Log perubahan
| Tanggal | Deskripsi perubahan |
|---|---|
| 27 Oktober 2023 | Menambahkan referensi ke Mitigasi B |
| 17 Juli 2023 | Menambahkan informasi MMIO |
Ringkasan
Microsoft mengetahui varian baru dari kelas serangan yang dikenal sebagai kerentanan saluran samping eksekusi spekulatif. Varian tersebut bernama L1 Terminal Fault (L1TF) dan Microarchitectural Data Sampling (MDS). Penyerang yang berhasil mengeksploitasi L1TF atau MDS mungkin dapat membaca data istimewa di seluruh batas kepercayaan.
DIPERBARUI PADA 14 Mei 2019: Pada 14 Mei 2019, Intel menerbitkan informasi tentang subkelas baru kerentanan saluran samping eksekusi spekulatif yang dikenal sebagai Microarchitectural Data Sampling. Mereka telah ditetapkan CVE berikut:
- CVE-2018-11091 | Pengambilan sampel Data Mikroarsitektur Memori yang Tidak Dapat Di-cache (MDSUM)
- CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
- CVE-2018-12127 | Pengambilan Sampel Data Buffer Isi Mikroarsitektur (MFBDS)
- CVE-2018-12130 | Pengambilan Sampel Data Port Beban Mikroarsitektur (MLPDS)
DIPERBARUI PADA 12 NOVEMBER 2019: Pada 12 November 2019, Intel menerbitkan nasihat teknis seputar kerentanan Akronisasi Asinkron Transaksi Intel® Transactional Synchronization Extensions (Intel® TSX) yang ditetapkan CVE-2019-11135. Microsoft telah merilis pembaruan untuk membantu mengurangi kerentanan ini. Harap perhatikan hal berikut:
- Secara default, perlindungan sistem operasi diaktifkan untuk beberapa Edisi OS Windows Server. Lihat 4072698 Artikel Pangkalan Pengetahuan Microsoft untuk informasi selengkapnya.
- Secara default, perlindungan sistem operasi diaktifkan untuk semua Edisi OS Klien Windows. Lihat artikel 4073119 Pangkalan Pengetahuan Microsoft untuk informasi selengkapnya.
Gambaran umum kerentanan
Di lingkungan di mana sumber daya dibagikan, seperti host virtualisasi, penyerang yang dapat menjalankan kode arbitrer pada satu komputer virtual mungkin dapat mengakses informasi dari komputer virtual lain atau dari host virtualisasi itu sendiri.
Beban kerja server seperti Windows Server Desktop Jauh Services (RDS) dan peran yang lebih khusus seperti pengontrol domain Direktori Aktif juga berisiko. Penyerang yang dapat menjalankan kode arbitrer (terlepas dari tingkat hak istimewanya) mungkin dapat mengakses rahasia sistem operasi atau beban kerja seperti kunci enkripsi, kata sandi, dan data sensitif lainnya.
Sistem operasi klien Windows juga berisiko, terutama jika menjalankan kode yang tidak tepercaya, memanfaatkan fitur Keamanan Berbasis Virtualisasi seperti Windows Defender Credential Guard, atau menggunakan Hyper-V untuk menjalankan komputer virtual.
Catatan: Kerentanan ini hanya memengaruhi prosesor Intel Core dan prosesor Intel Xeon.
Gambaran umum mitigasi
Untuk mengatasi masalah ini, Microsoft bekerja sama dengan Intel untuk mengembangkan mitigasi dan panduan perangkat lunak. Pembaruan perangkat lunak untuk membantu mengurangi kerentanan telah dirilis. Untuk mendapatkan semua perlindungan yang tersedia, pembaruan mungkin diperlukan yang juga dapat menyertakan kode mikro dari OEM perangkat.
