KB4073225-SQL Server smjernice za zaštitu od spektra, meltdown i mikro-arhitektonske slabosti uzorkovanja podataka

Sažetak

Microsoft je svjestan nove javno objavljene kategorije ranjivosti koje se spominju kao "spekulativne izvedbe strane-Channel napadi" koje utječu na mnoge moderne procesore i operativne sustave. To obuhvaća Intel, AMD i ARM. Napomena Taj problem utječe i na druge sustave, kao što su Android, Chrome, iOS i MacOS. Stoga savjetujemo kupcima da traže smjernice od onih dobavljača.

Microsoft je oslobodio nekoliko ažuriranja da bi olakšao ublažavanje tih ranjivosti. Također smo poduzeli akcije da osiguramo naše usluge u oblaku. Dodatne informacije potražite u sljedećim odjeljcima.

Microsoft nije primio nikakve informacije koje upućuju na to da su te ranjivosti korištene za napade na kupce u ovom trenutku. Microsoft nastavlja usko surađivati s partnerima industrije, uključujući Chip Makers, hardverske OEM-ove i dobavljače aplikacija da bi zaštitio kupce. Da biste dobili sve dostupne zaštite, potrebno je hardver ili firmware i softverska ažuriranja. To obuhvaća mikrokod iz OEM-ova uređaja, a u nekim slučajevima i ažuriranja antivirusnog softvera. Dodatne informacije o ranjivosti potražite u članku Microsoftovo sigurnosno savjetovanje ADV180002. Opće smjernice za ublažavanje ove kategorije ranjivosti potražite u članku smjernice za ublažujuće nagađanje na strani-Channel ranjivosti

Microsoft je objavio ADV190013-Microsoft upute za ublažavanje Mikroarhitektonskih ranjivosti uzoraka podataka u svibnju 2019. SQL Server nema određene sigurnosne zakrpe za problem opisan u programu ADV190013. Upute za okruženja koje utječe ADV190013 možete pronaći u odjeljku preporuke u ovom članku. Napominjemo da se ova savjetodavna odnosi samo na Intel procesori.

Dohvaćanje i instalacija ažuriranja

Ovo je ažuriranje dostupno i putem servisa Windows Server Update Services (WSUS) ili web-mjestaMicrosoft Update Catalog.Pažnja: ovo se ažuriranje neće automatski preuzeti i instalirati putem servisa Windows Update.

Dostupne SQL zakrpe

U vrijeme objavljivanja sljedeće ažurirane verzije sustava SQL Server dostupne su za preuzimanje:

Izdanje servisiranja

Ovaj će se dokument ažurirati kada budu dostupne dodatne ažurirane verzije.

Napomene

Objavili smo sva obavezna ažuriranja za SQL Server da bismo ublažni "Spectre" i "meltdown" spekulativne izvršavanje na strani-Channel ranjivosti. Microsoft nije svjestan nikakvih dodatnih ekspozicija u "Spectre" i "meltdown" spekulativnog izvođenja nuspojava na sporednim kanalima za komponente koje nisu navedene u odjeljku "dostupne SQL zakrpe".
Svi kasniji SQL Server 2014, SQL Server 2016 i SQL Server 2017 servisni paketi i kumulativna ažuriranja sadržavat će ispravke. Na primjer, SQL Server 2016 SP2 već sadrži spektar i otklanjanje Otopaka.
Da bi se Windows izgradila, pogledajte sljedeće upute za najnovije informacije o dostupnim verzijama sustava Windows:

Smjernice za Windows Server

Smjernice za Windows Server za mikro-arhitektonske slabosti uzorkovanja podataka

Za Linux gradi obratite se proizvođaču proizvođača Linuxa da biste pronašli najnovije ažurirane verzije za određenu distribuciju Linuxa.
Da bi se u sustavu Microsoft Download centar prethodno riješio ranjivosti i slabe točke sloma, isporuka ovih ažuriranja sustava SQL Server stvorena je na početku Microsoftova centra za preuzimanje kao primarni model isporuke. Iako će se ta ažuriranja isporučiti putem servisa Microsoft Update u ožujku, preporučujemo da to pogođene klijente odmah instaliraju, a da ih ne biste trebali čekati da postanu dostupne putem servisa Microsoft Update.

