KB4073119: הדרכה עבור מומחי IT להגנה מפני פגיעויות ערוץ צדדי של מיקרו-ארכיטקטורות וביצוע ספקולטיבי המבוססות על סיליקון

ב- 14 במאי 2019, Intel פרסמה מידע על מחלקת משנה חדשה של פגיעויות ערוץ צדדי של ביצוע ספקולטיבי הידועות כדגימת נתונים של מיקרו-ארכיטקטורים. פגיעויות אלה מטופלות ב- CVEs הבאים:

• CVE-2019-11091 | דגימת נתונים מיקרו-ארכיטקטונית זיכרון לא ניתן למטמון (MDSUM)
• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
• CVE-2018-12127 | דגימת נתוני מילוי של מאגר מילוי מיקרו-ארכיטקטוני (MFBDS)
• CVE-2018-12130 | דגימת נתוני יציאת עומס מיקרו-ארכיטקטונית (MLPDS)

הפצנו עדכונים כדי לסייע בהפחתת פגיעויות אלה. כדי לקבל את כל ההגנות הזמינות, נדרשים עדכוני קושחה (מיקרו-קוד) ותוכנה. הדבר עשוי לכלול מיקרו-קוד מיצרני ציוד מקורי של מכשירים. במקרים מסוימים, להתקנת עדכונים אלה תהיה השפעה על הביצועים. פעלנו גם לאבטחת שירותי הענן שלנו. מומלץ מאוד לפרוס עדכונים אלה.

לקבלת מידע נוסף על בעיה זו, עיין בסעיף הבא של Security Advisory והשתמש בהדרכה המבוססת על תרחישים כדי לקבוע את הפעולות הדרושות כדי להפחית את האיום:

• ADV190013 | הדרכה של Microsoft לצמצום פגיעויות של דגימת נתונים במיקרו-ארכיטקטורה
• הדרכה של Windows להגנה מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי

ב-6 באוגוסט 2019, Intel פרסמה פרטים על פגיעות של גילוי מידע אודות הליבה של Windows. פגיעות זו היא וריאציה של פגיעות הערוץ הצדדי של ההפעלה המבצעת של Spectre Variant 1 והוקצתה לה CVE-2019-1125.

ב- 9 ביולי 2019 פרסמנו עדכוני אבטחה עבור מערכת ההפעלה Windows כדי לסייע בצמצום הבעיה. שים לב שעיכבנו את תיעוד ההפחתה הזו בפומבי עד לחשיפה המתואמת של התעשייה ביום שלישי, 6 באוגוסט 2019.

לקוחות שהפעלת את Windows Update והחילו את עדכוני האבטחה שהופצו ב-9 ביולי, 2019 מוגנים באופן אוטומטי. אין צורך בקביעת תצורה נוספת.

לקבלת מידע נוסף על פגיעות זו ועל עדכונים ישימים, עיין במדריך עדכוני האבטחה של Microsoft:

• CVE-2019-1125 | פגיעות של גילוי מידע אודות הליבה של Windows

ב-12 בנובמבר 2019, Intel פרסמה מדריך טכני בנוגע לפגיעות הפסקת אסנכרוני של Intel Transactional Synchronization Extensions (Intel TSX) שהוקצתה לה CVE-2019-11135. פרסמנו עדכונים כדי לסייע בהפחתת הפגיעות הזו. כברירת מחדל, הגנות מערכת ההפעלה מופעלות במהדורות מערכת ההפעלה Windows Client.

ב-14 ביוני 2022, פרסמנו ADV220002 | הדרכה של Microsoft לגבי פגיעויות נתונים ישנים של מעבד Intel MMIO. פגיעויות אלה מוקצות ב- CVEs הבאים:

• CVE-2022-21123 | קריאת נתוני מאגר משותף (SBDR)
• CVE-2022-21125 | Shared Buffer Data Sampling (SBDS)
• CVE-2022-21127 | עדכון מיוחד של דגימת נתוני מאגר רישום (עדכון SRBDS)
• CVE-2022-21166 | כתיבה חלקית של פנקס התקנים (DRPW)