Artikel ini menjelaskan cara mengurangi kerentanan berikut:
- CVE-2018-3620 | Kesalahan Terminal L1 – OS, SMM
- CVE-2018-3646 | Kesalahan Terminal L1 – VMM
- CVE-2018-11091 | Pengambilan sampel Data Mikroarsitektur Memori yang Tidak Dapat Di-cache (MDSUM)
- CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
- CVE-2018-12127 | Pengambilan Sampel Data Port Beban Mikroarsitektur (MLPDS)
- CVE-2018-12130 | Pengambilan Sampel Data Buffer Isi Mikroarsitektur (MFBDS)
- CVE-2019-11135 | Kerentanan Pengungkapan Informasi Kernel Windows
- CVE-2022-21123 | Data Buffer Bersama Baca (SBDR)
- CVE-2022-21125 | Pengambilan Sampel Data Buffer Bersama (SBDS)
- CVE-2022-21127 | Pembaruan Pengambilan Sampel Data Buffer Register Khusus (Pembaruan SRBDS)
- CVE-2022-21166 | Tulis Parsial Register Perangkat (DRPW)
Untuk mempelajari selengkapnya tentang kerentanan, lihat saran keamanan berikut:
L1TF:ADV180018 | Panduan Microsoft untuk mengurangi varian L1TF
MDS:ADV190013 | Panduan Microsoft untuk mengurangi kerentanan Pengambilan Sampel Data Arsitektur Mikro
MMIO:ADV220002 | Panduan Microsoft tentang kerentanan data kedaluwarsa MMIO Prosesor Intel
Kerentanan Pengungkapan Informasi Kernel Windows:CVE-2019-11135 | Kerentanan Pengungkapan Informasi Kernel Windows
Menentukan tindakan yang diperlukan untuk mengurangi ancaman
Bagian berikut dapat membantu Anda mengidentifikasi sistem yang terpengaruh oleh kerentanan L1TF dan/atau MDS, dan juga membantu Anda memahami dan memitigasi risikonya.
Potensi dampak kinerja
Dalam pengujian, Microsoft telah melihat beberapa dampak kinerja dari mitigasi ini, tergantung pada konfigurasi sistem dan mitigasi mana yang diperlukan.
Beberapa pelanggan mungkin harus menonaktifkan hyper-threading (juga dikenal sebagai multithreading simultan atau SMT) untuk sepenuhnya mengatasi risiko dari L1TF dan MDS. Perhatikan bahwa menonaktifkan hyper-threading dapat menyebabkan penurunan kinerja. Situasi ini berlaku untuk pelanggan yang menggunakan hal berikut:
- Versi Hyper-V yang lebih lama dari Server Windows 2016 atau Windows 10 versi 1607 (Pembaruan Hari Jadi)
- Fitur keamanan berbasis virtualisasi (VBS) seperti Credential Guard dan Device Guard
- Perangkat lunak yang memungkinkan eksekusi kode yang tidak tepercaya (misalnya, server otomatisasi build atau lingkungan hosting IIS bersama)
Dampaknya dapat bervariasi berdasarkan perangkat keras dan beban kerja yang berjalan pada sistem. Konfigurasi sistem yang paling umum adalah mengaktifkan hyper-threading. Oleh karena itu, dampak performa dibagikan pada pengguna atau administrator yang mengambil tindakan untuk menonaktifkan hyper-threading pada sistem.
Catatan: Untuk menentukan apakah sistem Anda menggunakan fitur keamanan yang dilindungi VBS, ikuti langkah-langkah berikut:
Pada menu Mulai , ketik MSINFO32.
Catatan: Jendela Informasi Sistem akan terbuka.
Di kotak Temukan , ketik keamanan.
Di panel kanan, temukan dua baris yang dipilih dalam cuplikan layar, dan periksa kolom Nilai untuk melihat apakah Keamanan berbasis virtualisasi diaktifkan dan layanan keamanan berbasis virtual mana yang berjalan.
Penjadwal inti Hyper-V mengurangi vektor serangan L1TF dan MDS terhadap mesin virtual Hyper-V sambil tetap mengizinkan hyper-threading tetap diaktifkan. Penjadwal inti tersedia mulai dari Server Windows 2016 dan Windows 10 versi 1607. Hal ini memberikan dampak performa minimal pada komputer virtual.