Podržane verzije sustava SQL Server koje su zahvaćene

Microsoft preporučuje da svi korisnici instaliraju ažuriranja sustava SQL Server (navedene u nastavku) kao dio uobičajenog ciklusa krpanje. Korisnici koji pokreću SQL Server u sigurnom okruženju u kojem su blokirane toиke proširivosti, a svi kodovi trećih strana koji se izvode na istom poslužitelju pouzdani su i odobreni, ne može se utjecati na taj problem.

Sljedeće verzije sustava SQL Server imaju dostupna ažuriranja prilikom izvođenja na sustavima x86 i x64 procesori:

SQL Server 2008
SQL Server 2008R2
SQL Server 2012
SQL Server 2014
SQL Server 2016
SQL Server 2017

Ne vjerujemo 2008 da je na njih zahvaćen Microsoftov servis za analitičku platformu (APS) temelji se na sustavu Microsoft SQL Server 2014 ili Microsoft SQL Server 2016, ali to nije posebno zahvaćeno. Neke općenite smjernice za APS navedene su u nastavku ovog članka.

Preporuke

U sljedećoj su tablici strukturirani kupci, ovisno o okolišu u kojem je pokrenut SQL Server i koja se funkcija koristi. Microsoft preporučuje da implementirate ispravke pomoću uobičajenih postupaka da biste testirali nove binarne datoteke prije nego što ih implementirate u proizvodne okruženjima.

