KB4073225-linee guida di SQL Server per la protezione dalle vulnerabilità di campionamento dei dati di Spectre, Meltdown e micro-Architectural

Riepilogo

Microsoft è a conoscenza di una nuova classe di vulnerabilità pubblicamente divulgate, denominata "attacchi di canale laterale per l'esecuzione speculativa" che influenzano molti moderni processori e sistemi operativi. Questo include Intel, AMD e ARM. Nota Questo problema riguarda anche altri sistemi, ad esempio Android, Chrome, iOS e MacOS. Pertanto, consigliamo ai clienti di cercare indicazioni da questi fornitori.

Microsoft ha rilasciato diversi aggiornamenti per alleviare queste vulnerabilità. Abbiamo anche preso provvedimenti per proteggere i nostri servizi cloud. Per altre informazioni, vedere le sezioni seguenti.

Finora Microsoft non ha ancora ricevuto alcuna informazione che indichi lo sfruttamento di tali vulnerabilità per attaccare i clienti. Microsoft continua a collaborare in stretta collaborazione con i partner del settore, inclusi i chip maker, gli OEM hardware e i fornitori di applicazioni, per proteggere i clienti. Per ottenere tutte le protezioni disponibili, è necessario hardware o firmware e aggiornamenti software. Tali aggiornamenti includono microcodice fornito dagli OEM dei dispositivi e, in alcuni casi, aggiornamenti del software antivirus. Per altre informazioni sulle vulnerabilità, vedere Microsoft Security Advisory ADV180002. Per informazioni generali su come mitigare questa classe di vulnerabilità, vedere indicazioni per attenuare le vulnerabilità del canale laterale per l'esecuzione speculativa

Microsoft ha pubblicato ADV190013-Microsoft guidance per ridurre le vulnerabilità di campionamento dei dati di microarchitettura in maggio 2019. In SQL Server non sono presenti patch di sicurezza specifiche per il problema descritto in ADV190013. È possibile trovare indicazioni per gli ambienti interessati da ADV190013 nella sezione raccomandazioni di questo articolo. Tieni presente che questo avviso si applica solo ai processori Intel.

Come ottenere e installare l'aggiornamento

Questo aggiornamento è disponibile anche tramite Windows Server Update Services (WSUS) o il sito Web del catalogo Microsoft Update.Nota: questo aggiornamento non verrà scaricato e installato automaticamente tramite Windows Update.

Versioni di SQL Server supportate interessate

Microsoft consiglia che tutti i clienti installino gli aggiornamenti di SQL Server (elencati di seguito) come parte del normale ciclo di patch.  I clienti che eseguono SQL Server in un ambiente sicuro in cui i punti di estensibilità sono bloccati e il codice di terze parti in esecuzione nello stesso server è attendibile e approvato deve essere influenzato da questo problema.

Le versioni seguenti di SQL Server hanno aggiornamenti disponibili durante l'esecuzione su sistemi di processori x86 e x64:

• SQL Server 2008

• SQL Server 2008R2

• SQL Server 2012

• SQL Server 2014

• SQL Server 2016

• SQL Server 2017

Non crediamo che IA64 (Microsoft SQL Server 2008) sia interessato. Microsoft Analytical Platform Service (APS) è basato su Microsoft SQL Server 2014 o Microsoft SQL Server 2016, ma non è influenzato in modo specifico. Alcune linee guida generali per l'APS sono elencate più avanti in questo articolo.

Raccomandazioni

La tabella seguente illustra le operazioni che i clienti devono eseguire, a seconda dell'ambiente in cui è in esecuzione SQL Server e della funzionalità in uso. Microsoft consiglia di distribuire le correzioni usando le procedure usuali per testare nuovi file binari prima di distribuirli in ambienti di produzione.

Advisory sulle prestazioni

Ai clienti viene consigliato di valutare le prestazioni della propria applicazione specifica quando applicano gli aggiornamenti.

Microsoft consiglia a tutti i clienti di installare versioni aggiornate di SQL Server e Windows. Questo dovrebbe avere un effetto di prestazioni trascurabile-minimo sulle applicazioni esistenti, in base a Microsoft testing dei carichi di lavoro SQL. Tuttavia, è consigliabile testare tutti gli aggiornamenti prima di distribuirli in un ambiente di produzione.

