécessaire.

Pour plus d’informations sur cette vulnérabilité et sur les mises à jour applicables, consultez le guide des mises à jour de sécurité Microsoft :

• CVE-2019-1125 | Vulnérabilité de divulgation d’informations dans le noyau Windows

Le 12 novembre 2019, Intel a publié un avis technique qui concerne la vulnérabilité Intel Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort (attribuée à CVE-2019-11135). Nous avons publié des mises à jour pour atténuer cette vulnérabilité. Par défaut, les protections du système d'exploitation sont activées pour les éditions du système d'exploitation Windows Client.

Le 14 juin 2022, nous avons publié ADV220002 | Conseils de Microsoft sur les vulnérabilités des données périmées du processeur Intel MMIO. Ces vulnérabilités sont classées dans les CVE suivants :

• CVE-2022-21123 | Lecture des données de mémoire tampon partagée (SBDR)
• CVE-2022-21125 : Échantillonnage des données de mémoire tampon partagée (SBDS)
• CVE-2022-21127 | Mise à jour spéciale de l’échantillonnage des données du tampon de registre (mise à jour SRBDS)
• CVE-2022-21166 | Écriture partielle du registre de l'appareil (DRPW)

Actions recommandées

Vous devez prendre les mesures suivantes pour vous protéger contre ces vulnérabilités :

1. Appliquer toutes les mises à jour disponibles pour le système d’exploitation Windows, y compris les mises à jour de sécurité Windows mensuelles.
2. Appliquer la mise à jour applicable du microprogramme (microcode) fournie par le fabricant de l’appareil.
3. Évaluer le risque pour l’environnement à l’aide des informations contenues dans les avis de sécurité Microsoft ADV180002, ADV180012, ADV190013 et ADV220002, en plus des informations contenues dans cet article.
4. Prenez les mesures nécessaires en utilisant les avis et les informations sur les clés de registre fournis dans cet article.

Le 12 juillet 2022, nous avons publié CVE-2022-23825 | Confusion du type de branche du processeur AMD qui décrit que les alias dans le prédicteur de branche peuvent amener certains processeurs AMD à prédire le type de branche incorrect. Ce problème peut potentiellement entraîner la divulgation d’informations.

Pour vous protéger contre cette vulnérabilité, nous vous recommandons d’installer les mises à jour Windows qui datent de juillet 2022 ou après, puis de prendre les mesures requises par CVE-2022-23825 et les informations de clé de Registre fournies dans cet article de la base de connaissances.

Pour plus d’informations, consultez le bulletin de sécurité AMD-SB-1037 .

Le 8 août 2023, nous avons publié CVE-2023-20569 | Le prédicteur d’adresse de retour du processeur AMD (également appelé Inception) décrit une nouvelle attaque de canal latéral spéculatif qui peut entraîner une exécution spéculative à une adresse contrôlée par l’attaquant. Ce problème affecte certains processeurs AMD et peut potentiellement entraîner la divulgation d’informations.

Pour vous protéger contre cette vulnérabilité, nous vous recommandons d’installer les mises à jour Windows qui datent d’août 2023 ou après, puis de prendre les mesures requises par CVE-2023-20569 et les informations de clé de Registre fournies dans cet article de la base de connaissances.

Pour plus d’informations, consultez le bulletin de sécurité AMD-SB-7005 .

Le 9 avril 2024, nous avons publié CVE-2022-0001 | L’injection d’historique de branche Intel qui décrit l’injection d’historique de branche (BHI) qui est une forme spécifique de BTI intra-mode. Cette vulnérabilité se produit lorsqu’un attaquant peut manipuler l’historique des branches avant de passer du mode utilisateur au mode superviseur (ou du mode VMX non racine/invité au mode racine). Cette manipulation peut entraîner la sélection d’une entrée de prédiction spécifique pour une branche indirecte par un prédicteur indirect, et un gadget de divulgation sur la cible prédite s’exécutera temporairement. Cela peut être possible, car l’historique de branche pertinent peut contenir des branches prises dans des contextes de sécurité précédents, et en particulier d’autres modes de prédiction.