Penjadwal inti tidak mengurangi vektor serangan L1TF atau MDS terhadap fitur keamanan yang dilindungi VBS. Untuk informasi selengkapnya, lihat Mitigasi C dan artikel Blog Virtualisasi berikut:
Untuk informasi mendetail dari Intel tentang dampak kinerja, buka situs web Intel berikut:
Mengidentifikasi sistem yang terpengaruh dan mitigasi yang diperlukan
Bagan alur pada gambar 1 dapat membantu Anda mengidentifikasi sistem yang terpengaruh dan menentukan rangkaian tindakan yang benar.
Penting: Jika menggunakan komputer virtual, Anda harus mempertimbangkan dan menerapkan bagan alur ke host Hyper-V dan setiap tamu VM yang terpengaruh satu per satu karena mitigasi mungkin berlaku untuk keduanya. Secara khusus, untuk host Hyper-V, langkah-langkah bagan alur menyediakan perlindungan antar-VM dan perlindungan intra-host. Namun, menerapkan mitigasi ini hanya pada host Hyper-V tidak cukup untuk memberikan perlindungan intra-VM. Untuk memberikan perlindungan intra-VM, Anda harus menerapkan bagan alur ke setiap VM Windows. Biasanya, ini berarti memastikan bahwa kunci registri diatur di VM.
Saat menavigasi bagan alur, Anda akan menemukan lingkaran biru berhuruf yang dipetakan ke tindakan atau serangkaian tindakan yang diperlukan untuk mengurangi vektor serangan L1TF yang spesifik untuk konfigurasi sistem Anda. Setiap tindakan yang Anda temui harus diterapkan. Saat Anda menemukan garis hijau, itu menunjukkan jalur langsung ke akhir, dan tidak ada langkah mitigasi tambahan.
Penjelasan singkat dari setiap mitigasi huruf disertakan dalam legenda di sebelah kanan. Penjelasan mendetail untuk setiap mitigasi yang mencakup instruksi penginstalan dan konfigurasi langkah demi langkah disediakan di bagian "Mitigasi".
Mitigasi
Penting: Bagian berikut menjelaskan mitigasi yang harus diterapkan HANYA dalam kondisi tertentu yang ditentukan oleh diagram alur pada Gambar 1 di bagian sebelumnya. JANGAN terapkan mitigasi ini kecuali diagram alur menunjukkan bahwa mitigasi tertentu diperlukan.
Selain pembaruan perangkat lunak dan kode mikro, perubahan konfigurasi manual mungkin juga diperlukan untuk mengaktifkan perlindungan tertentu. Kami selanjutnya menyarankan agar pelanggan Perusahaan mendaftar ke mailer pemberitahuan keamanan agar diberi tahu tentang perubahan konten. ( Lihat pemberitahuan keamanan teknis Microsoft.)
Mitigasi A
Dapatkan dan terapkan pembaruan Windows terbaru
Terapkan semua pembaruan sistem operasi Windows yang tersedia, termasuk pembaruan keamanan bulanan Windows. Anda dapat melihat tabel produk yang terpengaruh di Saran Keamanan Microsoft | ADV 180018 untuk L1TF, Penasihat Keamanan | ADV 190013 untuk MDS, Penasihat Keamanan | ADV220002 untuk MMIO, dan Kerentanan Keamanan | CVE-2019-11135 untuk Kerentanan Pengungkapan Informasi Kernel Windows.
Mitigasi B
Dapatkan dan terapkan pembaruan microcode atau firmware terbaru
Selain menginstal pembaruan keamanan Windows terbaru, prosesor, kode mikro, atau pembaruan firmware mungkin juga diperlukan. Kami menyarankan Anda mendapatkan dan menerapkan pembaruan kode mikro terbaru yang sesuai untuk perangkat Anda dari OEM perangkat. Untuk informasi selengkapnya tentang pembaruan microcode atau firmware, lihat referensi berikut:
- KB4093836: Ringkasan Intel Microcode Updates
- Artikel komunitas Demystifying Microcode Updates for Intel and AMD Processors
- Saran Pusat Keamanan Produk Intel
- Keamanan Produk AMD
Catatan: Jika menggunakan virtualisasi bertumpuk (termasuk menjalankan kontainer Hyper-V di VM tamu), Anda harus mengekspos pencerahan kode mikro baru ke VM tamu. Untuk ini mungkin memerlukan peningkatan konfigurasi VM ke versi 8. Versi 8 menyertakan pencerahan kode mikro secara default. Untuk informasi selengkapnya dan langkah-langkah yang diperlukan, lihat artikel Microsoft Docs berikut:
Jalankan Hyper-V di Komputer Virtual dengan Virtualisasi Bertumpuk
Mitigasi C
Haruskah saya menonaktifkan hyper-threading (HT)?
Kerentanan L1TF dan MDS menimbulkan risiko bahwa kerahasiaan mesin virtual Hyper-V dan rahasia yang dikelola oleh Microsoft Virtualization Based Security (VBS) dapat disusupi dengan menggunakan serangan saluran samping. Saat Hyper-Threading (HT) diaktifkan, batasan keamanan yang disediakan oleh Hyper-V dan VBS menjadi lemah.
Penjadwal inti Hyper-V (tersedia mulai dari Server Windows 2016 dan Windows 10 versi 1607) mengurangi vektor serangan L1TF dan MDS terhadap komputer virtual Hyper-V sambil tetap memungkinkan Hyper-Threading tetap aktif. Hal ini memberikan dampak kinerja yang minimal.
Penjadwal inti Hyper-V tidak mengurangi vektor serangan L1TF atau MDS terhadap fitur keamanan yang dilindungi VBS. Kerentanan L1TF dan MDS menimbulkan risiko bahwa kerahasiaan rahasia VBS dapat disusupi melalui serangan saluran samping ketika Hyper-Threading (HT) diaktifkan, melemahkan batas keamanan yang disediakan oleh VBS. Bahkan dengan peningkatan risiko ini, VBS masih memberikan manfaat keamanan yang berharga dan mengurangi berbagai serangan dengan mengaktifkan HT. Oleh karena itu, kami merekomendasikan agar VBS terus digunakan pada sistem yang mendukung HT. Pelanggan yang ingin menghilangkan potensi risiko kerentanan L1TF dan MDS pada kerahasiaan VBS harus mempertimbangkan untuk menonaktifkan HT untuk mengurangi risiko tambahan ini.
Pelanggan yang ingin menghilangkan risiko yang ditimbulkan oleh kerentanan L1TF dan MDS, baik untuk kerahasiaan versi Hyper-V yang lebih awal dari Server Windows 2016 atau untuk kemampuan keamanan VBS, harus mempertimbangkan keputusan dan mempertimbangkan untuk menonaktifkan HT untuk mengurangi risiko. Secara umum, keputusan ini dapat didasarkan pada pedoman berikut:
- Untuk Windows 10 versi 1607, Server Windows 2016, dan sistem yang lebih baru yang tidak menjalankan Hyper-V dan tidak menggunakan fitur keamanan yang dilindungi VBS, pelanggan tidak boleh menonaktifkan HT.
- Untuk Windows 10 versi 1607, Server Windows 2016, dan sistem yang lebih baru yang menjalankan Hyper-V dengan Penjadwal Inti, tetapi tidak menggunakan fitur keamanan yang dilindungi VBS, pelanggan tidak boleh menonaktifkan HT.
- Untuk Windows 10 versi 1511, Windows Server 2012 R2, dan sistem sebelumnya yang menjalankan Hyper-V, pelanggan harus mempertimbangkan untuk menonaktifkan HT untuk mengurangi risiko.
Langkah-langkah yang diperlukan untuk menonaktifkan HT berbeda dari OEM ke OEM. Namun, keduanya biasanya merupakan bagian dari BIOS atau alat penyiapan dan konfigurasi firmware.
Microsoft juga telah memperkenalkan kemampuan untuk menonaktifkan teknologi Hyper-Threading melalui pengaturan perangkat lunak jika sulit atau tidak mungkin untuk menonaktifkan HT di BIOS atau alat penyiapan dan konfigurasi firmware. Pengaturan perangkat lunak untuk menonaktifkan HT adalah sekunder untuk pengaturan BIOS atau firmware Anda dan dinonaktifkan secara default (artinya HT akan mengikuti pengaturan BIOS atau firmware Anda). Untuk mempelajari selengkapnya tentang pengaturan ini dan cara menonaktifkan HT menggunakannya, lihat artikel berikut:
4072698 panduan Windows Server untuk melindungi dari kerentanan saluran samping eksekusi spekulatif
Jika memungkinkan, disarankan untuk menonaktifkan HT di BIOS atau firmware Anda untuk jaminan terkuat bahwa HT dinonaktifkan.