פעולות מומלצות

עליך לבצע את הפעולות הבאות כדי לסייע בהגנה מפני פגיעויות אלה:

1. החל את כל העדכונים הזמינים למערכת ההפעלה Windows, כולל עדכוני האבטחה החודשיים של Windows.
2. החל את עדכון הקושחה (מיקרו-קוד) הרלוונטי שסופק על-ידי יצרן המכשיר.
3. הערכת הסיכון לסביבה שלך בהתבסס על המידע המסופק בהודעות ADV180002, ADV180012, ADV190013 ו- ADV220002 של Microsoft , בנוסף למידע המפורט במאמר זה.
4. לנקוט פעולה כנדרש באמצעות ההודעות המינוריות ומידע מפתח הרישום המופיעים במאמר זה.

ב-12 ביולי 2022, פרסמנו את CVE-2022-23825 | בלבול בסוג הענף של מעבד AMD , המתאר כי כינויים בחיזוי הענף עלולים לגרום למעבדי AMD מסוימים לחזות סוג ענף שגוי. בעיה זו עלולה להוביל לחשיפת מידע.

כדי לסייע בהגנה מפני פגיעות זו, מומלץ להתקין עדכוני Windows שמתוארכים ליולי 2022 או לאחר מכן לבצע פעולה כנדרש על-ידי CVE-2022-23825 ומידע מפתח הרישום המסופק במאמר Knowledge Base זה.

לקבלת מידע נוסף, עיין בעלון האבטחה AMD-SB-1037 .

ב-8 באוגוסט 2023, פרסמנו את CVE-2023-20569 | מנבא כתובת החזרה של מעבד AMD (המכונה גם Inception) המתאר מתקפת ערוץ צדדי ספקולטיבית חדשה שיכולה לגרום לביצוע ספקולטיבי בכתובת הנשלטת על-ידי תוקף. בעיה זו משפיעה על מעבדי AMD מסוימים ועלולה להוביל לחשיפת מידע.

כדי לסייע בהגנה מפני פגיעות זו, אנו ממליצים להתקין עדכוני Windows שמתוארכים לאוגוסט 2023 או לאחר מכן לבצע פעולה כנדרש על-ידי CVE-2023-20569 ומידע מפתח הרישום המסופק במאמר Knowledge Base זה.

לקבלת מידע נוסף, עיין בעלון האבטחה AMD-SB-7005 .

ב-9 באפריל 2024 פרסמנו את CVE-2022-0001 | הזרקת היסטוריית ענף של אינטל המתארת הזרקת היסטוריית ענף (BHI) שהיא צורה ספציפית של BTI תוך-מצב. פגיעות זו מתרחשת כאשר תוקף עשוי לטפל בהיסטוריית הענף לפני מעבר ממצב משתמש למצב מפקח (או ממצב VMX שאינו root/אורח למצב root). מניפולציה זו עלולה לגרום למנבא ענף עקיף לבחור ערך מנבא ספציפי עבור ענף עקיף, וגאדג'ט גילוי ביעד החזוי יבוצע באופן ארעי. זה עשוי להיות אפשרי מכיוון שהיסטוריית הענף הרלוונטית עשויה להכיל ענפים שנלקחו בהקשרי אבטחה קודמים, ובפרט, מצבי חיזוי אחרים.

כברירת מחדל, הגנה על משתמש לליבה עבור CVE-2017-5715 אינה זמינה עבור מעבדי AMD ו- ARM. עליך להפוך את צמצום הסיכונים לזמין כדי לקבל הגנות נוספות עבור CVE-2017-5715. לקבלת מידע נוסף, ראה שאלות נפוצות #15 ב - ADV180002 עבור מעבדי AMD ושאלות נפוצות #20 ב - ADV180002 עבור מעבדי ARM.

כברירת מחדל, הגנה על משתמש לליבה עבור CVE-2017-5715 אינה זמינה עבור מעבדי AMD. הלקוחות חייבים להפוך את צמצום הסיכונים לזמין כדי לקבל הגנות נוספות עבור CVE-2017-5715.  לקבלת מידע נוסף, ראה שאלות נפוצות #15 ב ADV180002.