Microsoft ha misurato l'effetto dell'ombreggiatura degli indirizzi virtuali del kernel (KVAS), della KPTI (kernel page table indirection) e della riduzione indiretta della predizione delle branche (IBP) su vari carichi di lavoro SQL in diversi ambienti e ha rilevato alcuni carichi di lavoro con notevole degradazione. Ti consigliamo di verificare l'effetto di prestazioni che consente di abilitare queste funzionalità prima di distribuirle in un ambiente di produzione. Se l'effetto sulle prestazioni dell'abilitazione di queste funzionalità è troppo elevato per un'applicazione esistente, è possibile valutare se l'isolamento di SQL Server da codice non attendibile in esecuzione nello stesso computer sia una migliore attenuazione per l'applicazione.

Per altre informazioni sull'effetto di prestazioni del supporto hardware per l'attenuazione della previsione del ramo indiretto (IBP), vedere dettagli.

Microsoft aggiornerà questa sezione con altre informazioni quando sarà disponibile.

Abilitazione dell'ombreggiatura degli indirizzi virtuali del kernel (KVAS in Windows) e del riferimento indiretto della tabella di pagina del kernel (KPTI su Linux)

KVAS e KPTI attenuano il valore in CVE 2017-5754, noto anche come "Meltdown" o "Variant 3" nella divulgazione di GPZ.

SQL Server viene eseguito in molti ambienti: computer fisici, VM in ambienti cloud pubblici e privati, su sistemi Linux e Windows. Indipendentemente dall'ambiente, il programma viene eseguito in un computer o in una VM. Chiama il limitedi sicurezza.

Se tutto il codice nel contorno ha accesso a tutti i dati di tale limite, non è necessario eseguire alcuna azione. In caso contrario, si dice che il limite sia multi-tenant. Le vulnerabilità trovate rendono possibile qualsiasi codice, anche con autorizzazioni ridotte, in esecuzione in qualsiasi processo in tale limite, per leggere eventuali altri dati all'interno di tale limite. Se c'è un processo nel contorno che usa codice non attendibile , potrebbe usare queste vulnerabilità per leggere i dati da altri processi. Questo codice non attendibile potrebbe essere un codice non attendibile usando meccanismi di estensibilità di SQL Server o altri processi nel bordo che esegue codice non attendibile.

Per proteggere il codice non attendibile in un contorno multi-tenant, usare uno dei metodi seguenti

• Rimuovere il codice non attendibile. Per altre informazioni su come eseguire questa operazione per i meccanismi di estensibilità di SQL Server, vedere di seguito. Per rimuovere il codice non attendibile da altre applicazioni nello stesso limite, le modifiche specifiche dell'applicazione sono in genere necessarie. Ad esempio, la separazione in due VM.

• Attivare KVAS o KPTI. Questo avrà un effetto sulle prestazioni. Per altre informazioni, come descritto in precedenza in questo articolo.

Per altre informazioni su come abilitare KVAS per Windows, vedere KB4072698. Per altre informazioni su come abilitare KPTI su Linux, consultare il proprio distributore del sistema operativo.

Esempio di scenario in cui è vivamente consigliato KVAS o KPTI

Un computer fisico locale che ospita SQL Server come account di amministratore non di sistema consente ai clienti di inviare script R arbitrari per l'esecuzione tramite SQL Server (che usa processi secondari per eseguire questi script all'esterno di sqlservr. exe). È necessario abilitare KVAS e KPTI sia per proteggere la divulgazione dei dati all'interno del processo sqlservr. exe sia per proteggere la divulgazione dei dati all'interno della memoria del kernel di sistema. Nota Un meccanismo di estensibilità in SQL Server non viene considerato automaticamente non sicuro solo perché viene usato. Questi meccanismi possono essere usati in modo sicuro in SQL Server, purché ogni dipendenza sia compresa e considerata attendibile dal cliente. Inoltre, sono presenti altri prodotti basati su SQL che potrebbero richiedere il corretto funzionamento dei meccanismi di estensibilità. Ad esempio, un'applicazione di Package creata sopra SQL Server può richiedere un server collegato o una stored procedure CLR per funzionare correttamente. Microsoft sconsiglia di rimuoverli come parte della mitigazione. Esaminare invece ogni utilizzo per determinare se il codice è compreso e considerato attendibile come azione iniziale. Questa guida viene fornita per aiutare i clienti a determinare se si trovano in una situazione in cui devono abilitare KVAS. Questo perché questa azione ha implicazioni di prestazioni significative.