Broj scenarija	Opis scenarija	Preporuke za prioritete
1	Baza podataka za Azure SQL i skladište podataka	Nije potrebna nijedna akcija (pogledajte ovdje pojedinosti).
2	SQL poslužitelj pokreće se na fizičkom računalu ili virtualnom stroju I nijedan od sljedećih uvjeta nije točan: Druga aplikacija koja izvršava potencijalno neprijateljski kod suhostira se na istom računalu Sučelja proširenja sustava SQL Server koriste se s nepouzdanim kodom (pogledajte dolje za popis)	Microsoft preporučuje instalaciju svih ažuriranja OS-ao zaštiti od CVE 2017-5753. Microsoft preporučuje instalaciju svih ažuriranja za OS radi zaštite od Mikroarhitektonskih ranjivosti uzorkovanja podataka (CVE-2018-12126, CVE-2018-12130, cve-2018-12127 i CVE-2018-11091). Omogućivanje sjene virtualne adrese u jezgri ( kvas) i neizravne podrške za hardver za ublažavanje predviđanja Zakrpe za SQL Server trebale bi se instalirati kao dio uobičajenog pravilnika za krpanje pri sljedećem rasporedu u prozoru ažuriranje. Na takvom glavnom računalu možete nastaviti utjecati na HyperThreading.
3	SQL poslužitelj pokreće se na fizičkom računalu ili virtualnom stroju I druga aplikacija koja izvršava potencijalno neprijateljski kod sudomaćin je na istom računalu I/ili SQL Server proširivosti sučelja koriste se s nepouzdanim kodom (pogledajte dolje za popis)	Microsoft preporučuje instalaciju svih ažuriranja za OS radi zaštite od cve 2017-5753. Microsoft preporučuje instalaciju svih ažuriranja za OS radi zaštite od Mikroarhitektonskih ranjivosti uzorkovanja podataka (CVE-2018-12126, CVE-2018-12130, cve-2018-12127 i CVE-2018-11091). Primjena zakrpe sustava SQL Server (pogledajte u nastavku). To štiti od CVE 2017-5753. Preporuča se omogućavanje sjenčanje virtualne adrese za kernel (KVAS) (vidi u nastavku). To štiti od CVE 2017-5754. Preporuča se Omogućavanje podrške za onemogućivanje izravnog korištenja hardvera (IBP) (pogledajte u nastavku). To štiti od CVE 2017-5715 Preporučujemo da onemogućite HyperThreading na glavnom računalu ako se koriste Intel procesori.
4	SQL poslužitelj pokreće se na fizičkom računalu I druga aplikacija koja izvršava potencijalno neprijateljski kod nije suhostirana na istom računalu I sučelja proširenja sustava SQL Server koriste se za izvršavanje pouzdanog koda. Primjeri Sklopovi CLR-a koji su pregledani/odobreni za korištenje u proizvodnji Povezani poslužitelji za koje vjerujete da su pokrenjene upite koje smatrate pouzdanim Neprimjeri: Proizvoljni R/Python skripte preuzetih s interneta Untrusted CLR binarne poruke trećih strana	Microsoft preporučuje instalaciju svih ažuriranja OS-ao zaštiti od CVE 2017-5753. Microsoft preporučuje instalaciju svih ažuriranja za OS radi zaštite od Mikroarhitektonskih ranjivosti uzorkovanja podataka (CVE-2018-12126, CVE-2018-12130, CVE-2018-12127 i CVE-2018-11091). Preporuča se omogućavanje sjenčanje virtualne adrese za kernel (KVAS) (vidi u nastavku). To štiti od CVE 2017-5754. Preporuča se Omogućavanje podrške za onemogućivanje izravnog korištenja hardvera (IBP) (pogledajte u nastavku). To štiti od CVE 2017-5715 Preporučujemo da onemogućujete HyperThreading na takvom okruženju ako se koriste Intel procesori. Zakrpe za SQL Server trebale bi se instalirati kao dio uobičajenog pravilnika za krpanje pri sljedećem rasporedu u prozoru ažuriranje.
5	SQL Server je pokrenuti na Linuxu OS.	Primijenite ažuriranjem Linuxa OS-a davatelja usluge distribucije. Primijenite zakrpe Linuxa SQL poslužitelja (pogledajte u nastavku). To štiti od CVE 2017-5753. U nastavku pogledajte upute o tome je li moguće omogućiti izolaciju servisa Linux kernel na stranici (KPTI) i IBP (CVEs CVE 2017-5754 i CVE 2017-5715). Preporučujemo da onemogućite HyperThreading na takvom okruženju ako se Intel procesori koriste za scenarij #3 i #4 gore navedenih.
6	Analitički sustav platforme (APS)	Iako APS ne podržava značajke proširivosti iz SQL poslužitelja navedenih u ovom biltenu, preporuča se instaliranje zakrpe za Windows na uređaju APS. Omogućivanje KVAS/IBP nije obavezno.

Savjetodavni rad

Kupcima se savjetuje da procjenjuju performanse njihove specifične aplikacije prilikom primjene ažuriranja.

Microsoft savjetuje svim korisnicima da instaliraju ažurirane verzije sustava SQL Server i Windows. To bi trebao imati zanemarivi-to-minimalni učinak performansi na postojeće aplikacije, na temelju Microsoftova testiranja SQL workloads. Međutim, preporučujemo da testirate sva ažuriranja prije nego što ih implementirate u proizvodni okoliš.

Microsoft je izmjerio utjecaj sjene za virtualnu adresu kernel (KVAS), kernel stranice table zaobilazak (KPTI) i indirektno ublažavanje predviđanja podružnice (IBP) na razne SQL radne opterećenja u različitim okruženjima i pronašli neke radne opterećenja s značajnim degradacijom. Preporučujemo da testirate učinak performansi omogućivanja tih značajki prije nego što ih implementirate u proizvodnom okruženju. Ako je učinak performansi omogućivanja tih značajki previsoka za postojeću aplikaciju, razmislite o tome je li izolacijsko SQL poslužitelj iz nepouzdanog koda pokrenut na istom računalu bolje ublažavanje za vašu aplikaciju.

Dodatne informacije o efektuperformansi od neizravnih podrške za hardversku podršku za olakšanje predviđanja (IBP) ovdje je detaljno opisano.

Microsoft će ažurirati ovu sekciju dodatnim informacijama kada bude dostupan.