כדי להפעיל את צמצום הסיכונים עבור CVE-2022-23825 במעבדי AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

כדי להיות מוגן באופן מלא, ייתכן שהלקוחות יצטרכו גם להפוך Hyper-Threading ללא זמין (המכונה גם Multi Threading בו-זמנית (SMT)). עיין KB4073757 לקבלת הדרכה להגנה על מכשירי Windows.

כדי לאפשר את צמצום הסיכונים עבור CVE-2023-20569 במעבדי AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

כדי לאפשר את צמצום הסיכונים עבור CVE-2022-0001 במעבדי אינטל:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

לקבלת הסבר מפורט על הפלט של קובץ ה- Script של PowerShell, עיין במאמר KB4074629.

המיקרו-קוד מועבר באמצעות עדכון קושחה. עליך לבדוק עם יצרני ה- CPU (ערכת השבבים) והמכשירים שלך לגבי הזמינות של עדכוני אבטחת הקושחה הישימים עבור המכשיר הספציפי שלהם, כולל הדרכה למהדורת המיקרו-קוד של Intels.

טיפול בפגיעות של חומרה באמצעות עדכון תוכנה טומן בתוכו אתגרים משמעותיים. כמו כן, צמצום סיכונים עבור מערכות הפעלה ישנות יותר דורש שינויים נרחבים בארכיטקטורה. אנו פועלים יחד עם יצרני השבבים שהושפעו כדי לקבוע את הדרך הטובה ביותר לספק צמצומי סיכונים, שייתכן שייסופקו בעדכונים עתידיים.

עדכונים עבור מכשירי Microsoft משטח יישלחו ללקוחות דרך Windows Update יחד עם העדכונים עבור מערכת ההפעלה Windows. לקבלת רשימה של עדכוני קושחה (מיקרו-קוד) זמינים עבור מכשיר משטח, ראה KB4073065.

אם המכשיר שלך אינו של Microsoft החל קושחה מיצרן המכשיר. לקבלת מידע נוסף, פנה ליצרן מכשיר OEM.

בפברואר ובמרץ 2018, Microsoft פרסמה הגנה נוספת עבור כמה מערכות המבוססות על x86. לקבלת מידע נוסף, עיין ב KB4073757ובעלון היידוע של Microsoft בנושא אבטחה ADV180002.

עדכונים ל- Windows 10 עבור HoloLens זמינים ללקוחות HoloLens באמצעות Windows Update.

לאחר החלת העדכון של פברואר 2018 אבטחת Windows, לקוחות HoloLens לא צריכים לנקוט פעולה נוספת כדי לעדכן את קושחת המכשיר שלהם. צמצום סיכונים אלה ייכללו גם בכל המהדורות העתידיות של Windows 10 עבור HoloLens.

לא. עדכוני אבטחה בלבד אינם מצטברים. בהתאם לגרסת מערכת ההפעלה שבה אתה משתמש, יהיה עליך להתקין כל עדכוני 'אבטחה בלבד' חודשיים כדי להיות מוגן מפני פגיעויות אלה. לדוגמה, אם אתה משתמש ב- Windows 7 עבור מערכות 32 סיביות במעבד Intel מושפע, עליך להתקין את כל עדכוני האבטחה בלבד. מומלץ להתקין עדכוני אבטחה אלה בלבד לפי סדר ההפצה.

הערה גירסה קודמת של שאלות נפוצות אלה ציינה באופן שגוי שעדכון האבטחה בלבד של פברואר כולל את תיקוני האבטחה שהופצו בינואר. למעשה, זה לא.

לא. עדכון אבטחה 4078130 היה תיקון ספציפי למניעת אופני פעולה בלתי צפויים של המערכת, בעיות ביצועים ו/או אתחולים מחדש בלתי צפויים לאחר התקנת מיקרו-קוד. החלת עדכוני האבטחה של פברואר במערכות הפעלה של לקוח Windows מאפשרת את כל שלושת צמצום הסיכונים.