Par défaut, la protection utilisateur-noyau pour CVE-2017-5715 est désactivée pour les processeurs AMD et ARM. Vous devez activer l’atténuation pour bénéficier de protections supplémentaires pour la vulnérabilité CVE-2017-5715. Pour plus d’informations, consultez le point 15 du forum aux questions dans ADV180002 pour les processeurs AMD et le point 20 du forum aux questions dans ADV180002 pour les processeurs ARM.

Par défaut, la protection utilisateur-noyau pour CVE-2017-5715 est désactivée pour les processeurs AMD. Les clients doivent activer l’atténuation pour bénéficier des protections supplémentaires pour la vulnérabilité CVE-2017-5715.  Pour plus d’informations, consultez le point 15 du forum aux questions dans l’avis ADV180002.

Pour activer l’atténuation pour CVE-2022-23825 sur les processeurs AMD :**

reg ajouter « HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management » /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Pour être entièrement protégés, les clients devront peut-être également désactiver Hyper-Threading (également appelé SMT (Simultaneous Multi Threading). Consultez KB4073757 pour obtenir des conseils sur la protection des appareils Windows.

Pour activer l’atténuation pour CVE-2023-20569 sur les processeurs AMD :

reg ajouter "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Pour activer l’atténuation de la CVE-2022-0001 sur les processeurs Intel :

ajout regg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

ajout reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Pour obtenir une explication détaillée de la sortie du script PowerShell, consultez KB4074629.

Le microcode est fourni par le biais d’une mise à jour du microprogramme. Vous devez case activée avec le fabricant de votre processeur (chipset) et de votre appareil pour connaître la disponibilité des mises à jour de sécurité du microprogramme applicables à leur appareil spécifique, y compris les instructions de révision du microcode d’Intel.

La résolution d’une vulnérabilité matérielle à l’aide d’une mise à jour logicielle constitue un défi considérable. En outre, les atténuations pour les systèmes d’exploitation antérieurs nécessitent des modifications importantes de l’architecture. Microsoft collabore avec les fabricants de puces concernés pour déterminer le meilleur moyen de proposer les atténuations, qui pourront être fournies dans des mises à jour ultérieures.

Les mises à jour pour les appareils Microsoft Surface seront proposées aux clients par le biais de Windows Update en même temps que les mises à jour du système d’exploitation Windows. Pour obtenir la liste des mises à jour du microprogramme (microcode) disponibles pour les appareils Surface, consultez KB4073065.

Dans le cas d’un appareil non-Microsoft, appliquez le microprogramme du fabricant de l’appareil. Pour plus d’informations, contactez le fabricant d’appareil OEM.

En février et en mars 2018, Microsoft a publié une protection supplémentaire pour certains systèmes x86. Pour plus d’informations, consultez KB4073757 et l’avis de sécurité Microsoft ADV180002.

Les mises à jour pour Windows 10 pour HoloLens sont disponibles pour les clients HoloLens par le biais de Windows Update.

Après l’application de la mise à jour de sécurité Windows de février 2018, les clients HoloLens ne doivent entreprendre aucune action supplémentaire pour mettre à jour le microprogramme de leur appareil. Ces atténuations seront également incluses dans toutes les versions futures de Windows 10 pour HoloLens.

Non. Les mises à jour de sécurité uniquement ne sont pas cumulatives. Selon la version du système d’exploitation que vous utilisez, vous devez installer chaque mise à jour mensuelle de sécurité uniquement pour bénéficier d’une protection contre ces vulnérabilités. Par exemple, si vous utilisez Windows 7 pour systèmes 32 bits sur un processeur Intel concerné, vous devez installer toutes les mises à jour de sécurité uniquement. Nous recommandons d’installer ces mises à jour de sécurité uniquement dans leur ordre de publication.

Remarque Une version antérieure de ce FORUM aux questions a indiqué à tort que la mise à jour sécurité uniquement de février incluait les correctifs de sécurité publiés en janvier. En réalité, ce n’est pas le cas.

Non. La mise à jour de sécurité 4078130 était un correctif spécifique destiné à éviter les comportements imprévisibles du système, les problèmes de performance et/ou les redémarrages inattendus après l'installation d'un microcode. L’application des mises à jour de sécurité de février sur les systèmes d’exploitation clients Windows active toutes les trois atténuations.

Intel a récemment annoncé avoir terminé les opérations de validation et commencé à publier un microcode pour les plateformes de processeur les plus récentes. Microsoft publie les mises à jour du microcode validées par Intel disponibles en ce qui concerne la variante 2 de Spectre (CVE-2017-5715, « Branch Target Injection »). L’article KB4093836 répertorie les articles spécifiques de la Base de connaissances par version de Windows. Chaque article contient les mises à jour du microcode Intel disponibles par processeur.

Ce problème a été résolu en KB4093118.

AMD a récemment annoncé qu’elle avait commencé à publier des microcodes pour les nouvelles plateformes de processeurs en ce qui concerne la variante 2 de Spectre (CVE-2017-5715, « Branch Target Injection »). Pour plus d’informations, consultez les mises à jour de la sécurité AMD et le livre blanc AMD : instructions relatives à l’architecture concernant le contrôle Indirect Branch. Ces documents sont disponibles à partir du canal de microprogramme OEM.

Microsoft publie les mises à jour du microcode validées par Intel disponibles en ce qui concerne la variante 2 de Spectre (CVE-2017-5715, « Branch Target Injection »). Pour obtenir les dernières mises à jour du microcode Intel au moyen de Windows Update, vous devez avoir installé le microcode Intel sur un appareil Windows 10 avant de procéder à la mise à niveau vers la mise à jour d’avril 2018 de Windows 10 (version 1803).

La mise à jour du microcode est également disponible directement à partir du Catalogue si elle n’était pas installée sur l’appareil avant la mise à niveau du système d’exploitation. Le microcode Intel est disponible par le biais de Windows Update, de WSUS ou du Catalogue Microsoft Update. Pour plus d’informations et pour obtenir des instructions de téléchargement, consultez KB4100347.

Pour plus d’informations, consultez les ressources suivantes :

• ADV180012 | Instructions de Microsoft concernant la vulnérabilité « Speculative Store Bypass » pour CVE-2018-3639
• ADV180013 | Instructions de Microsoft concernant la vulnérabilité « Rogue System Register Read » pour CVE-2018-3640 et KB4073065
• Blog Sécurité Microsoft Research and Defense
• Instructions pour les développeurs concernant la vulnérabilité « Speculative Store Bypass »

Pour plus d’informations, consultez les sections « Actions recommandées » et « Forum aux questions » de l’article ADV180012 | Instructions de Microsoft concernant la vulnérabilité « Speculative Store Bypass ».

Pour vérifier l’état de la fonctionnalité SSBD, le script PowerShell Get-SpeculationControlSettings a été mis à jour pour détecter les processeurs concernés, l’état des mises à jour du système d’exploitation SSBD et l’état du microcode du processeur, le cas échéant. Pour plus d’informations et pour obtenir le script PowerShell, consultez l’article KB4074629.

Le 13 juin 2018, une vulnérabilité supplémentaire impliquant une exécution spéculative par canal auxiliaire, connue sous le nom de Lazy FP State Restore, a été annoncée et attribuée à CVE-2018-3665. Aucun paramètre de configuration (Registre) n’est nécessaire pour Lazy FP State Restore.

Pour plus d’informations sur cette vulnérabilité et sur les actions recommandées, consultez l’avis de sécurité suivant : ADV180016 | Instructions de Microsoft concernant la vulnérabilité « Lazy FP State Restore ».

La vulnérabilité « Bounds Check Bypass Store » (BCBS) a été divulguée le 10 juillet 2018 et attribuée à la CVE-2018-3693. Nous estimons que BCBS appartient à la même classe de vulnérabilités que « Bounds Check Bypass » (variante 1). À ce jour, nous n’avons connaissance d’aucune instance de BCBS dans nos logiciels. Nous poursuivons toutefois nos recherches sur cette classe de vulnérabilités et nous collaborerons avec des partenaires du secteur pour publier des atténuations, le cas échéant. Microsoft continue à encourager les chercheurs à transmettre leurs résultats et constatations dans le cadre du programme Bounty Speculative Execution Side Channel de Microsoft, entre autres toute instance exploitable de BCBS. Les développeurs de logiciels doivent consulter les instructions pour les développeurs mises à jour pour BCBS à https://aka.ms/sescdevguide.

Le 14 août 2018, L1 Terminal Fault (L1TF) a été annoncé et s’est vu attribuer plusieurs CVE. Ces nouvelles vulnérabilités de canal auxiliaire d’exécution spéculative peuvent servir à lire le contenu de la mémoire sur une limite approuvée et, en cas d’exploitation, peuvent entraîner une divulgation d’informations. Un attaquant pourrait déclencher les vulnérabilités à l’aide de plusieurs vecteurs en fonction de l’environnement configuré. La vulnérabilité L1TF touche les processeurs Intel® Core® et Intel® Xeon®.

Pour plus d’informations sur cette vulnérabilité et pour obtenir une présentation détaillée des scénarios concernés, entre autres l’approche de Microsoft en ce qui concerne l’atténuation de L1TF, consultez les ressources suivantes :

• ADV180018 | Instructions de Microsoft pour atténuer la variante L1TF
• Blog Security Research Blog sur l’avis de sécurité
• Instructions Server concernant la vulnérabilité « L1 Terminal Fault »

Les clients qui utilisent des processeurs ARM 64 bits doivent case activée avec le fabricant OEM de l’appareil pour obtenir une assistance micrologicielle, car les protections du système d’exploitation ARM64 qui atténuent la CVE-2017-5715 | L’injection de cible de branche (Spectre, variante 2) nécessite la dernière mise à jour du microprogramme auprès des OEM de l’appareil pour être prise en compte.

Pour plus d’informations, consultez les avis de sécurité suivants :

• Avis de sécurité d’Intel
• ADV190013 | Instructions de Microsoft pour atténuer les vulnérabilités « Microarchitectural Data Sampling »

Pour plus d’informations, consultez les avis de sécurité suivants :

• Avis de sécurité d’Intel
• ADV190013 | Instructions de Microsoft pour atténuer les vulnérabilités « Microarchitectural Data Sampling »

Vous trouverez des instructions supplémentaires dans l’article Instructions Windows concernant la protection contre les vulnérabilités de canal auxiliaire d’exécution spéculative.

Consultez les instructions dans l’article Instructions Windows concernant la protection contre les vulnérabilités de canal auxiliaire d’exécution spéculative.

Pour obtenir des conseils sur Azure, consultez l’article suivant : Conseils pour atténuer les vulnérabilités de canal auxiliaire d’exécution spéculative dans Azure.

Pour plus d’informations sur l’activation de Retpoline, consultez le billet de blog suivant : Mitigating Spectre variant 2 with Retpoline on Windows (en anglais uniquement).

Pour plus d’informations sur cette vulnérabilité, consultez le guide des mises à jour de sécurité Microsoft : CVE-2019-1125 | Vulnérabilité de divulgation d’informations dans le noyau Windows.

Microsoft n’a connaissance d’aucun cas où cette vulnérabilité de divulgation d’informations touche son infrastructure de services cloud.

Dès qu’elle a eu connaissance de ce problème, Microsoft a cherché rapidement une solution à ce problème et a publié une mise à jour. Microsoft est convaincue qu’une étroite collaboration avec les chercheurs et les partenaires du secteur permet de renforcer la sécurité des clients. Elle n’a dès lors publié les détails que le mardi 6 août, conformément à des pratiques de divulgation de vulnérabilité coordonnée.

Vous trouverez des instructions supplémentaires dans l’article Instructions Windows concernant la protection contre les vulnérabilités de canal auxiliaire d’exécution spéculative.

Vous trouverez des instructions supplémentaires dans l’article Instructions Windows concernant la protection contre les vulnérabilités de canal auxiliaire d’exécution spéculative.

Vous trouverez des instructions supplémentaires dans Instructions pour désactiver la® fonctionnalité Intel Transactional Synchronization Extensions (Intel® TSX).

Microsoft fournit des informations de contact de sociétés tierces afin de vous aider à obtenir un support technique. Ces informations de contact peuvent être modifiées sans préavis. Microsoft ne garantit pas l’exactitude des informations concernant les sociétés tierces.