KB4073119: Panduan klien Windows untuk Profesional TI untuk melindungi dari kerentanan saluran samping eksekusi mikroarsitektur berbasis silikon dan eksekusi spekulatif

Pada 14 Mei 2019, Intel menerbitkan informasi tentang subkelas baru kerentanan saluran samping eksekusi spekulatif yang dikenal sebagai Microarchitectural Data Sampling. Kerentanan ini diatasi dalam CVE berikut:

• CVE-2019-11091 | Pengambilan sampel Data Mikroarsitektur Memori yang Tidak Dapat Di-cache (MDSUM)
• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
• CVE-2018-12127 | Pengambilan Sampel Data Buffer Isi Mikroarsitektur (MFBDS)
• CVE-2018-12130 | Pengambilan Sampel Data Port Beban Mikroarsitektur (MLPDS)

Kami telah merilis pembaruan untuk membantu mengurangi kerentanan ini. Untuk mendapatkan semua perlindungan yang tersedia, firmware (microcode) dan pembaruan perangkat lunak diperlukan. Ini mungkin termasuk kode mikro dari OEM perangkat. Dalam beberapa kasus, menginstal pembaruan ini akan berdampak pada kinerja. Kami juga telah bertindak untuk mengamankan layanan cloud kami. Kami sangat menyarankan untuk menyebarkan pembaruan ini.

Untuk informasi selengkapnya tentang masalah ini, lihat Saran Keamanan berikut dan gunakan panduan berbasis skenario untuk menentukan tindakan yang diperlukan untuk mengurangi ancaman:

• ADV190013 | Panduan Microsoft untuk mengurangi kerentanan Pengambilan Sampel Data Arsitektur Mikro
• Panduan Windows untuk melindungi dari kerentanan saluran sisi eksekusi spekulatif

Pada 6 Agustus 2019, Intel merilis detail tentang kerentanan pengungkapan informasi kernel Windows. Kerentanan ini adalah varian dari kerentanan saluran samping eksekusi spekulatif Spectre Variant 1 dan telah diberi CVE-2019-1125.

Pada 9 Juli 2019, kami merilis pembaruan keamanan untuk sistem operasi Windows guna membantu mengurangi masalah ini. Harap diperhatikan bahwa kami menahan pendokumentasian mitigasi ini secara publik hingga pengungkapan industri yang terkoordinasi pada hari Selasa, 6 Agustus 2019.

Pelanggan yang mengaktifkan Windows Update dan telah menerapkan pembaruan keamanan yang dirilis pada 9 Juli 2019 akan dilindungi secara otomatis. Tidak diperlukan konfigurasi lebih lanjut.

Untuk informasi selengkapnya tentang kerentanan ini dan pembaruan yang berlaku, lihat Panduan Pembaruan Keamanan Microsoft:

• CVE-2019-1125 | Kerentanan Pengungkapan Informasi Kernel Windows

Pada 12 November 2019, Intel menerbitkan nasihat teknis seputar kerentanan Akronisasi Asinkron Transaksi Intel Transactional Synchronization Extensions (Intel TSX) yang ditetapkan CVE-2019-11135. Kami telah merilis pembaruan untuk membantu mengurangi kerentanan ini. Secara default, perlindungan OS diaktifkan untuk edisi OS Klien Windows.

Pada 14 Juni 2022, kami menerbitkan ADV220002 | Panduan Microsoft tentang kerentanan data kedaluwarsa MMIO prosesor Intel. Kerentanan ini ditetapkan dalam CVE berikut:

• CVE-2022-21123 | Data Buffer Bersama Baca (SBDR)
• CVE-2022-21125 | Pengambilan Sampel Data Buffer Bersama (SBDS)
• CVE-2022-21127 | Pembaruan Pengambilan Sampel Data Buffer Register Khusus (Pembaruan SRBDS)
• CVE-2022-21166 | Tulis Parsial Register Perangkat (DRPW)

Tindakan yang disarankan

Anda harus mengambil tindakan berikut untuk membantu melindungi dari kerentanan ini:

1. Terapkan semua pembaruan sistem operasi Windows yang tersedia, termasuk pembaruan keamanan bulanan Windows.
2. Terapkan pembaruan firmware (kode mikro) yang berlaku yang disediakan oleh produsen perangkat.
3. Evaluasi risiko terhadap lingkungan Anda berdasarkan informasi yang disediakan dalam Saran Keamanan Microsoft ADV180002, ADV180012, ADV190013, dan ADV220002, selain informasi yang diberikan dalam artikel ini.
4. Lakukan tindakan sesuai kebutuhan dengan menggunakan saran dan informasi kunci registri yang disediakan dalam artikel ini.

Pada 12 Juli 2022, kami menerbitkan CVE-2022-23825 | Kebingungan Tipe Cabang CPU AMD , yang menjelaskan bahwa alias dalam prediktor cabang dapat menyebabkan prosesor AMD tertentu memprediksi tipe cabang yang salah. Masalah ini berpotensi menyebabkan pengungkapan informasi.

Untuk membantu melindungi dari kerentanan ini, sebaiknya instal pembaruan Windows yang tertanggal pada atau setelah Juli 2022, lalu ambil tindakan sebagaimana disyaratkan oleh CVE-2022-23825 dan informasi kunci registri yang disediakan dalam artikel Pangkalan Pengetahuan ini.

Untuk informasi selengkapnya, lihat buletin keamanan AMD-SB-1037 .

Pada 8 Agustus 2023, kami menerbitkan CVE-2023-20569 | Prediktor Alamat Pengembalian CPU AMD (juga dikenal sebagai Inception), yang menjelaskan serangan saluran samping spekulatif baru yang dapat mengakibatkan eksekusi spekulatif pada alamat yang dikendalikan penyerang. Masalah ini memengaruhi prosesor AMD tertentu dan berpotensi menyebabkan pengungkapan informasi.

Untuk membantu melindungi dari kerentanan ini, sebaiknya instal pembaruan Windows yang tertanggal pada atau setelah Agustus 2023, lalu ambil tindakan sebagaimana disyaratkan oleh CVE-2023-20569 dan informasi kunci registri yang disediakan dalam artikel Pangkalan Pengetahuan ini.

Untuk informasi selengkapnya, lihat buletin keamanan AMD-SB-7005 .

Pada 9 April 2024 kami menerbitkan CVE-2022-0001 | Injeksi Riwayat Cabang Intel yang menjelaskan Injeksi Riwayat Cabang (BHI) yang merupakan bentuk BTI intra-mode tertentu. Kerentanan ini terjadi ketika penyerang dapat memanipulasi riwayat cabang sebelum beralih dari mode pengguna ke supervisor (atau dari mode non-root/tamu VMX ke mode root). Manipulasi ini dapat menyebabkan prediktor cabang tidak langsung memilih entri prediktor tertentu untuk cabang tidak langsung, dan gadget pengungkapan pada target yang diprediksi akan dieksekusi sementara. Hal ini mungkin dimungkinkan karena riwayat cabang yang relevan mungkin berisi cabang yang diambil dalam konteks keamanan sebelumnya, dan khususnya, mode prediktor lainnya.

Secara default, perlindungan pengguna-ke-kernel untuk CVE-2017-5715 dinonaktifkan untuk CPU AMD dan ARM. Anda harus mengaktifkan mitigasi untuk menerima perlindungan tambahan untuk CVE-2017-5715. Untuk informasi selengkapnya, lihat FAQ #15 di ADV180002 untuk prosesor AMD dan FAQ #20 di ADV180002 untuk prosesor ARM.

Secara default, perlindungan pengguna-ke-kernel untuk CVE-2017-5715 dinonaktifkan untuk prosesor AMD. Pelanggan harus mengaktifkan mitigasi untuk menerima perlindungan tambahan untuk CVE-2017-5715.  Untuk informasi selengkapnya, lihat FAQ #15 di ADV180002.

Untuk mengaktifkan mitigasi CVE-2022-23825 pada prosesor AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Agar terlindungi sepenuhnya, pelanggan mungkin juga perlu menonaktifkan Hyper-Threading (juga dikenal sebagai Simultaneous Multi Threading (SMT)). Silakan lihat KB4073757 untuk panduan tentang melindungi perangkat Windows.

Untuk mengaktifkan mitigasi CVE-2023-20569 pada prosesor AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Untuk mengaktifkan mitigasi CVE-2022-0001 pada prosesor Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Untuk penjelasan mendetail tentang output skrip PowerShell, lihat KB4074629.

Mikrokode dikirim melalui pembaruan firmware. Anda harus memeriksa dengan produsen CPU (chipset) dan perangkat Anda tentang ketersediaan pembaruan keamanan firmware yang berlaku untuk perangkat tertentu mereka, termasuk Panduan Revisi Intels Microcode.

Mengatasi kerentanan perangkat keras melalui pembaruan perangkat lunak menghadirkan tantangan yang signifikan. Selain itu, mitigasi untuk sistem operasi yang lebih lama memerlukan perubahan arsitektur yang ekstensif. Kami sedang bekerja sama dengan produsen chip yang terpengaruh untuk menentukan cara terbaik memberikan mitigasi, yang mungkin dikirimkan dalam pembaruan mendatang.

Updates untuk perangkat Microsoft Surface akan dikirimkan kepada pelanggan melalui Windows Update bersama dengan pembaruan untuk sistem operasi Windows. Untuk daftar pembaruan firmware perangkat Surface (microcode) yang tersedia, lihat KB4073065.

Jika perangkat Anda bukan dari Microsoft, terapkan firmware dari produsen perangkat. Untuk informasi selengkapnya, hubungi produsen perangkat OEM.

Pada bulan Februari dan Maret 2018, Microsoft merilis perlindungan tambahan untuk beberapa sistem berbasis x86. Untuk informasi selengkapnya, lihat KB4073757 dan ADV180002 Penasihat Keamanan Microsoft.

Updates to Windows 10 for HoloLens tersedia bagi pelanggan HoloLens melalui Windows Update.

Setelah menerapkan Pembaruan Keamanan Windows Februari 2018, pelanggan HoloLens tidak perlu melakukan tindakan tambahan apa pun untuk memperbarui firmware perangkat mereka. Mitigasi ini juga akan disertakan dalam semua rilis Windows 10 untuk HoloLens mendatang.

Tidak. Keamanan saja Pembaruan tidak bersifat kumulatif. Tergantung pada versi sistem operasi yang Anda jalankan, Anda harus menginstal pembaruan Keamanan Saja setiap bulan agar terlindungi dari kerentanan ini. Misalnya, jika menjalankan Windows 7 untuk Sistem 32-bit pada CPU Intel yang terpengaruh, Anda harus menginstal semua pembaruan Keamanan Saja. Sebaiknya instal pembaruan Keamanan Saja ini dalam urutan rilis.

catatan Versi sebelumnya dari FAQ ini salah menyatakan bahwa pembaruan Keamanan Saja pada bulan Februari menyertakan perbaikan keamanan yang dirilis pada bulan Januari. Faktanya, tidak.

Tidak. Pembaruan keamanan 4078130 adalah perbaikan khusus untuk mencegah perilaku sistem yang tidak dapat diprediksi, masalah kinerja, dan/atau boot ulang yang tidak terduga setelah penginstalan kode mikro. Menerapkan pembaruan keamanan Februari pada sistem operasi klien Windows memungkinkan ketiga mitigasi tersebut.

Intel baru-baru ini mengumumkan bahwa mereka telah menyelesaikan validasi mereka dan mulai merilis kode mikro untuk platform CPU yang lebih baru. Microsoft menyediakan pembaruan mikrokode yang divalidasi Intel seputar Spectre Varian 2 (CVE-2017-5715 "Injeksi Target Cabang"). KB4093836 mencantumkan artikel Basis Pengetahuan tertentu berdasarkan versi Windows. Setiap KB tertentu berisi pembaruan mikrokode Intel yang tersedia berdasarkan CPU.

Masalah ini telah diatasi pada tahun KB4093118.

AMD baru-baru ini mengumumkan bahwa mereka telah mulai merilis microcode untuk platform CPU yang lebih baru di sekitar Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Untuk informasi selengkapnya, lihat AMD Security Updates dan AMD Whitepaper: Panduan Arsitektur seputar Kontrol Cabang Tidak Langsung. Ini tersedia dari saluran firmware OEM.

Kami menyediakan pembaruan kode mikro yang divalidasi Intel di sekitar Spectre Varian 2 (CVE-2017-5715 "Injeksi Target Cabang "). Untuk mendapatkan pembaruan mikrokode Intel terbaru melalui Windows Update, pelanggan harus sudah menginstal mikrokode Intel pada perangkat yang menjalankan sistem operasi Windows 10 sebelum memutakhirkan ke Pembaruan Windows 10 April 2018 (versi 1803).

Pembaruan mikrokode juga tersedia langsung dari Katalog jika tidak diinstal pada perangkat sebelum memutakhirkan OS. Mikrokode Intel tersedia melalui Windows Update, WSUS, atau Katalog Microsoft Update. Untuk informasi selengkapnya dan instruksi pengunduhan, lihat KB4100347.

Untuk informasi selengkapnya, lihat sumber daya berikut:

• ADV180012 | Panduan Microsoft untuk Bypass Store Spekulatif untuk CVE-2018-3639
• ADV180013 | Panduan Microsoft untuk Daftar Sistem Rogue Baca untuk CVE-2018-3640 dan KB4073065
• Blog Riset dan Pertahanan Keamanan Microsoft
• Panduan pengembang untuk bypass toko spekulatif

Untuk detailnya, lihat bagian "Tindakan yang disarankan" dan "FAQ" di ADV180012 | Panduan Microsoft untuk Bypass Penyimpanan Spekulatif.

Untuk memverifikasi status SSBD, skrip PowerShell Get-SpeculationControlSettings diperbarui untuk mendeteksi prosesor yang terpengaruh, status pembaruan sistem operasi SSBD, dan status mikrokode prosesor jika berlaku. Untuk informasi selengkapnya dan mendapatkan skrip PowerShell, lihat KB4074629.

Pada 13 Juni 2018, kerentanan tambahan yang melibatkan eksekusi spekulatif saluran samping, yang dikenal sebagai Lazy FP State Restore, diumumkan dan ditetapkan CVE-2018-3665. Tidak ada pengaturan konfigurasi (registri) yang diperlukan untuk Lazy Restore FP Restore.

Untuk informasi selengkapnya tentang kerentanan ini dan untuk tindakan yang disarankan, lihat ADV180016 saran keamanan | Panduan Microsoft untuk Pemulihan Status Lazy FP.

Bounds Check Bypass Store (BCBS) diungkapkan pada 10 Juli 2018 dan diberi CVE-2018-3693. Kami menganggap BCBS termasuk dalam kelas kerentanan yang sama dengan Bounds Check Bypass (Varian 1). Saat ini kami belum mengetahui adanya contoh BCBS dalam perangkat lunak kami, tetapi kami terus meneliti kelas kerentanan ini dan akan bekerja sama dengan mitra industri untuk merilis mitigasi sesuai kebutuhan. Kami terus mendorong peneliti untuk mengirimkan temuan apa pun yang relevan ke program bounty Saluran Sisi Eksekusi Spekulatif Microsoft, termasuk contoh BCBS yang dapat dieksploitasi. Pengembang perangkat lunak harus meninjau panduan pengembang yang diperbarui untuk BCBS pada https://aka.ms/sescdevguide.

Pada 14 Agustus 2018, L1 Terminal Fault (L1TF) diumumkan dan ditetapkan beberapa CVE. Kerentanan saluran samping eksekusi spekulatif baru ini dapat digunakan untuk membaca konten memori melintasi batas tepercaya dan, jika dieksploitasi, dapat mengarah pada pengungkapan informasi. Penyerang dapat memicu kerentanan melalui beberapa vektor, tergantung pada lingkungan yang dikonfigurasi. L1TF memengaruhi prosesor Intel® Core® dan prosesor Intel® Xeon®.

Untuk informasi selengkapnya tentang kerentanan ini dan tampilan mendetail dari skenario yang terpengaruh, termasuk pendekatan Microsoft untuk mengurangi L1TF, lihat sumber daya berikut:

• ADV180018 | Panduan Microsoft untuk mengurangi varian L1TF
• Blog Riset Keamanan Konsultasi Keamanan
• Panduan Server untuk Kesalahan Terminal L1

Pelanggan yang menggunakan prosesor ARM 64-bit harus memeriksa kepada OEM perangkat untuk dukungan firmware karena perlindungan sistem operasi ARM64 yang mengurangi CVE-2017-5715 | Injeksi target cabang (Spectre, Varian 2) memerlukan pembaruan firmware terbaru dari OEM perangkat agar dapat diterapkan.

Untuk informasi selengkapnya, lihat saran keamanan berikut

• Saran Keamanan Intel
• ADV190013 | Panduan Microsoft untuk mengurangi kerentanan Pengambilan Sampel Data Arsitektur Mikro

Untuk informasi selengkapnya, lihat saran keamanan berikut

• Saran Keamanan Intel
• ADV190013 | Panduan Microsoft untuk mengurangi kerentanan Pengambilan Sampel Data Arsitektur Mikro

Panduan lebih lanjut dapat ditemukan dalam panduan Windows untuk melindungi dari kerentanan saluran samping eksekusi spekulatif

Silakan lihat panduan dalam panduan Windows untuk melindungi dari kerentanan saluran samping eksekusi spekulatif

Untuk panduan Azure, silakan lihat artikel ini: Panduan untuk mengurangi kerentanan saluran samping eksekusi spekulatif di Azure.

Untuk informasi selengkapnya tentang pengaktifan Retpoline, lihat posting blog kami: Mitigasi Spectre varian 2 dengan Retpoline di Windows.

Untuk detail tentang kerentanan ini, lihat Panduan Keamanan Microsoft: CVE-2019-1125 | Kerentanan Pengungkapan Informasi Kernel Windows.

Kami tidak mengetahui adanya contoh kerentanan pengungkapan informasi ini yang memengaruhi infrastruktur layanan cloud kami.

Segera setelah kami menyadari masalah ini, kami bekerja cepat untuk mengatasinya dan merilis pembaruan. Kami sangat percaya pada kemitraan yang erat dengan peneliti dan mitra industri untuk membuat pelanggan lebih aman, dan tidak menerbitkan detail hingga Selasa, 6 Agustus, konsisten dengan praktik pengungkapan kerentanan yang terkoordinasi.

Panduan lebih lanjut dapat ditemukan dalam panduan Windows untuk melindungi dari kerentanan saluran samping eksekusi spekulatif.

Panduan lebih lanjut dapat ditemukan dalam panduan Windows untuk melindungi dari kerentanan saluran samping eksekusi spekulatif.

Panduan lebih lanjut dapat ditemukan di Panduan untuk menonaktifkan kemampuan Ekstensi Sinkronisasi Transaksional Intel® (Intel® TSX).

Kami menyediakan informasi kontak pihak ketiga untuk membantu Anda menemukan dukungan teknis. Informasi kontak ini dapat berubah tanpa pemberitahuan. Kami tidak menjamin keakuratan informasi kontak pihak ketiga ini.