Intel הכריזה לאחרונה כי היא השלימה את בדיקות האימות שלה והחלה לפרסם מיקרו-קוד לפלטפורמות CPU חדשות יותר. Microsoft מציעה עדכונים למיקרו-קוד שאומתו על-ידי Intel לגבי Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 מפרט מאמרי Knowledge Base ספציפיים לפי גירסת Windows. כל מאמר KB ספציפי מכיל את עדכוני המיקרו-קוד הזמינים של Intel לפי CPU.

בעיה זו נפתרה ב KB4093118.

AMD הודיעה לאחרונה שהיא החלה לשחרר מיקרו-קוד עבור פלטפורמות CPU חדשות יותר סביב Spectre Variant 2 (CVE-2017-5715 "הזרקת יעד הסתעפות"). לקבלת מידע נוסף, עיין בדף 'עדכונים אבטחה' של AMDו'סקירה טכנית של AMD: קווים מנחים לארכיטקטורה סביב בקרת ענף עקיפה'. אלה זמינים בערוץ הקושחה של יצרני OEM.

אנו מציעים עדכונים למיקרו-קוד שאומתו על-ידי Intel לגבי Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection "). כדי לקבל את העדכונים האחרונים למיקרו-קוד של Intel באמצעות Windows Update, יש להתקין את מיקרו-קוד של Intel במכשירים שבהם פועלת מערכת ההפעלה של Windows 10 לפני השדרוג בעדכון אפריל 2018 (גירסה 1803) של Windows 10.

עדכון מיקרו-קוד יהיה זמין ישירות מתוך קטלוג אם לא הותקן במכשיר לפני השדרוג של מערכת ההפעלה. מיקרו-קוד של Intel זמין באמצעות Windows Update, WSUS או קטלוג Microsoft Update. לקבלת הוראות הורדה ומידע נוסף, ראה KB4100347.

לקבלת מידע נוסף, עיין במשאבים הבאים:

• ADV180012 | הדרכה של Microsoft עבור מעקף ספקולטיבי של Store עבור CVE-2018-3639
• ADV180013 | הדרכה של Microsoft עבור רישום מערכות שקריות קריאה עבור CVE-2018-3640 ו- KB4073065
• בלוג המחקר וההגנה של האבטחה של Microsoft
• הדרכה למפתחים עבור מעקף ספקולטיבי של Store

לקבלת פרטים, עיין בסעיפים "פעולות מומלצות" ו"שאלות נפוצות" ב ADV180012 | הדרכה של Microsoft לעקיפה ספקולטיבית של Store.

כדי לאמת את המצב של SSBD, קובץ ה- Script של Get-SpeculationControlSettings PowerShell עודכן כדי לזהות את המעבדים המושפעים, את המצב של עדכוני מערכת ההפעלה SSBD ואת מצב המיקרו-קוד של המעבד, אם רלוונטי. לקבלת מידע נוסף וכדי להשיג את קובץ ה- Script של PowerShell, ראה KB4074629.

ב-13 ביוני 2018, הוכרזה פגיעות נוספת הקשורה לביצוע ספקולטיבי בערוץ צדדי, הידועה בשם Lazy FP State Restore, והוקצתה לה CVE-2018-3665. אין צורך בהגדרות תצורה (רישום) עבור שחזור FP עצל.

לקבלת מידע נוסף על פגיעות זו ולפעולות מומלצות, עיין ב- Security Advisory ADV180016 | הדרכה של Microsoft עבור שחזור מצב FP עצלן.

Bounds Check Bypass Store (BCBS) נחשפה ב-10 ביולי 2018 והוקצתה CVE-2018-3693. אנו מחשיבים את BCBS כשייך לאותה מחלקת פגיעויות כמו מעקף בדיקת גבולות (גרסה 1). בשלב זה, איננו מודעים לשום מופע של BCBS בתוכנה שלנו, אך אנו ממשיכים לחקור את מחלקת הפגיעות הזו ונעבוד עם שותפים בתעשייה כדי לשחרר צמצומי סיכונים כנדרש. אנו ממשיכים לעודד חוקרים להגיש כל ממצא רלוונטי לתוכנית הפרסים של הערוץ הצדדי לביצוע ספקולטיבי של Microsoft, כולל כל מופע הניתן לניצול של BCBS. מפתחי תוכנה צריכים לעיין בהנחיות למפתחים שעודכנו עבור BCBS ב https://aka.ms/sescdevguide.

