KB4073119: Linee guida per i client Windows per i professionisti IT per la protezione da vulnerabilità del canale laterale di esecuzione speculativa e microarchitetturali basate su silicio

Il 14 maggio 2019, Intel ha pubblicato informazioni su una nuova sottoclasse di vulnerabilità del canale laterale dell'esecuzione speculativa note come campionamento dei dati microarchitetturali. Queste vulnerabilità sono state risolte nei seguenti CVE:

• CVE-2019-11091 | MDSUM (Microarchitectural Data Sampling Uncacheable Memory)
• CVE-2018-12126 | Campionamento dei dati del buffer dell'archivio microarchitettonico (MSBDS)
• CVE-2018-12127 | Campionamento dei dati del buffer di riempimento microarchitettonico (MFBDS)
• CVE-2018-12130 | Campionamento dei dati della porta di caricamento microarchitettonico (MLPDS)

Sono stati rilasciati aggiornamenti per mitigare queste vulnerabilità. Per ottenere tutte le protezioni disponibili, sono necessari gli aggiornamenti del firmware (microcodice) e del software. Può includere microcodice fornito dagli OEM dei dispositivi. In alcuni casi, l'installazione di questi aggiornamenti avrà un impatto sulle prestazioni. Abbiamo anche agito per proteggere i nostri servizi cloud. È consigliabile distribuire questi aggiornamenti.

Per ulteriori informazioni su questo problema, vedere l'avviso di sicurezza seguente e utilizzare le indicazioni basate su scenari per determinare le azioni necessarie per ridurre la minaccia:

• ADV190013 | Indicazioni Microsoft per attenuare le vulnerabilità di campionamento dei dati della microarchitettura
• Linee guida di Windows per la protezione dalle vulnerabilità del canale laterale dell'esecuzione speculativa

Il 6 agosto 2019 Intel ha rilasciato i dettagli su una vulnerabilità di divulgazione di informazioni del kernel Windows. Questa vulnerabilità è una variante della vulnerabilità del canale laterale di esecuzione speculativa Spectre Variant 1 ed è stata assegnata alla vulnerabilità CVE-2019-1125.

Il 9 luglio 2019 sono stati rilasciati gli aggiornamenti della sicurezza per il sistema operativo Windows per attenuare il problema. Si noti che non abbiamo documentato pubblicamente questa mitigazione fino alla divulgazione coordinata del settore martedì 6 agosto 2019.

I clienti che hanno abilitato Windows Update e hanno applicato gli aggiornamenti della sicurezza rilasciati il 9 luglio 2019 sono protetti automaticamente. Non sono necessarie ulteriori configurazioni.

Per ulteriori informazioni su questa vulnerabilità e sugli aggiornamenti applicabili, vedere la Guida all'aggiornamento della sicurezza Microsoft:

• CVE-2019-1125 | Vulnerabilità legata all'intercettazione di informazioni sul kernel di Windows

Il 12 novembre 2019, Intel ha pubblicato un avviso tecnico sulla vulnerabilità di interruzione asincrona delle transazioni Intel Transactional Synchronization Extensions (Intel TSX) a cui è assegnato CVE-2019-11135. Sono stati rilasciati aggiornamenti per ridurre questa vulnerabilità. Per impostazione predefinita, le protezioni del sistema operativo sono abilitate per le edizioni del sistema operativo client Windows.

Il 14 giugno 2022 abbiamo pubblicato ADV220002 | Indicazioni Microsoft sulle vulnerabilità dei dati non aggiornati del processore Intel. Queste vulnerabilità sono assegnate nei seguenti CVE:

• CVE-2022-21123 | Lettura dati buffer condiviso (SBDR)
• CVE-2022-21125 | Campionamento dei dati del buffer condiviso (SBDS)
• CVE-2022-21127 | Aggiornamento del campionamento dei dati del buffer del registro speciale (aggiornamento SRBDS)
• CVE-2022-21166 | Scrittura parziale registro dispositivo (DRPW)

Azioni consigliate

È consigliabile eseguire le azioni seguenti per proteggersi da queste vulnerabilità:

1. Applica tutti gli aggiornamenti del sistema operativo Windows disponibili, inclusi gli aggiornamenti mensili della sicurezza di Windows.
2. Applica l'aggiornamento del firmware applicabile (microcodice) fornito dal produttore del dispositivo.
3. Valutare il rischio per l'ambiente in uso basandosi sulle informazioni fornite negli avvisi di sicurezza Microsoft ADV180002, ADV180012, ADV190013 e ADV220002, oltre alle informazioni fornite in questo articolo.
4. Intervenire nel modo necessario usando gli avvisi e le informazioni sulle chiavi del Registro di sistema disponibili in questo articolo.

Il 12 luglio 2022 abbiamo pubblicato CVE-2022-23825 | AMD CPU Branch Type Confusion che descrive che gli alias nel predittore di ramo possono far sì che alcuni processori AMD prevedano il tipo di ramo errato. Questo problema potrebbe potenzialmente causare la divulgazione di informazioni.

Per proteggersi da questa vulnerabilità, si consiglia di installare gli aggiornamenti di Windows datati a partire da luglio 2022 e di intervenire come richiesto dalla serie CVE-2022-23825 e dalle informazioni sulla chiave del Registro di sistema fornite in questo articolo della Knowledge Base.

Per ulteriori informazioni, consultare il bollettino sulla sicurezza di AMD-SB-1037 .

L'8 agosto 2023 abbiamo pubblicato CVE-2023-20569 | AMD CPU Return Address Predictor (noto anche come Inception) che descrive un nuovo attacco speculativo del canale laterale che può comportare l'esecuzione speculativa su un indirizzo controllato dall'utente malintenzionato. Questo problema interessa alcuni processori AMD e potrebbe potenzialmente causare la divulgazione di informazioni.

Per proteggersi da questa vulnerabilità, si consiglia di installare gli aggiornamenti di Windows datati ad agosto 2023 o successivamente e di intervenire come richiesto dalla serie CVE-2023-20569 e dalle informazioni sulla chiave di registro fornite in questo articolo della Knowledge Base.

Per ulteriori informazioni, consultare il bollettino sulla sicurezza di AMD-SB-7005 .

Il 9 aprile 2024 abbiamo pubblicato CVE-2022-0001 | Intel Branch History Injection , che descrive Branch History Injection (BHI), che è una forma specifica di BTI intramodale. Questa vulnerabilità si verifica quando un utente malintenzionato può manipolare la cronologia del ramo prima di passare dalla modalità utente alla modalità supervisore (o dalla modalità VMX non-root/guest alla modalità root). Questa manipolazione potrebbe far sì che un predittore di ramo indiretto selezioni una voce di predittore specifica per un ramo indiretto e un gadget di divulgazione sul bersaglio previsto verrà eseguito transitoriamente. Ciò potrebbe essere possibile perché la cronologia del ramo pertinente può contenere rami acquisiti in contesti di sicurezza precedenti e, in particolare, altre modalità di predittore.

Per impostazione predefinita, la protezione da utente a kernel per CVE-2017-5715 è disabilitata per le CPU AMD e ARM. È necessario abilitare la mitigazione per ricevere protezioni aggiuntive per CVE-2017-5715. Per altre informazioni, vedere le domande frequenti #15 in ADV180002 per i processori AMD e le domande frequenti #20 in ADV180002 per i processori ARM.

Per impostazione predefinita, la protezione da utente a kernel per CVE-2017-5715 è disabilitata per i processori AMD. I clienti devono abilitare la mitigazione per ricevere protezioni aggiuntive per CVE-2017-5715.  Per ulteriori informazioni, vedere le FAQ #15 in ADV180002.

Per abilitare la mitigazione per CVE-2022-23825 sui processori AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Per essere completamente protetti, i clienti potrebbero anche dover disabilitare Hyper-Threading (noto anche come Simultaneous Multi Threading (SMT)). Vedi KB4073757 per indicazioni sulla protezione dei dispositivi Windows.

Per abilitare la mitigazione per CVE-2023-20569 sui processori AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Per abilitare la mitigazione per CVE-2022-0001 sui processori Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Per una spiegazione dettagliata dell'output dello script di PowerShell, vedere KB4074629.

Il microcodice viene fornito tramite un aggiornamento del firmware. È consigliabile verificare con i produttori di CPU (chipset) e dispositivi la disponibilità di aggiornamenti di sicurezza del firmware applicabili per il dispositivo specifico, inclusa la Guida alla revisione del microcodice Intels.

Affrontare una vulnerabilità hardware tramite un aggiornamento software presenta sfide significative. Inoltre, le mitigazioni per i sistemi operativi meno recenti richiedono ampie modifiche all'architettura. Stiamo collaborando con i produttori di chip interessati per determinare il modo migliore per fornire misure di prevenzione, che potrebbero essere fornite negli aggiornamenti futuri.

Gli Aggiornamenti per i dispositivi Microsoft Surface verranno distribuiti ai clienti tramite Windows Update insieme agli aggiornamenti per il sistema operativo Windows. Per un elenco degli aggiornamenti del firmware del dispositivo Surface disponibili (microcodice), vedi KB4073065.

Se il tuo non è un dispositivo Microsoft, applica il firmware del produttore del dispositivo. Per altre informazioni, contattare il produttore del dispositivo OEM.

A febbraio e marzo 2018, Microsoft ha rilasciato una protezione aggiuntiva per alcuni sistemi basati su x86. Per ulteriori informazioni , vedere KB4073757 e l'avviso di sicurezza Microsoft ADV180002.

Aggiornamenti a Windows 10 per HoloLens sono disponibili per i clienti di HoloLens tramite Windows Update.

Dopo aver applicato l'aggiornamento della sicurezza di Windows di febbraio 2018, i clienti di HoloLens non devono eseguire altre operazioni per aggiornare il firmware del dispositivo. Queste misure di prevenzione verranno incluse anche in tutte le versioni future di Windows 10 per HoloLens.

No. Gli aggiornamenti solo della sicurezza non sono cumulativi. A seconda della versione del sistema operativo in esecuzione, sarà necessario installare ogni aggiornamento mensile solo della sicurezza per essere protetti da queste vulnerabilità. Ad esempio, se si esegue Windows 7 per sistemi a 32 bit su una CPU Intel interessata, è necessario installare tutti gli aggiornamenti solo della sicurezza. È consigliabile installare questi aggiornamenti solo della sicurezza nell'ordine di rilascio.

Avvertenza Una versione precedente di queste domande frequenti indicava erroneamente che l'aggiornamento solo della sicurezza di febbraio includeva le correzioni per la sicurezza rilasciate a gennaio. In realtà, non è così.

No. L'aggiornamento della sicurezza 4078130 era una correzione specifica per prevenire comportamenti imprevedibili del sistema, problemi di prestazioni e/o riavvii imprevisti dopo l'installazione del microcodice. L'applicazione degli aggiornamenti della sicurezza di febbraio nei sistemi operativi dei client Windows consente tutte e tre le mitigazioni.

Intel ha recentemente annunciato di avere completato le attività di convalida e iniziato a rilasciare microcodice per le piattaforme CPU più recenti. Microsoft sta rendendo disponibili gli aggiornamenti del microcodice convalidati da Intel relativi a Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 elenca articoli specifici della Knowledge Base in base alla versione di Windows. Ogni specifico articolo KB contiene gli aggiornamenti di microcodice Intel disponibili per CPU.

Questo problema è stato risolto in KB4093118.

AMD ha recentemente annunciato di aver iniziato a rilasciare microcodice per piattaforme CPU più recenti intorno a Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Per ulteriori informazioni, fare riferimento agli Aggiornamenti di sicurezza AMD e al Whitepaper AMD: Linee guida per l'architettura intorno al controllo indiretto del ramo. Sono disponibili nel canale firmware OEM.

Stiamo rendendo disponibili gli aggiornamenti del microcodice convalidati da Intel relativi a Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection "). Per ottenere gli ultimi aggiornamenti del microcodice Intel tramite Windows Update, i clienti devono aver installato il microcodice Intel su dispositivi che eseguono un sistema operativo Windows 10 prima di eseguire l'aggiornamento di Windows 10 (aprile 2018) (versione 1803).

L'aggiornamento del microcodice è anche disponibile direttamente dal catalogo se non è stato installato nel dispositivo prima di aggiornare il sistema operativo. Il microcodice Intel è disponibile tramite Windows Update, WSUS o Microsoft Update Catalog. Per ulteriori informazioni e per il download, vedere KB4100347.

Per altre informazioni, vedere le risorse seguenti:

• ADV180012 | Indicazioni Microsoft per bypass dell'archivio speculativo per CVE-2018-3639
• ADV180013 | Indicazioni Microsoft per la lettura del registro di sistema non autorizzato per CVE-2018-3640 e KB4073065
• Blog di ricerca e difesa sulla sicurezza di Microsoft
• Linee guida per gli sviluppatori per il bypass speculativo dell'archivio

Per informazioni dettagliate, vedere le sezioni "Azioni consigliate" e "FAQ" in ADV180012 | Indicazioni Microsoft per bypassare speculativo dell'archivio.

Per verificare lo stato di SSBD, lo script di PowerShell Get-SpeculationControlSettings è stato aggiornato per rilevare i processori interessati, lo stato degli aggiornamenti del sistema operativo SSBD e lo stato del microcodice del processore, se applicabile. Per altre informazioni e per ottenere lo script di PowerShell, vedere KB4074629.

Il 13 giugno 2018, è stata annunciata un'ulteriore vulnerabilità che coinvolge l'esecuzione speculativa del canale laterale, nota come Lazy FP State Restore, e assegnata CVE-2018-3665. Non sono necessarie impostazioni di configurazione (del Registro di sistema) per il ripristino lento FP.

Per ulteriori informazioni su questa vulnerabilità e per le azioni consigliate, consulta l'avviso di sicurezza ADV180016 | Indicazioni Microsoft per il ripristino dello stato FP pigro.

Bounds Check Bypass Store (BCBS) è stato divulgato il 10 luglio 2018 e assegnato CVE-2018-3693. Riteniamo che BCBS appartenga alla stessa classe di vulnerabilità del bypass di controllo dei limiti (variante 1). Al momento non siamo a conoscenza di istanze di BCBS nel nostro software, ma stiamo continuando a ricercare questa classe di vulnerabilità e collaboreremo con i partner del settore per rilasciare le mitigazioni necessarie. Continuiamo a incoraggiare i ricercatori a presentare tutti i risultati pertinenti al programma di ricompense Speculative Execution Side Channel di Microsoft, incluse eventuali istanze sfruttabili di BCBS. Gli sviluppatori di software devono esaminare le linee guida per gli sviluppatori aggiornate per il BCBS all'https://aka.ms/sescdevguide.

Il 14 agosto 2018 è stato annunciato il guasto terminale L1 (L1TF) e sono stati assegnati più CVE. Queste nuove vulnerabilità del canale laterale di esecuzione speculativa possono essere utilizzate per leggere il contenuto della memoria attraverso un confine attendibile e, se sfruttate, possono portare alla divulgazione di informazioni. Un utente malintenzionato può attivare le vulnerabilità attraverso più vettori, a seconda dell'ambiente configurato. L1TF influisce sui processori Intel® Core e Intel® Xeon®®.

Per ulteriori informazioni su questa vulnerabilità e una vista dettagliata degli scenari interessati, incluso l'approccio di Microsoft per mitigare L1TF, vedere le risorse seguenti:

• ADV180018 | Indicazioni Microsoft per mitigare la variante L1TF
• Avviso di sicurezza Blog sulla ricerca in materia di sicurezza
• Indicazioni server per l'errore del terminale L1

I clienti che usano processori ARM a 64 bit devono verificare con l'OEM del dispositivo il supporto del firmware perché le protezioni del sistema operativo ARM64 che mitigano CVE-2017-5715 | L'iniezione di target ramo (Spectre, variante 2) richiede l'applicazione dell'ultimo aggiornamento del firmware da parte degli OEM dei dispositivi.

Per altre informazioni, vedere i seguenti avvisi di sicurezza

• Avviso di sicurezza di Intel
• ADV190013 | Indicazioni Microsoft per attenuare le vulnerabilità di campionamento dei dati della microarchitettura

Per altre informazioni, vedere i seguenti avvisi di sicurezza

• Avviso di sicurezza di Intel
• ADV190013 | Indicazioni Microsoft per attenuare le vulnerabilità di campionamento dei dati della microarchitettura

Ulteriori indicazioni sono disponibili nelle linee guida di Windows per la protezione dalle vulnerabilità del canale laterale dell'esecuzione speculativa

Vedere le linee guida delle linee guida di Windows per proteggersi dalle vulnerabilità speculative del canale laterale dell'esecuzione

Per le indicazioni di Azure, vedere questo articolo: Linee guida per la mitigazione delle vulnerabilità del canale laterale dell'esecuzione speculativa in Azure.

Per ulteriori informazioni sull'abilitazione di Retpoline, fare riferimento al post del blog: Mitigazione di Spectre variante 2 con Retpoline su Windows.

Per informazioni dettagliate su questa vulnerabilità, consultare la Guida alla sicurezza di Microsoft: CVE-2019-1125 | Vulnerabilità legata alla divulgazione di informazioni del kernel di Windows.

Non siamo a conoscenza di alcuna istanza di questa vulnerabilità legata alla divulgazione di informazioni che interessa l'infrastruttura dei servizi cloud.

Non appena siamo venuti a conoscenza di questo problema, abbiamo lavorato rapidamente per risolverlo e rilasciare un aggiornamento. Crediamo fermamente nelle strette partnership con ricercatori e partner del settore per rendere i clienti più sicuri e non abbiamo pubblicato dettagli fino a martedì 6 agosto, in linea con le pratiche coordinate di divulgazione delle vulnerabilità.

Altre indicazioni sono disponibili nelle linee guida di Windows per la protezione dalle vulnerabilità del canale laterale dell'esecuzione speculativa.

Altre indicazioni sono disponibili nelle linee guida di Windows per la protezione dalle vulnerabilità del canale laterale dell'esecuzione speculativa.

Per altre indicazioni, vedere la Guida per la disabilitazione della funzionalità Intel® Transactional Synchronization Extensions (Intel® TSX).

Forniamo informazioni di contatto di terze parti per aiutarti a trovare il supporto tecnico. Le informazioni di contatto sono soggette a modifica senza preavviso. Non garantiamo l'accuratezza delle informazioni di contatto di terze parti.