Omogućavanje sjene u programu kernel Virtual Address (KVAS u sustavu Windows) i zaobilazak tablica u jezgri (KPTI na Linuxu)

KVAS i KPTI ublažavati protiv CVE 2017-5754, poznat i kao "meltdown" ili "Variant 3" u otkrivanju GPZ-a.

SQL Server se pokreće u mnogim okruženjima: fizikalna računala, VMs u javnom i privatnom okruženju oblaka, na Linuxu i sustavima Windows. Bez obzira na okoliš, program se pokreće na računalu ili na VM-u. Pozovite ovo kao granicusigurnosti.

Ako svi kodovi u granici imaju pristup svim podacima u toj granici, nije potrebna nijedna akcija. Ako to nije slučaj, kaže se da je granica multi-stanar. Pronađene su ranjivosti da bi bilo koji kod, čak i uz smanjene dozvole, pokrenut u bilo kojem postupku u toj granici, da biste pročitali sve druge podatke unutar te granice. Ako na granici postoji neki postupak koji sadrži nepouzdani kod, može koristiti te ranjivosti za čitanje podataka iz drugih procesa. Ovaj nepouzdani kod može biti nepouzdan kod pomoću mehanizama proširenja SQL poslužitelja ili drugih procesa na granici koja sadrži nepouzdani kod.

Da biste zaštitili od nepouzdanog koda u granici s više stanara, upotrijebite neku od sljedećih metoda

Uklonite nepouzdani kod. Dodatne informacije o tome kako to učiniti za mehanizme proširivosti sustava SQL Server potražite u nastavku. Da biste uklonili nepouzdani kod iz drugih aplikacija na istoj granici, obično su potrebne promjene specifične za aplikacije. Na primjer, razdvajanje u dva VMs.
Uključite KVAS ili KPTI. To će imati učinak performansi. Dodatne informacije, kao što je opisano ranije u ovom članku.

Dodatne informacije o omogućivanju KVAS za Windows potražite u članku KB4072698. Dodatne informacije o omogućivanju KPTI na Linuxu potražite u članku distributer operacijskog sustava.

Primjer scenarija u kojem se preporuča KVAS ili KPTI

Lokalno fizičko računalo koje sadrži SQL Server kao administratorski račun koji nije administrator korisnicima omogućuje podnošenje proizvoljnih R skripti da bi se prikazalo putem sustava SQL Server (koji koristi sekundarne procese za pokretanje tih skripti izvan programa sqlservr. exe). Potrebno je omogućiti KVAS i KPTI da zaštite od otkrivanja podataka u postupku sqlservr. exe te da zaštite od otkrivanja podataka u memoriji sustava kernel. Napomena Mehanizam proširivosti u sustavu SQL Server ne smatra se nesvjesno nesigurnim samo zato što se koristi. Ovi se mehanizmi mogu sigurno koristiti u sustavu SQL Server sve dok ga kupac razume i vjeruje u svaku ovisnost. Postoje i drugi proizvodi koji su ugrađeni iznad SQL-a koji mogu zahtijevati ispravno funkcioniranje mehanizama proširenosti. Na primjer, pakirana aplikacija koja je izgrađena na vrhu sustava SQL Server može zahtijevati povezani Server ili CLR pohranjeni postupak da bi ispravno funkcionirala. Microsoft ne preporučuje da ih uklonite kao dio ublažavanja. Umjesto toga Pregledajte svaku upotrebu da biste utvrdili je li taj kod shvaćen i pouzdan kao Početna akcija. Ovo je navođenje predviđeno za pomoć korisnicima pri odlučivanju jesu li u situaciji u kojoj moraju omogućiti KVAS. To je zato što ova akcija sadrži značajne implikacije performansi.

Omogućivanje hardverske podrške za indirektnu ublažavanje ogranaka (IBP)

IBP ublažava protiv CVE 2017-5715, poznat i kao polovica Spectre ili "Variant 2" u otkrivanju GPZ-a.