Catatan: Menonaktifkan hyperthreading akan mengurangi inti CPU. Hal ini dapat berdampak pada fitur yang memerlukan inti CPU minimum agar berfungsi. Misalnya, Windows Defender Application Guard (WDAG).
Mitigasi D
Aktifkan penjadwal inti Hyper-V dan atur jumlah utas perangkat keras VM per inti menjadi 2
Catatan: Langkah mitigasi ini hanya berlaku untuk versi Server Windows 2016 dan Windows 10 sebelum versi 1809. Penjadwal inti diaktifkan secara default di Server Windows 2019 dan Windows 10 versi 1809.
Menggunakan penjadwal inti adalah proses dua tahap yang mengharuskan Anda mengaktifkan penjadwal terlebih dahulu pada host Hyper-V, lalu mengonfigurasi setiap VM untuk memanfaatkannya dengan mengatur jumlah utas perangkat keras per inti menjadi dua (2).
Penjadwal inti Hyper-V yang diperkenalkan di Server Windows 2016 dan Windows 10 versi 1607 adalah alternatif baru untuk logika penjadwal klasik. Penjadwal inti menawarkan penurunan variabilitas performa untuk beban kerja di dalam VM yang berjalan pada host Hyper-V yang mendukung HT.
Untuk penjelasan mendetail tentang penjadwal inti Hyper-V dan langkah-langkah untuk mengaktifkannya, lihat artikel Pusat Profesional TI Windows berikut ini:
Memahami dan menggunakan tipe penjadwal hypervisor Hyper-V
Untuk mengaktifkan penjadwal inti Hyper-V di Server Windows 2016 atau Windows 10, masukkan perintah berikut:
bcdedit /set HypervisorSchedulerType core
Selanjutnya, putuskan apakah akan mengonfigurasi jumlah utas perangkat keras VM tertentu per inti menjadi dua (2). Jika Anda mengekspos fakta bahwa prosesor virtual hyper-threaded ke komputer virtual tamu, Anda mengaktifkan penjadwal di sistem operasi VM, dan juga beban kerja VM, untuk menggunakan HT dalam penjadwalan kerja mereka sendiri. Untuk melakukannya, masukkan perintah PowerShell berikut, di mana <VMName> adalah nama komputer virtual:
Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2
Mitigasi E
Aktifkan mitigasi untuk saran CVE-2017-5715, CVE-2017-5754, dan CVE-2019-11135
Catatan: Mitigasi ini diaktifkan secara default pada sistem operasi Server Windows 2019 dan klien Windows.
Untuk mengaktifkan mitigasi bagi saran CVE-2017-5715, CVE-2017-5754, dan CVE-2019-11135, gunakan panduan dalam artikel berikut:
4072698 Windows Server panduan untuk melindungi dari kerentanan saluran samping eksekusi spekulatif
Catatan: Mitigasi ini mencakup dan secara otomatis mengaktifkan mitigasi bit bingkai halaman aman untuk kernel Windows dan juga untuk mitigasi yang dijelaskan dalam CVE-2018-3620. Untuk penjelasan mendetail tentang mitigasi bit bingkai halaman aman, lihat artikel Blog Riset & Pertahanan Keamanan berikut ini:
Analisis dan mitigasi Kesalahan Terminal L1 (L1TF)
Referensi
Panduan untuk mengurangi kerentanan saluran samping eksekusi spekulatif di Azure
Sanggahan informasi pihak ketiga
Produk pihak ketiga yang dibahas dalam artikel ini dibuat oleh perusahaan yang bukan merupakan bagian dari Microsoft. Kami tidak memberikan jaminan, baik tersirat maupun tersurat, terkait kinerja atau keandalan produk ini.
Kami menyediakan informasi kontak pihak ketiga untuk membantu Anda menemukan dukungan teknis. Informasi kontak ini dapat berubah tanpa pemberitahuan. Kami tidak menjamin keakuratan informasi kontak pihak ketiga ini.