KB4073225 - Instructions SQL Server concernant la protection contre les vulnérabilités Spectre, Meltdown et Micro-architectural Data Sampling

Résumé

Microsoft a connaissance d’une nouvelle classe de vulnérabilités appelée « attaques par canal auxiliaire d’exécution spéculative » qui touche de nombreux processeurs et systèmes d’exploitation modernes, dont Intel, AMD et ARM.

Remarque Ce problème concerne également d’autres systèmes tels qu’Android, Chrome, iOS et Mac OS. Nous conseillons dès lors à nos clients de rechercher des instructions auprès du fournisseur correspondant.

Microsoft a publié plusieurs mises à jour pour contribuer à atténuer ces vulnérabilités. Nous avons également pris des mesures pour sécuriser nos services cloud. Pour plus d’informations, consultez les sections suivantes.

À l’heure actuelle, Microsoft n’a reçu aucune information faisant état d’une utilisation de ces vulnérabilités dans le but d’attaquer des clients. Microsoft continue à collaborer étroitement avec des partenaires du secteur, notamment des fabricants de puces, des fabricants de matériel OEM et des fournisseurs d’application, afin de protéger ses clients. Pour bénéficier de toutes les protections disponibles, il est nécessaire d’effectuer des mises à jour du matériel ou du microprogramme et des mises à jour logicielles. Cela concerne notamment le microcode des fabricants d’appareils OEM et, dans certains cas, des mises à jour de l’antivirus.

Pour plus d’informations sur les vulnérabilités, consultez l’Avis de sécurité Microsoft ADV180002. Pour obtenir des instructions générales relatives à l’atténuation de cette classe de vulnérabilités, consultez l’article suivant : Instructions pour atténuer les vulnérabilités de canal auxiliaire d’exécution spéculative.

Microsoft a publié l’avis ADV190013 - Instructions de Microsoft pour atténuer les vulnérabilités « Microarchitectural Data Sampling » en mai 2019. Aucun correctif de sécurité spécifique n’est prévu pour SQL Server pour le problème décrit dans l’avis ADV190013. Vous trouverez les instructions correspondant aux environnements concernés par l’avis ADV190013 dans la section Recommandations de cet article. Cet avis ne s’applique qu’aux processeurs Intel.

Procédure d'obtention et d'installation de la mise à jour

Cette mise à jour est également disponible par le biais de Windows Server Update Services (WSUS) ou du site web Catalogue Microsoft Update.

Remarque : cette mise à jour ne sera pas téléchargée et installée automatiquement par le biais de Windows Update.

Versions prises en charge de SQL Server concernées

Microsoft recommande à tous ses clients d’installer les mises à jour de SQL Server (répertoriées ci-dessous) dans le cadre de leur cycle de mise à jour corrective habituel. Les clients qui utilisent SQL Server dans un environnement sécurisé où les points d’extensibilité sont bloqués et où tous les codes tiers exécutés sur un même serveur sont approuvés devraient ne pas être concernés par ce problème.

Des mises à jour sont disponibles pour les versions suivantes de SQL Server lorsqu’elles sont exécutées sur des systèmes de processeur x86 et x64 :

• SQL Server 2008

• SQL Server 2008 R2

• SQL Server 2012

• SQL Server 2014

• SQL Server 2016

• SQL Server 2017

Nous ne pensons pas que l’architecture IA-64 (Microsoft SQL Server 2008) soit concernée. Microsoft Analytics Platform System (APS) repose sur Microsoft SQL Server 2014 ou Microsoft SQL Server 2016, mais n’est pas concerné. Vous trouverez plus loin dans cet article des instructions générales pour APS.

Recommandations

Le tableau ci-dessous décrit les mesures que les clients doivent prendre en fonction de l’environnement d’exécution de SQL Server et de la fonctionnalité utilisée. Microsoft vous recommande de déployer les correctifs en suivant les procédures habituelles pour tester de nouveaux binaires avant le déploiement dans des environnements de production.

Avis concernant les performances

Il est conseillé aux clients d’évaluer les performances de leur application spécifique lorsqu’ils appliquent des mises à jour.

Microsoft conseille à tous ses clients d’installer les versions mises à jour de SQL Server et de Windows. D’après les tests de Microsoft sur les charges de travail SQL, cela devrait avoir un impact minimal, voire négligeable, sur les performances pour les applications existantes. Toutefois, nous vous recommandons de tester toutes les mises à jour avant de les déployer dans un environnement de production.

Microsoft a mesuré les effets des fonctionnalités Kernel Virtual Address Shadowing (KVAS), Kernel Page Table Indirection (KPTI) et Indirect Branch Prediction (IBP) sur différentes charges de travail SQL dans des environnements divers et a détecté une dégradation importante pour certaines charges de travail. Nous vous recommandons de tester les effets sur les performances liés à l’activation de ces fonctionnalités avant de les déployer dans un environnement de production. Si ces effets sont trop importants pour une application existante, vous pouvez déterminer si l’isolement de SQL Server du code non approuvé exécuté sur le même ordinateur est une meilleure atténuation pour votre application.

Des informations supplémentaires sur les effets sur les performances liés à la prise en charge matérielle d’atténuation Indirect Branch Prediction (IBP) sont disponibles ici.

Microsoft mettra à jour cette section dès que des informations supplémentaires seront disponibles.

Activation des fonctionnalités Kernel Virtual Address Shadowing (KVAS dans Windows) et Kernel Page Table Indirection (KPTI dans Linux)

Les fonctionnalités KVAS et KPTI permettent d’atténuer la vulnérabilité CVE-2017-5754, également appelée « Meltdown » ou « variante 3 » dans la publication GPZ.

SQL Server est exécuté sur de nombreux environnements : ordinateurs physiques, machines virtuelles dans des environnements cloud publics et privés, sur systèmes Linux et Windows. Quel que soit l’environnement, le programme est exécuté sur un ordinateur ou une machine virtuelle. Il s’agit de la limite de sécurité.

Si l’ensemble du code dans la limite a accès à toutes les données de cette limite, aucune action n’est nécessaire. Dans le cas contraire, la limite est mutualisée. En raison des vulnérabilités détectées, un code, même avec des autorisations réduites, exécuté dans un processus dans cette limite, peut lire les autres données dans cette limite. Si un processus dans la limite exécute du code non approuvé, il pourrait exploiter ces vulnérabilités pour lire les données d’autres processus. Ce code non approuvé pourrait être du code non approuvé qui utilise les mécanismes d’extensibilité SQL Server ou d’autres processus dans la limite exécutant du code non approuvé.

Pour bénéficier d’une protection contre un code non approuvé dans une limite mutualisée, utilisez l’une des méthodes suivantes :

• Supprimez le code non approuvé. Pour plus d’informations sur cette opération pour les mécanismes d’extensibilité SQL Server, voir ci-après. Pour supprimer le code non approuvé des autres applications dans la même limite, des modifications spécifiques des applications sont généralement nécessaires (par exemple, séparation en deux machines virtuelles).

• Activez la fonctionnalité KVAS ou KPTI. Cette opération a un impact sur les performances. Pour plus d’informations, consultez les sections précédentes de cet article.

Pour plus d’informations sur l’activation de la fonctionnalité KVAS pour Windows, voir KB4072698. Pour plus d’informations sur l’activation de la fonctionnalité KPTI sur Linux, contactez le distributeur de votre système d’exploitation.

Exemple de scénario dans lequel la fonctionnalité KVAS ou KPTI est vivement recommandée

Un ordinateur physique local qui héberge SQL Server en tant que compte d’administrateur non-système autorise les clients à envoyer des scripts R arbitraires à exécuter par le biais de SQL Server (qui utilise des processus secondaires pour exécuter ces scripts en dehors de sqlservr.exe). Il est nécessaire d’activer KVAS et KPTI pour assurer une protection contre les vulnérabilités de divulgation de données dans le processus Sqlservr.exe et dans la mémoire du noyau du système.

Remarque La simple utilisation d’un mécanisme d’extensibilité dans SQL Server ne le rend pas dangereux pour autant. En effet, ces mécanismes peuvent être utilisés en toute sécurité dans SQL Server tant que chaque dépendance est comprise et approuvée par le client. De plus, d’autres produits reposant sur SQL peuvent nécessiter des mécanismes d’extensibilité pour fonctionner correctement. Par exemple, une application packagée créée sur SQL Server peut nécessiter un serveur lié ou une procédure stockée CLR pour fonctionner correctement.

Microsoft ne vous recommande pas de supprimer ces mécanismes dans le cadre de l’atténuation. Examinez plutôt chaque utilisation pour déterminer si ce code est compris et approuvé en tant qu’action initiale. Ces instructions visent à aider les clients à déterminer s’ils sont dans une situation nécessitant l’activation de la fonctionnalité KVAS, car cette action a un impact important sur les performances.

Activation de la prise en charge matérielle d’atténuation Indirect Branch Prediction (IBP)

La fonctionnalité IBP permet d’atténuer la vulnérabilité CVE-2017-5715, également appelée « moitié de Spectre » ou « variante 2 » dans la publication GPZ.

Les instructions de cet article relatives à l’activation de la fonctionnalité KVAS sur Windows activent également IBP. Toutefois, la fonctionnalité IBP nécessite aussi une mise à jour du microprogramme fournie par le fabricant du matériel. Outre les instructions détaillées dans l’article KB4072698, qui assurent la protection dans Windows, les clients doivent obtenir et installer des mises à jour disponibles auprès de leur fabricant de matériel.

Exemple de scénario dans lequel la fonctionnalité IBP est vivement recommandée

Un ordinateur physique local héberge SQL Server avec une application qui autorise les utilisateurs non approuvés à télécharger et à exécuter du code JavaScript arbitraire. En supposant que la base de données SQL contienne des données confidentielles, la fonctionnalité IBP est vivement recommandée en tant que mesure de protection contre la divulgation d’informations entre processus.

Si la prise en charge matérielle IBP n’est pas présente, Microsoft recommande de séparer les processus non approuvés et les processus approuvés sur des ordinateurs physiques ou des machines virtuelles différentes.

Utilisateurs Linux : contactez le distributeur de votre système d’exploitation pour plus d’informations sur la protection contre la variante 2 (CVE 2017-5715).

Un exemple de scénario dans lequel l’atténuation des vulnérabilités Microarchitectural Data Sampling est fortement recommandé

Prenons l’exemple d’un serveur sur site qui exécute deux instances de SQL Server hébergeant deux applications métier différentes sur deux machines virtuelles distinctes sur le même hôte physique. Supposons que ces deux applications métier ne puissent pas lire les données stockées sur les instances SQL Server. Une personne malveillante qui parviendrait à exploiter ces vulnérabilités pourrait lire les données privilégiées au-delà des limites d’approbation grâce à du code non approuvé exécuté sur la machine sous la forme d’un processus à part ou du code non approuvé exécuté par un mécanisme d’extensibilité SQL Server (voir la section ci-dessous pour connaître les options d’extensibilité dans SQL Server). Dans un environnement de ressources partagées (dans une configuration de services cloud, par exemple), ces vulnérabilités pourraient permettre à une machine virtuelle d’accéder de façon incorrecte à des informations sur une autre machine. Dans un scénario hors navigation sur un système autonome, un attaquant aurait besoin d’un accès préalable au système ou devrait pouvoir exécuter une application spécialement conçue sur le système cible pour pouvoir exploiter ces vulnérabilités.

Mécanismes d’extensibilité SQL Server non approuvés

SQL Server contient un nombre important de fonctionnalités et de mécanismes d’extensibilité. La plupart de ces mécanismes sont désactivés par défaut. Toutefois, nous conseillons à nos clients d’examiner chaque instance de production afin de déterminer s’il convient d’utiliser les fonctionnalités d’extensibilité. Nous recommandons de limiter chacune de ces fonctionnalités à l’ensemble minimum de binaires et de restreindre l’accès afin d’éviter l’exécution de code arbitraire sur le même ordinateur que SQL Server. Nous conseillons aux clients de déterminer si chaque binaire est approuvé et de désactiver ou supprimer les binaires non approuvés.

• Assemblys CLR SQL

• Packages R et Python exécutés par le biais du mécanisme de scripts externes ou à partir de R/Machine Learning Studio en mode autonome sur le même ordinateur physique que SQL Server

• Points d’extensibilité SQL Agent exécutés sur le même ordinateur physique que SQL Server (scripts ActiveX)

• Fournisseurs OLE DB non-Microsoft utilisés sur des serveurs liés

• Procédures stockées étendues non-Microsoft

• Objets COM exécutés sur le serveur (accès via sp_OACreate)

• Programmes exécutés via xp_cmdshell

Atténuations à appliquer en cas d’utilisation de code non approuvé dans SQL Server :