Upute u ovom članku za omogućivanje KVAS-a u sustavu Windows omogućuju i IBP. No, IBP također zahtijeva ažuriranje firmware-a od proizvođača hardvera. Uz upute u KB4072698 da biste omogućili zaštitu u sustavu Windows, korisnici moraju nabaviti i instalirati ažuriranja od proizvođača hardvera.

Primjer scenarija u kojem se preporuča IBP

Lokalno fizičko računalo hostira SQL Server uz aplikaciju koja nepouzdanim korisnicima omogućuje prijenos i izvršavanje proizvoljnog JavaScripta kod. Uz pretpostavku da postoje povjerljivi podaci u bazi podataka SQL, IBP se preporuča kao mjera za zaštitu od otkrivanja informacija koje se obrađuju u tijeku.

U situacijama u kojima IBP hardverska podrška nije prisutna, Microsoft preporučuje razdvajanje nepouzdanih procesa i pouzdanog procesa na različita fizička računala ili virtualne strojeve.

Korisnici Linuxa: obratite se distributeru operacijskog sustava da biste saznali kako zaštititi od Variant 2 (CVE 2017-5715).

Primjeri scenarija u kojem se preporuča ublažavanje ranjivosti za mikro-arhitektonsku promjenu uzorka podataka

Razmotrite primjer u kojem lokalni poslužitelj koristi dvije instance sustava SQL Server u kojima se nalaze dvije razne poslovne aplikacije na dva različita Virtualna stroja na istom fizičkom glavnom računalu. Pretpostavimo da te dvije poslovne aplikacije ne mogu čitati podatke pohranjene u instancama sustava SQL Server. Napadač koji je uspješno iskoristio te ranjivosti može čitati povlaštene podatke u granicama pouzdanosti pomoću nepouzdanog koda koji se izvodi na računalu kao zasebni postupak ili nepouzdani kod koji se izvršava pomoću mehanizma proširivosti sustava SQL Server (pogledajte odjeljak u nastavku za mogućnosti proširivosti u sustavu SQL Server). U okruženju zajedničkih resursa (primjerice postoji u nekim konfiguracijama servisa Cloud Services) te bi ranjivosti mogli dopustiti da jedan virtualni stroj nepropisno pristupi informacijama iz druge. U scenarijima koji nisu pregledavanja na samostalnim sustavima, napadaču će biti potreban prethodni pristup sustavu ili mogućnost izvođenja posebno dizajnirane aplikacije na ciljnom sustavu radi korištenja tih ranjivosti.

Nepouzdani mehanizmi proširivosti SQL poslužitelja

SQL Server sadrži mnoge značajke i mehanizme proširenosti. Većina ovih mehanizama onemogućena je prema zadanim postavkama. Međutim, korisnicima savjetujemo da pregledaju svaku instancu proizvodnje za korištenje značajki proširenja. Preporučujemo da svaka od tih značajki bude ograničena na minimalni skup binarnih datoteka i da korisnici ograničavaju pristup da bi onemogućili pokretanje proizvoljnog koda na istom računalu kao i SQL Server. Korisnicima savjetujemo da određuju hoće li svakom binarnom vjerovati i onemogućiti ili ukloniti nepouzdane binarne datoteke.

SQL CLR sklopovi
R i Python paketi koji prolaze kroz mehanizam vanjskih skripti ili se pokreću iz samostalnog programa R/Machine Learning studio na istom fizičkom računalu kao i SQL Server

Stavke proširivosti SQL agenta koje se izvode na istom fizičkom računalu kao i SQL Server (ActiveX skripte)
Nemicrosoftovi OLE DB davatelji koristi se na povezanim poslužiteljima
Nemicrosoftovi prošireni spremljeni postupci
COM objekti izvedeni unutar poslužitelja (pristup putem sp_OACreate)
Programi koji se izvode putem xp_cmdshell

Ublaćenja koje je potrebno poduzeti ako koristite nepouzdani kod u sustavu SQL Server:

Scenarij/korištenje predmeta	Ublazanja ili predloženi koraci
Pokretanje sustava SQL Server s omogućenim CLR-om (sp_configure ' CLR omogućen '; 1)	Ako je moguće, onemogućite CLR ako nije potrebno u aplikaciji da biste smanjili rizik od bilo kojeg nepouzdanog koda koji se učitava u SQL Server (SQL Server 2017 +) Ako je CLR i dalje potreban u aplikaciji, omogućite učitavanje samo određenih skupova pomoću značajke "stroži sigurnost" (CLRrigoroznesigurnosti) pomoću sys.sp_add_trusted_assembly (sys.sp_add_trusted_assembly (Transact-SQL)) Razmotrite može li se CLR kod migrirati u broj T-SQL ekvivalentni kod Pregledajte sigurnosne dozvole da biste zaključali scenarije u kojima se mogu koristiti operacije koje se temelje na CLR-u. Ograničite stvaranje SKLOPOVA, vanjskog pristupa i nesigurnih dozvola za montažu na minimalni skup korisnika ili puteva kodova da biste onemogućili učitavanje novih sklopova u postojeću, implementirane aplikacije.
Pokretanje programa Java/R/Python vanjskih skripti iz sustava SQL Server (sp_configure "omogućeno vanjsko skripte"; 1)	Ako je moguće, onemogućite mogućnost vanjskih skripti ako nije potrebna u aplikaciji da biste smanjili područje napada. (SQL Server 2017 +) Ako je moguće, migrirajte vanjske skripte na bodovanje da bi se koristila značajka izvornih bodovanja (izvorni bodovanje pomoću funkcije predviđaju T-SQL) Pregledajte sigurnosne dozvole da biste zaključali scenarije u kojima se mogu koristiti vanjske skripte. Ograničite IZVRŠAVANJE svih vanjskih dozvola za SKRIPTU na minimalni skup puteva korisnika/kodova da biste onemogućili izvršavanje proizvoljnih skripti.
Korištenje povezanih poslužitelja (sp_addlinkedserver)	Pregled instaliranih OLEDB pružatelja usluge i razmotrite uklanjanje nepouzdanih davatelja OLEDB-a iz stroja. (Pobrinite se da ne uklonite OLEDB davatelja ako se koriste izvan sustava SQL Server na stroju). Na primjer, kako nabrojiti postojeće OLEDB davatelja je ovdje: Oledbenumerator. GetEnumerator Method (vrsta) Pregled i uklanjanje nepotrebnih povezanih poslužitelja sa sustava SQL Server (sp_dropserver) da biste smanjili mogućnost izvršavanja nepouzdanog koda unutar postupka sqlservr. exe Pregled sigurnosnih dozvola za zaključavanje promijenite dozvolu za povezivanje poslužitelja s minimalnim brojem korisnika. Pregledajte povezane poslužitelje za prijavu/vjerodajnice na poslužitelju (sp_addlinkedsvrlogin/sp_droplinkedsvrlogin) da biste ograničili tko može izvršavati operacije putem povezanih poslužitelja s minimalnim skupom korisnika/scenarija.
Korištenje proširenih pohranjenih postupaka (sp_addextendedproc)	Dok su prošireni pohranjeni postupci neobrazovani, uklonite sve upotrebe i ne koristite ih u produkcijskim sustavima.
Korištenje xp_cmdshell za pozivanje binarnih datoteka iz sustava SQL Server	Ta je značajka prema zadanim postavkama isključena. Pregledajte i ograničite sve korištenje xp_cmdshell za pozivanje nepouzdanih binarnih datoteka. Pristup toj krajnjoj točki možete kontrolirati putem sp_configure, kao što je opisano ovdje: Mogućnost konfiguracije xp_cmdshell poslužitelja
Korištenje COM objekata putem sp_OACreate	Ta je značajka prema zadanim postavkama isključena. COM objekti se pozivaju putem sp_OACreate izvršiti kod instaliran na poslužitelju. Pregledajte takve pozive za nepouzdane binarne datoteke. Postavke možete provjeriti putem sp_configure, kao što je decribed ovdje: Mogućnost konfiguracije poslužitelja za OLE automatizaciju