ב-14 באוגוסט 2018 הוכרז על תקלת מסוף L1 (L1TF) והוקצו לה מספר CVEs. ניתן להשתמש בפגיעויות ערוץ צדדי חדשות אלה של ביצוע ספקולטיבי כדי לקרוא את תוכן הזיכרון מעבר לגבול מהימן, ואם הן מנוצלות, עלולות להוביל לחשיפת מידע. תוקף יכול להפעיל את הפגיעויות באמצעות וקטורים מרובים, בהתאם לסביבה שהוגדרה. L1TF משפיע על מעבדי Intel® Core® ומעבדי Intel® Xeon®.

לקבלת מידע נוסף על פגיעות זו ותצוגה מפורטת של התרחישים המושפעים, כולל הגישה של Microsoft להפחתת L1TF, עיין במשאבים הבאים:

• ADV180018 | הדרכה של Microsoft להפחתת וריאנט L1TF
• בלוג מחקר אבטחה של ייעוץ אבטחה
• הדרכת שרת עבור תקלת מסוף L1

לקוחות המשתמשים במעבדי ARM של 64 סיביות צריכים לבדוק עם יצרן הציוד המקורי של המכשיר לקבלת תמיכה בקושחה מכיוון שהגנות מערכת ההפעלה ARM64 מפחיתות את CVE-2017-5715 | הזרקת יעד הסתעפות (Spectre, Variant 2) מחייבת את עדכון הקושחה האחרון מיצרני ציוד מקורי של מכשירים כדי להיכנס לתוקף.

לקבלת מידע נוסף, עיין בהודעות הבאות בנושא אבטחה

• Security Advisory של Intel
• ADV190013 | הדרכה של Microsoft לצמצום פגיעויות של דגימת נתונים במיקרו-ארכיטקטורה

לקבלת מידע נוסף, עיין בהודעות הבאות בנושא אבטחה

• Security Advisory של Intel
• ADV190013 | הדרכה של Microsoft לצמצום פגיעויות של דגימת נתונים במיקרו-ארכיטקטורה

ניתן למצוא הדרכה נוספת בהדרכה של Windows להגנה מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי

עיין בהדרכה ב- Windows להגנה מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי

לקבלת הדרכה עבור Azure, עיין במאמר זה: הדרכה לצמצום פגיעויות ערוץ צדדי של ביצוע ספקולטיבי ב- Azure.

לקבלת מידע נוסף אודות הפעלת Retpoline, עיין בפרסום הבלוג שלנו: צמצום Spectre variant 2 באמצעות Retpoline ב- Windows.

לקבלת פרטים על פגיעות זו, עיין במדריך האבטחה של Microsoft : CVE-2019-1125 | פגיעות של גילוי מידע אודות הליבה של Windows.

איננו מודעים לאף מקרה של פגיעות חשיפת מידע זו המשפיעה על תשתית שירותי הענן שלנו.

מיד כשנודע לנו על בעיה זו, פעלנו במהירות כדי לטפל בה ולפרסם עדכון. אנו מאמינים מאוד בשותפויות הדוקות עם חוקרים ושותפים בתעשייה כדי להפוך את הלקוחות לבטוחים יותר, ולא פרסמנו פרטים עד יום שלישי, 6 באוגוסט, בהתאם לנוהלי גילוי פגיעויות מתואמים.

ניתן למצוא הדרכה נוספת בהדרכה של Windows להגנה מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי.

ניתן למצוא הדרכה נוספת בהדרכה של Windows להגנה מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי.

ניתן למצוא הדרכה נוספת בהנחיות להשבתת היכולת של Intel® Transactional Synchronization Extensions (Intel® TSX).

אנו מספקים את פרטי הקשר של ספקים חיצוניים כדי לסייע לך לאתר תמיכה טכנית. פרטי קשר אלה עשויים להשתנות ללא הודעה. איננו מתחייבים שפרטי הקשר של ספק חיצוני זה יהיו מדויקים.