Abilitazione del supporto hardware IBP (Indirect Branch Prediction Mitigation)

IBP si attenua in CVE 2017-5715, nota anche come metà di Spectre o "variante 2" nella divulgazione di GPZ.

Le istruzioni in questo articolo per abilitare KVAS in Windows consentono anche a IBP. Tuttavia, IBP richiede anche un aggiornamento del firmware dal produttore dell'hardware. Oltre alle istruzioni in KB4072698 per abilitare la protezione in Windows, i clienti devono ottenere e installare gli aggiornamenti dal produttore dell'hardware.

Esempio di scenario in cui è vivamente consigliato IBP

Un computer fisico locale ospita SQL Server insieme a un'applicazione che consente agli utenti non attendibili di caricare ed eseguire codice JavaScript arbitrario. Supponendo che esistano dati riservati nel database SQL, IBP è vivamente consigliato come misura per la protezione dalla divulgazione di informazioni processo-processo.

In situazioni in cui il supporto hardware IBP non è presente, Microsoft consiglia di separare i processi non attendibili e il processo attendibile su computer fisici o macchine virtuali diversi.

Utenti Linux: contattare il distributore del sistema operativo per informazioni su come proteggersi dalla variante 2 (CVE 2017-5715).

Esempio di scenario in cui è consigliabile limitare le vulnerabilità per il campionamento dei dati microarchitetturali

Si consideri un esempio in cui un server locale sta usando due istanze di SQL Server che ospitano due diverse applicazioni aziendali in due diverse macchine virtuali nello stesso host fisico. Supponiamo che queste due applicazioni aziendali non siano in grado di leggere i dati archiviati nelle istanze di SQL Server. Un utente malintenzionato che ha sfruttato correttamente queste vulnerabilità può essere in grado di leggere i dati privilegiati tra i limiti di attendibilità usando codice non attendibile in esecuzione nel computer come processo separato o codice non attendibile eseguito con un meccanismo di estensibilità di SQL Server (vedere la sezione seguente per le opzioni di estensibilità in SQL Server). In ambienti di risorse condivise (ad esempio, esiste in alcune configurazioni di servizi cloud), queste vulnerabilità potrebbero consentire a una macchina virtuale di accedere in modo errato alle informazioni da un altro. In scenari non di esplorazione su sistemi autonomi, un utente malintenzionato avrebbe bisogno di un accesso preliminare al sistema o una possibilità di eseguire un'applicazione appositamente predisposta nel sistema di destinazione per sfruttare queste vulnerabilità.

Meccanismi di estensibilità di SQL Server non attendibili

SQL Server contiene molte caratteristiche e meccanismi di estensibilità. La maggior parte di questi meccanismi è disabilitata per impostazione predefinita. Tuttavia, consigliamo ai clienti di rivedere ogni istanza di produzione per l'uso delle funzionalità di estensibilità. È consigliabile limitare l'accesso a ognuna di queste caratteristiche al set minimo di file binari e i clienti limitano l'accessibilità per impedire l'uso di codice arbitrario nello stesso computer di SQL Server. Consigliamo ai clienti di determinare se considerare attendibile ogni binario e di disabilitare o rimuovere i file binari non attendibili.

• Assembly CLR SQL

• Pacchetti r e Python che eseguono il meccanismo di script esterni o vengono eseguiti da R/computer Learning Studio autonomo nello stesso computer fisico di SQL Server

• Punti di estendibilità dell'agente SQL in uso nello stesso computer fisico di SQL Server (script ActiveX)

• Provider OLE DB non Microsoft usati nei server collegati

• Stored procedure estese non Microsoft

• Oggetti COM eseguiti nel server (a cui è possibile accedere tramite sp_OACreate)

• Programmi eseguiti tramite xp_cmdshell

Mitigazioni da eseguire se si usa codice non attendibile in SQL Server: