KB4072698: シリコンベースのマイクロアーキテクチャと投機的なサイド チャネル攻撃の実行によるセキュリティの脆弱性から保護するための Windows Server および Azure Stack HCI ガイダンス

適用先
Azure Local Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012
変更ログ
日付の変更 変更の説明
2023 年 4 月 20 日
  • MMIO レジストリ情報を追加しました
2023 年 8 月 8 日
  • CVE 番号が使用されていないため、CVE-2022-23816 に関するコンテンツを削除しました
  • "脆弱性" セクションに "Branch Type Confusion" が追加されました
  • "CVE-2022-23825 | AMD CPU Branch Type Confusion (BTC)" レジストリ セクションに詳細情報を追加しました
2023 年 8 月 9 日
  • "CVE-2022-23825 | AMD CPU Branch Type Confusion (BTC)" レジストリ セクションを更新しました
  • "CVE-2023-20569 | AMD CPU Return Address Predictor" を "概要" セクションに追加しました
  • "CVE-2023-20569 | AMD CPU Return Address Predictor" レジストリ セクションを追加しました
2024 年 4 月 9 日
  • CVE-2022-0001 を追加しました | Intel Branch History Injection
2024 年 4 月 16 日
  • 「複数の軽減策を有効にする」 セクションを追加しました

概要

この記事では、多くの最新のプロセッサとオペレーティング システムに影響を与えるシリコン ベースのマイクロアーキテクチャおよび投機的実行サイド チャネルの脆弱性の新しいクラスに関するガイダンスを提供します。 これには、Intel、AMD、ARM が含まれます。 これらのシリコンベースの脆弱性の具体的な詳細は、次の ADV (セキュリティ アドバイザリ) および CVE (共通脆弱性および露出) で確認できます。

重要

これらの問題は、Android、Chrome、iOS、MacOS など他のオペレーティング システムにも影響があります。 そのため、各ベンダーのガイダンスを参照することをおすすめします。

マイクロソフトでは、すでにこれらの脆弱性を軽減するのに役立つ更新プログラムをいくつかリリースしています。 また、マイクロソフトのクラウド サービスをセキュリティで保護するための措置も講じました。 詳細については、以下のセクションを参照してください。

マイクロソフトでは、これらの脆弱性がお客様への攻撃に使用されたことを示す情報をまだ受け取っていません。 マイクロソフトは、チップ メーカー、ハードウェア OEM、アプリケーション ベンダーなどの業界パートナーと引き続き緊密に協力し、お客様の保護に努めてまいります。 利用できるすべての保護を受けるには、ファームウェア (マイクロコード) とソフトウェアの更新プログラムが必要です。 これには、デバイス OEM のマイクロコードや、場合によっては、ウイルス対策ソフトウェア用の更新プログラムが含まれます。

脆弱性

投機的な実行

この資料は次の投機的実行の脆弱性を解決します。

Windows Update では、Internet Explorer と Edge の緩和策も提供される予定です。 このクラスの脆弱性に対してこれらの緩和策を今後も改善を続ける予定です。

このクラスの脆弱性に関する詳細については、以下を参照してください。

マイクロアーキテクチャ データ サンプリングの脆弱性

2019 年 5 月 14 日、Intel は、マイクロアーキテクチャ データ サンプリングと呼ばれる投機的実行サイド チャネルの脆弱性の新しいサブクラスに関する情報を公開し、 ADV190013 に記載されています。 |マイクロアーキテクチャ データ サンプリング。 これらの脆弱性には、次の CVE が割り当てられています。

重要

これらの問題は、Android、Chrome、iOS、macOS など、他のシステムにも影響します。 そのため、各ベンダーのガイダンスを参照することをおすすめします。

マイクロソフトは、これらの脆弱性を緩和するために役立つ更新プログラムをリリースしました。 利用できるすべての保護を受けるには、ファームウェア (マイクロコード) とソフトウェアの更新プログラムが必要です。 これには、デバイス OEM のマイクロコードが含まれる場合があります。 場合によっては、これらの更新プログラムをインストールするとパフォーマンスが低下します。 また、マイクロソフトのクラウド サービスをセキュリティで保護する措置も講じました。 これらの更新プログラムを展開することを強くお勧めします。

この問題の詳細については、次のセキュリティ アドバイザリや使用シナリオベースのガイダンスを参照して、脅威を緩和するために必要な操作を判断してください。

注

マイクロコードの更新プログラムをインストールする前に、Windows Update から最新の更新プログラムをすべてインストールすることをお勧めします。

Spectre、バリアント 1 の脆弱性

2019 年 8 月 7 日、Intel は Windows カーネルの情報漏えいの脆弱性について詳細情報をリリースしました。 この脆弱性は、Spectre のバリアントである Variant 1 投機的実行サイドチャネルの脆弱性であり、 CVE-2019-1125 が割り当てられます。

2019 年 7 月 10 日、この問題を緩和するために Windows オペレーティング システムのセキュリティ更新プログラムをリリースしました。 業界で調整された開示日である 2019 年 8 月 7 日水曜日まで、この緩和策に関する文書の公開は保留されていたことにご留意ください。

Windows Update を有効にし、2019 年 7 月 10 日にリリースされたセキュリティ更新プログラムを適用したお客様は自動的に保護されています。 さらに必要な構成はありません。

注

この脆弱性は、お使いのデバイス製造元 OEM からリリースされるマイクロコードの更新プログラムを必要としません。

この脆弱性と適用可能な更新プログラムの詳細については、マイクロソフト セキュリティ更新プログラム ガイドを参照してください。

トランザクション非同期中止の脆弱性

2019 年 11 月 12 日、Intel は 、CVE-2019-11135 が割り当てられている Intel® Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort の脆弱性に関するテクニカル アドバイザリを公開しました。 Microsoft は、この脆弱性を軽減するための更新プログラムをリリースしました。また、Windows Server 2019 では OS 保護が既定で有効になっていますが、Windows Server 2016 以前の Windows Server OS エディションでは既定で無効になっています。

MMIO 古いデータ サンプリングの脆弱性

2022 年 6 月 14 日に ADV220002を発行しました |Intel Processor MMIO 古いデータの脆弱性に関する Microsoft ガイダンス と、これらの CVEs が割り当てられます。

推奨されるアクション

脆弱性から保護するために、次の操作を実行することをおすすめします。

  1. マンスリー Windows セキュリティ更新プログラムなど、利用できるすべての Windows オペレーティング システムの更新プログラムを適用します。
  2. デバイスの製造元からリリースされている適用可能なファームウェア (マイクロコード) の更新プログラムを適用します。
  3. このサポート情報記事に記載されている情報に加えて、ADV180002、ADV180012、ADV190013、ADV220002に関する Microsoft セキュリティ アドバイザリで提供されている情報に基づいて、環境に対するリスクを評価します。
  4. このサポート技術情報に記載されているアドバイザリとレジストリ キーの情報を参照し、必要に応じて対処してください。

注

Surface をご利用の場合は、Windows Update を介してマイクロコードの更新プログラムが提供されます。 最新の Surface デバイス ファームウェア (マイクロコード) 更新プログラムの一覧については、「 KB4073065」を参照してください。

分岐の種類の混同

2022 年 7 月 12 日に CVE-2022-23825 を公開しました |分岐 予測器のエイリアスによって、特定の AMD プロセッサが間違った分岐の種類を予測する可能性があることを示す AMD CPU 分岐の種類の混乱。 この問題は、情報漏えいにつながる可能性があります。

この脆弱性から保護するために、2022 年 7 月以降にリリースされた Windows 更新プログラムをインストールし、CVE-2022-23825 およびこのサポート情報記事で提供されているレジストリ キー情報の必要に応じてアクションを実行することをお勧めします。

詳細については、 AMD-SB-1037 のセキュリティ情報を参照してください。

戻り値の住所予測子

2023 年 8 月 8 日に CVE-2023-20569 を公開しました |攻撃者 が制御するアドレスで投機的実行を行う可能性がある新しい投機的側チャネル攻撃を記述するリターン アドレス予測器 (インセプションとも呼ばれます)。 この問題は特定の AMD プロセッサに影響し、情報漏えいにつながる可能性があります。

この脆弱性から保護するために、2023 年 8 月以降にリリースされた Windows 更新プログラムをインストールし、CVE-2023-20569 およびこのサポート情報記事で提供されているレジストリ キー情報の必要に応じて対処することをお勧めします。

詳細については、 AMD-SB-7005 セキュリティ情報を参照してください。

ブランチ履歴の挿入

2024 年 4 月 9 日に CVE-2022-0001 を発行しました |Intel Branch History Injection 。これは、モード内 BTI の特定の形式であるブランチ履歴インジェクション (BHI) を記述します。 この脆弱性は、攻撃者がユーザー モードから保護モード (または VMX 非ルート/ゲスト モードからルート モード) に移行する前にブランチ履歴を操作する可能性がある場合に発生します。 この操作により、間接分岐予測子が間接分岐の特定の予測子エントリを選択する可能性があり、予測されたターゲットの開示ガジェットが一時的に実行されます。 これは、関連する分岐履歴に、以前のセキュリティ コンテキスト、特に他のプレディクター モードで行われた分岐が含まれている可能性があるため、可能である場合があります。

Windows Server と Azure Stack HCI の軽減策の設定

セキュリティ アドバイザリ (ADV) と CVE は、これらの脆弱性によってもたらされるリスクに関する情報を提供します。 また、脆弱性を特定し、Windows Server システムの軽減策の既定の状態を明らかにするうえでも役に立ちます。 次の表は、CPU マイクロコードの要件と、Windows Server に対する緩和策の既定の状態をまとめたものです。

CVE CPU マイクロコード/ファームウェアが必要? 緩和策の既定の状態
CVE-2017-5753 × 既定で有効 (無効にするオプションはありません)
詳細については、ADV180002 を参照してください。
CVE-2017-5715 はい 既定で無効。
詳細については 、ADV180002 を参照してください。該当する レジストリ キーの設定については、こちらの KB 記事を参照してください。
メモ"Retpoline" は、Windows 10 Version 1809を実行しているデバイスに対して既定で有効になっており、Spectre Variant 2 (CVE-2017-5715) が有効になっている場合は後で有効になります。 "Retpoline" の詳細については、Windows のブログ投稿で「 スペクター バリアント 2 と Retpoline を軽減 する」を参照してください。
CVE-2017-5754 × Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016 以前: 既定で無効になっています。
詳細については、ADV180002 を参照してください。。
CVE-2018-3639 Intel: はい
AMD: いいえ		 既定で無効。 詳細については 、「ADV180012 」を参照し、該当する レジストリ キーの設定については、この記事を参照してください。
CVE-2018-11091 Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016 以前: 既定で無効になっています。
詳細については 、「ADV190013 」を参照し、該当する レジストリ キーの設定については、この記事を参照してください。
CVE-2018-12126 Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016 以前: 既定で無効になっています。
詳細については 、「ADV190013 」を参照し、該当する レジストリ キーの設定については、この記事を参照してください。
CVE-2018-12127 Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016 以前: 既定で無効になっています。
詳細については 、「ADV190013 」を参照し、該当する レジストリ キーの設定については、この記事を参照してください。
CVE-2018-12130 Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016 以前: 既定で無効になっています。
詳細については 、「ADV190013 」を参照し、該当する レジストリ キーの設定については、この記事を参照してください。
CVE-2019-11135 Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016 以前: 既定で無効になっています。
詳細については CVE-2019-11135 を参照し、該当する レジストリ キー設定についてはこの記事を参照してください。
CVE-2022-21123 (MMIO ADV220002の一部) Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016以前: 既定では無効になっています。*
詳細については CVE-2022-21123 を参照し、該当する レジストリ キー設定についてはこの記事を参照してください。
CVE-2022-21125 (MMIO ADV220002の一部) Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016以前: 既定では無効になっています。*
詳細については CVE-2022-21125 を参照し、該当する レジストリ キー設定についてはこの記事を参照してください。
CVE-2022-21127 (MMIO ADV220002の一部) Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016以前: 既定では無効になっています。*
詳細については CVE-2022-21127 を参照し、該当する レジストリ キー設定についてはこの記事を参照してください。
CVE-2022-21166 (MMIO ADV220002の一部) Intel: はい Windows Server 2019、Windows Server 2022、Azure Stack HCI: 既定で有効になっています。
Windows Server 2016以前: 既定では無効になっています。*
詳細については CVE-2022-21166 を参照し、該当する レジストリ キー設定についてはこの記事を参照してください。
CVE-2022-23825 (AMD CPU 分岐タイプの混乱) AMD: いいえ 詳細については CVE-2022-23825 を参照し、該当する レジストリ キー設定についてはこの記事を参照してください。
CVE-2023-20569
(AMD CPU リターン アドレス予測器)		 AMD: はい 詳細については CVE-2023-20569 を参照し、該当するレジストリ キー設定についてはこの記事を参照してください。
CVE-2022-0001 Intel: いいえ 既定では無効
詳細については CVE-2022-0001 を参照し、該当するレジストリ キー設定についてはこの記事を参照してください。

注

* 以下の Meltdown の軽減ガイダンスに従ってください。

これらの脆弱性に対して利用できるすべての保護機能を利用するには、レジストリ キーを変更し、既定で無効なこれらの軽減策を有効にする必要があります。

これらの緩和策を有効にすると、パフォーマンスが低下する可能性があります。 パフォーマンスへの影響度は、物理ホストの特定のチップセットや実行中のワークロードなど、複数の要因によって変わります。 実際の環境で発生するパフォーマンスの影響を評価し、必要に応じて調整することをおすすめします。

次のいずれかのカテゴリに該当する場合、サーバーの危険度は高くなります。

  • Hyper-V ホスト: VM 間および VM からホストへの攻撃から保護する必要があります。
  • リモート デスクトップ サービス ホスト (RDSH): セッション間またはセッションからホストへの攻撃から保護する必要があります。
  • コンテナーなどの信頼されていないコード、データベース用の信頼されていない拡張機能、外部ソースから提供されたコードを実行する信頼されていない Web コンテンツまたはワークロードなどを実行している物理ホストまたは仮想マシン。 この場合、信頼されていないプロセスから別のプロセスへの攻撃、または信頼されていないプロセスからカーネルへの攻撃から保護する必要があります。

次のレジストリ キー設定を使用してサーバー上の軽減策を有効にして、変更を有効にするためにデバイスを再起動します。

注

既定で無効な軽減策を有効にすると、パフォーマンスに影響する可能性があります。 実際のパフォーマンスへの影響は、デバイスの特定のチップセットや実行中のワークロードなど、複数の要因によって変わります。

レジストリ設定

セキュリティ アドバイザリ (ADV) および CVE に記載されているとおり、既定で有効ではない軽減策を有効にするために、次のレジストリ情報を提供しています。 さらに、Windows クライアントに該当する場合は軽減策を無効にしたいユーザー向けに、レジストリ キー設定も提供しています。

注

  • 大事な このセクション、メソッド、またはタスクには、レジストリを変更する方法を示す手順が含まれています。 ただし、レジストリを誤って変更すると、深刻な問題が発生することがあります。 レジストリを変更する際には十分に注意してください。 保護を強化するには、レジストリを変更する前にレジストリをバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリをバックアップおよび復元する方法の詳細については、以下のマイクロソフト サポート技術情報を参照してください。
  • KB322756 Windows でレジストリをバックアップおよび復元する方法

CVE-2017-5715 (Spectre Variant 2)、CVE-2017-5754 (Meltdown)、CVE-2022-21123、CVE-2022-21125、CVE-2022-21127、CVE-2022-21166 (MMIO) の軽減策を管理する

注

  • 大事な 既定では、Spectre、バリアント 2 の軽減策 (CVE-2017-5715) が有効になっている場合、Retpoline は次のように構成されます。
    • retpoline 軽減策は、Windows 10 Version 1809以降の Windows バージョンで有効になっています。
    • retpoline 軽減策は、Windows Server 2019 以降のWindows Server バージョンで無効になっています。
  • Retpoline の構成の詳細については、「 Windows での Retpoline を使用した Spectre バリアント 2 の軽減」を参照してください。
  • CVE-2017-5715 (Spectre Variant 2)、CVE-2017-5754 (Meltdown)、CVE-2022-21123、CVE-2022-21125、CVE-2022-21127、CVE-2022-21166 (MMIO) の軽減策を有効にするには
    reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f
    reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
    Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
    reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
    Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
    変更を有効にするために、デバイスを再起動します。
  • CVE-2017-5715 (Spectre Variant 2)、CVE-2017-5754 (Meltdown)、CVE-2022-21123、CVE-2022-21125、CVE-2022-21127、CVE-2022-21166 (MMIO) の軽減策を無効にするには
    reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
    reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
    変更を有効にするために、デバイスを再起動します。

注

"有効" と "無効" のどちらの設定でも、FeatureSettingsOverrideMask を 3 に設定することは正しいです。 (レジストリ キーの詳細については、「FAQ」セクションを参照してください。)

CVE-2017-5715 の軽減策を管理する (Spectre バリアント 2)
バリアント 2 を無効にするには: (CVE-2017-5715 |ブランチ ターゲット インジェクション) の軽減策:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 1 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
バリアント 2 を有効にするには: (CVE-2017-5715 |ブランチ ターゲット インジェクション) の軽減策:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
AMD プロセッサのみ: CVE-2017-5715 (Spectre Variant 2) の完全な軽減策を有効にする

AMD CPU では、既定で CVE-2017-5715 のユーザーとカーネル間の保護機能は無効です。 CVE-2017-5715 に対する追加の保護機能を利用するには、この緩和策を有効にする必要があります。  詳細については、ADV180002 の FAQ #15 を参照してください。

AMD プロセッサでユーザーからカーネルへの保護を有効にし、 CVE 2017-5715 の他の保護を有効にします。
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 64 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
変更を有効にするために、デバイスを再起動します。
CVE-2018-3639 (投機的ストア バイパス)、CVE-2017-5715 (スペクターバリアント 2)、CVE-2017-5754 (メルトダウン) の軽減策を管理する
CVE-2018-3639 (投機的ストア バイパス)、CVE-2017-5715 (スペクターバリアント 2)、CVE-2017-5754 (メルトダウン) の軽減策を有効にするには、
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
変更を有効にするために、デバイスを再起動します。
CVE-2018-3639 (投機的ストア バイパス) の軽減策と CVE-2017-5715 (スペクターバリアント 2) と CVE-2017-5754 (メルトダウン) の軽減策を無効にするには
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
AMD プロセッサのみ: CVE-2017-5715 (Spectre Variant 2) と CVE 2018-3639 (投機的ストア バイパス) の完全な軽減策を有効にする

AMD プロセッサでは、既定で CVE-2017-5715 のユーザーとカーネル間の保護機能は無効です。 CVE-2017-5715 に対する追加の保護機能を利用するには、この緩和策を有効にする必要があります。  詳細については、ADV180002 の FAQ #15 を参照してください。

AMD プロセッサでユーザーからカーネルへの保護を有効にし、 CVE 2017-5715 の他の保護と CVE-2018-3639 (投機的ストア バイパス) の保護を有効にします。
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
変更を有効にするために、デバイスを再起動します。
トランザクション非同期中止の脆弱性、マイクロアーキテクチャ データ サンプリング、スペクター、メルトダウン、MMIO、投機的ストア バイパス 無効化 (SSBD)、L1 ターミナル 障害 (L1TF) を管理する
Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort 脆弱性 (CVE-2019-11135) と Microarchitectural データ サンプリング ( CVE-2018-11091 ) の軽減策を有効にするには、 CVE-2018-12126 、 CVE-2018-12126 、 CVE-2019 8-12127 、 CVE-2018-12130 ) と Spectre [CVE-2017-5753 & CVE-2017-5715], Meltdown [CVE-2017-5754] バリアント, MMIO (CVE-2022-21123, CVE-2022-21125、 CVE-2022-21127、 および CVE-2022-21166) (投機的ストア バイパス無効化 (SSBD) [CVE-2018-3639 ] と L1 ターミナル フォールト (L1TF) [CVE-2018-3615、 CVE-2018-3620、 CVE-2018-3646] を含む。
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
変更を有効にするために、デバイスを再起動します。
Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort の脆弱性 (CVE-2019-11135) と Microarchitectural データ サンプリング ( CVE-2018-11091) の軽減策を有効にするには、 CVE-2018-12126 、 CVE-2018-12127 、 CVE-2018-12130) と Spectre [CVE-2017-5753 & CVE-2017-5715] および Meltdown [CVE-2017-5754] バリアント、 投機的ストア バイパス無効化 (SSBD) を含む [CVE-2018-3639]] および L1 ターミナル フォールト (L1TF) [CVE-2018-3615、 CVE-2018-3620、 CVE-2018-3646] と共に、Hyper-Threading が無効になっています。
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8264 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
これが Hyper-V ホストであり、ファームウェアの更新プログラムが適用されている場合:すべてのVirtual Machinesを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
変更を有効にするために、デバイスを再起動します。
Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort 脆弱性 (CVE-2019-11135) と Microarchitectural データ サンプリング ( CVE-2018-11091) の軽減策を無効にするには、 CVE-2018-12126 、 CVE-2018-12127 、 CVE-2018-12130) と Spectre [CVE-2017-5753 & CVE-2017-5715] および Meltdown [CVE-2017-5754] バリアント、 投機的ストア バイパス無効化 (SSBD) を含む [CVE-2018-3639]] と L1 ターミナル フォールト (L1TF) [CVE-2018-3615、 CVE-2018-3620、 CVE-2018-3646]:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
CVE-2022-23825 \|AMD CPU 分岐の種類の混乱 (ビットコイン)

AMD プロセッサで CVE-2022-23825 の軽減策を有効にするには、

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

完全に保護するには、ハイパースレッディング (同時マルチスレッド (SMT) とも呼ばれます) を無効にする必要がある場合もあります。 Windows デバイスの保護に関するガイダンスについては、「 KB4073757 」を参照してください。

CVE-2023-20569 \|AMD CPU リターン アドレス予測器

AMD プロセッサで CVE-2023-20569 の軽減策を有効にするには、

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

CVE-2022-0001 \|Intel Branch History Injection

Intel プロセッサで CVE-2022-0001 の軽減策を有効にするには、

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

複数の軽減策を有効にする

複数の軽減策を有効にするには、各軽減策の REG_DWORD 値をまとめて追加する必要があります。

次に例を示します。

トランザクションの非同期アボート脆弱性、マイクロアーキテクチャのデータサンプリング、スペクター、メルトダウン、MMIO、投機的ストアのバイパス無効化 (SSBD)、ハイパースレッディングを無効にした場合の L1 Terminal Fault(L1TF) に対する緩和策 reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8264 /f
注 8264 (10 進数) = 0x2048 (16 進数)
他の既存の設定と共に BHI を有効にするには、現在の値と 8,388,608 (0x800000) のビット単位の OR を使用する必要があります。
0x800000 と 0x2048 (10 進数では8264) の OR を取ると、8,396,872 (0x802048) になります。 FeatureSettingsOverrideMask と同じです。
Intel プロセッサで CVE-2022-0001 の軽減策 reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f
統合された軽減策 reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00802048 /f

保護が有効であることを確認する

保護が有効な状態であることを確認できるようにするために、デバイスで実行できる PowerShell スクリプトを公開しました。 次のいずれかの方法を使用して、スクリプトをインストールして実行します。

方法 1: PowerShell ギャラリー (Windows Server 2016 または WMF 5.0/5.1) を使用した PowerShell 検証
PowerShell モジュールをインストールします。
PS> Install-Module SpeculationControl
PowerShell モジュールを実行して、保護が有効になっていることを確認します。
PS> # Save the current execution policy so it can be reset
PS> $SaveExecutionPolicy = Get-ExecutionPolicy
PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser
PS> Import-Module SpeculationControl
PS> Get-SpeculationControlSettings
PS> # Reset the execution policy to the original state
PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser
方法 2: Technet からのダウンロード (以前のオペレーティング システムのバージョンと以前の WMF バージョン) を使用した PowerShell 検証
Technet ScriptCenter から PowerShell モジュールをインストールします。

  1. [https://aka.ms/SpeculationControlPS] に移動します。
  2. SpeculationControl.zip をローカル フォルダーにダウンロードします。
  3. ローカル フォルダーにコンテンツを展開します。 例: C:\ADV180002
保護が有効であることを確認する PowerShell モジュールを実行します。

PowerShell を起動し、上記の例を使用して、次のコマンドをコピーして実行します。

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

PowerShell スクリプトの出力の詳細については、「 KB4074629 」を参照してください。

よく寄せられる質問

2018 年 1 月と 2 月にリリースされた Windows セキュリティ更新プログラムは提供されませんでした。どうしたらいいでしょう。

お客様のデバイスに悪影響が及ぶことを防ぐために、すべてのお客様には 2018 年 1 月および 2 月にリリースされた Windows セキュリティ更新プログラムが提供されていません。 詳細については、「 KB407269 」を参照してください。

正しいバージョンの CPU マイクロコードがあるかどうかを確認するにはどうすればよいですか?

マイクロコードはファームウェアの更新プログラムを介して配布されます。 お使いのコンピューターに適した更新プログラムが含まれるファームウェアのバージョンについては、お使いの OEM にお問い合わせください。

軽減策のパフォーマンス効果は何ですか?

システムのバージョンから実行中のワークロードまで、パフォーマンスに影響を与える複数の変数があります。 一部のシステムでは、パフォーマンスの影響は小さくなります。 その他のシステムでは、パフォーマンスの影響は大きくなります。

お使いのシステムに対するパフォーマンスの影響を評価し、必要に応じて調整することをお勧めします。

サードパーティのホスト環境またはクラウドでWindows Serverを実行しています。どうしたらいいでしょう。

仮想マシンを実行しているホストが適切に保護されていることを確認するには、この資料の仮想マシンに関するガイダンスに加え、サービス プロバイダーに問い合わせる必要があります。

Azure で実行されている Windows Server の仮想マシンについては、Azure の投機的実行サイドチャネルの脆弱性を軽減するためのガイダンスを参照してください。 Azure Update Management を使用してゲスト VM でこの問題を軽減する方法については、「KB4077467」を参照してください。

コンテナー固有のWindows Serverガイドラインはありますか?

Windows Server 2016 および Windows Server 10 Version 1709 用 Windows Server コンテナー イメージ用にリリースされた更新プログラムには、これらの脆弱性の緩和策が含まれています。 この他に必要な構成はありません。

注 ただし、適切な軽減策を有効にするようにこれらのコンテナーが実行されているホストを構成する必要があります。

ソフトウェアとハードウェアの更新プログラムを特定の順序でインストールする必要がありますか?

いいえ。任意の順序でインストールできます。

再起動は複数回行われますか?

はい。ファームウェア (マイクロコード) の更新後と、さらにシステムの更新後に再起動する必要があります。

レジストリ キーの詳細を指定できますか?

レジストリ キーの詳細は次のとおりです。

FeatureSettingsOverride は、既定の設定を上書きし、無効にする緩和策を制御するビットマップを表します。 ビット 0 は、CVE-2017-5715 に対応する緩和策を制御します。 ビット 1 は 、CVE-2017-5754 に対応する軽減策を制御します。 軽減策を有効にするにはビットを 0 に、軽減策を無効にするには 1 に設定します。

FeatureSettingsOverrideMask は、FeatureSettingsOverride と併用されるビットマップ マスクを表します。 この場合、使用できる軽減策に対応する最初の 2 ビットを示す値 3 (2 進法または 2 を底とする記数法では 11 と表されます) を使用します。 緩和策を有効にする場合と無効にする場合のどちらでも、このレジストリ キーは 3 に設定します。

MinVmVersionForCpuBasedMitigations は Hyper-V ホスト用です。 このレジストリ キーは、更新されたファームウェア機能 (CVE-2017-5715) を使用するために必要な最小 VM バージョンを定義します。 すべての VM バージョンを対象にするために 1.0 に設定します。 Hyper-V ホスト以外では、このレジストリ値は無視されます (無害です)。 詳細については、「 CVE-2017-5715 (ブランチ ターゲット インジェクション)からのゲスト仮想マシンの保護」を参照してください。

更新プログラムをインストールする前にレジストリ キーを設定してから、更新プログラムをインストールして再起動して変更を有効にすることはできますか?

はい。レジストリ設定を適用してから、2018 年 1 月の関連する修正プログラムをインストールしても、悪影響はありません。

PowerShell 検証スクリプトの出力の詳細を指定できますか?

スクリプト出力の詳細については、「 KB4074629: SpeculationControl PowerShell スクリプト出力について 」を参照してください。

ファームウェア (マイクロコード) の更新プログラムがまだ OEM から入手できない場合、Hyper-V ホストを保護する方法はありますか?

はい。ファームウェアの更新プログラムがまだリリースされていない Windows Server 2016 Hyper-V ホスト向けに、VM 間または VM からホストへの攻撃を緩和できる代替のガイダンスを公開しています。 詳細については、「投機的実行のサイドチャネルの脆弱性から Windows Server 2016 Hyper-V ホストを保護するための代替手段」を参照してください。

セキュリティのみのブランチにいる場合、これらの脆弱性から保護するためにインストールする必要があるセキュリティのみの更新プログラムは何ですか?

セキュリティのみの更新プログラムは累積的ではありません。 オペレーティング システムのバージョンによっては、完全な保護のために複数のセキュリティ更新プログラムをインストールする必要があります。 通常、2018 年 1 月、2 月、3 月、および 4 月の更新プログラムをインストールする必要があります。 AMD プロセッサが搭載されているシステムの場合、次の表に示す追加の更新プログラムが必要です。

オペレーティング システムのバージョン セキュリティ更新プログラム
Windows 8.1、Windows Server 2012 R2 KB4338815 - 月次ロールアップ
KB4338824- セキュリティのみ
Windows 7 SP1、Windows Server 2008 R2 SP1、または Windows Server 2008 R2 SP1 (Server Core インストール) KB4284826 - 月次ロールアップ
KB4284867 - セキュリティのみ
Windows Server 2008 SP2 KB4340583 - セキュリティ更新プログラム

これらのセキュリティのみの更新プログラムは、リリース順にインストールすることをお勧めします。

注

この FAQ の以前のバージョンでは、2 月のセキュリティのみの更新プログラムには 1 月にリリースされたセキュリティ修正プログラムが含まれている、と誤って記載されていました。 実際は含まれていません。

該当するセキュリティ更新プログラムのいずれかを適用した場合、セキュリティ更新プログラムが行ったのと同じ方法で CVE-2017-5715 の保護 KB4078130が無効になりますか?

いいえ。 セキュリティ更新プログラム のKB4078130 は、マイクロコードのインストール後に予期しないシステムの動作、パフォーマンスの問題、予期しない再起動を防ぐための特定の修正プログラムでした。 Windows クライアント オペレーティング システムにセキュリティ更新プログラムを適用すると、3 つの軽減策がすべて有効になります。 Windows Server オペレーティング システムでは、適切なテストの実行後に緩和策を有効にする必要があります。 詳細については、「 KB4072698」を参照してください。

既知の問題: 一部のユーザーは、2018 年 3 月 13 日のセキュリティ更新プログラム (KB 4088875) をインストールした後に、ネットワーク接続の問題が発生したり、IP アドレス設定が失われる可能性があります

この問題は 、KB4093118で解決されました。

Intel は、一部の古いプロセッサでマイクロコードに関連する再起動の問題を特定しました。どうしたらいいでしょう。

2018 年 2 月、Intel は検証を完了し、新しい CPU プラットフォーム用のマイクロコードのリリースを開始したと 発表 しました。 Microsoft では、Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715) に関連する Intel 検証済みのマイクロコード更新プログラムを提供しています。 |ブランチ ターゲット インジェクション)。  KB4093836は、Windows のバージョン別に特定のサポート情報記事を一覧表示します。 また、各サポート技術情報には、リリースされている Intel 製マイクロコードの更新プログラムが CPU 別に記載されています。

2018 年 1 月 11 日、Intel は、Spectre バリアント 2 (CVE-2017-5715) に対処することを目的とした最近リリースされたマイクロコードの問題を報告しました。ブランチ ターゲット インジェクション)。 具体的には、Intel は、このマイクロコードが "予想を超える再起動やその他の予期しないシステム動作" を引き起こす可能性があり、これらのシナリオが "データ損失または破損" を引き起こす可能性があることを説明しました。 私たちの経験は、システムの不安定さが状況によってはデータの損失や破損を引き起こす可能性があるということです。 1 月 23 日、Intel はお客様に対して、影響を受けるプロセッサに現行のマイクロコード バージョンを展開しないことを勧めました。一方、Intel は更新された解決策の追加テストを実行しています。 マイクロソフトでは、Intel が現行のマイクロコード バージョンの影響を引き続き調査していることを把握しています。 決定事項を知らせるガイダンスを常に確認することをお客様にお勧めします。

Intel は新しいマイクロコードをテスト、更新、デプロイしますが、特に CVE-2017-5715 に対する軽減策のみを無効にするアウトオブバンド (OOB) 更新プログラム ( KB4078130) を提供しています。 マイクロソフトのテストでは、この更新プログラムによって、説明されている動作が回避されることがわかっています。 デバイスの完全な一覧については、Intel の マイクロコード リビジョン ガイダンス を参照してください。 この更新プログラムは、 Windows 7 Service Pack 1 (SP1)、Windows 8.1、および Windows 10 のすべてのバージョンのクライアントとサーバーに対応しています。 影響を受けるデバイスを実行している場合は、 Microsoft Update Catalog Web サイトからダウンロードすることで、この更新プログラムを適用できます。 このペイロードを適用すると、CVE-2017-5715 の脆弱性 に対する緩和策のみが無効になります。

現時点では、この Spectre Variant 2 (CVE-2017-5715 |ブランチ ターゲット インジェクション) は、顧客を攻撃するために使用されています。 お使いのデバイスについてこの予期しないシステム動作が解決したと Intel から報告された場合は、必要に応じて CVE-2017-5715 に対する緩和策を再び有効にすることを Windows をお使いのお客様にお勧めします。

Intel がマイクロコードの更新プログラムをリリースしたと聞いたことがあります。どこで見つけることができますか?

2018 年 2 月、Intel は検証を完了し、新しい CPU プラットフォーム用のマイクロコードのリリースを開始したと 発表 しました。 Microsoft では、Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715) に関連する Intel 検証済みのマイクロコード更新プログラムを提供しています 。ブランチ ターゲット インジェクション)。 KB4093836は、Windows のバージョン別に特定のサポート情報記事を一覧表示します。 また、サポート技術情報一覧には、リリースされている Intel 製マイクロコードの更新プログラムが CPU 別に記載されています。

詳細については、「AMD セキュリティ Updates」および「AMD ホワイト ペーパー: 間接ブランチ制御に関するアーキテクチャ ガイドライン」を参照してください。 これらは OEM ファームウェア チャネルから入手できます。

2018 年 4 月の更新プログラム (バージョン 1803) Windows 10実行しています。デバイスで Intel マイクロコードを使用できますか?どこで見つけることができますか?

Spectre Variant 2 (CVE-2017-5715) に関連する Intel 検証済みのマイクロコード更新プログラムを提供しています 。ブランチ ターゲット インジェクション)。 Windows Update から最新の Intel 製マイクロコードの更新プログラムを入手するには、Windows 10 2018 年 4 月更新プログラム (バージョン 1803) にアップグレードする前に、Windows 10 オペレーティング システムを実行しているデバイスに Intel 製マイクロコードをインストールしておく必要があります。

システムのアップグレード前にデバイスにインストールされていなかった場合は、マイクロコードの更新プログラムを Microsoft Update カタログから直接入手することもできます。 Intel 製マイクロコードは、Windows Update、Windows Server Update Services (WSUS)、または Microsoft Update カタログを介して入手できます。 詳細とダウンロード手順については、「 KB4100347」を参照してください。

新しい投機的実行サイド チャネルの脆弱性 (投機的ストア バイパス - CVE-2018-3639 と不正なシステム レジスタの読み取り - CVE-2018-3640) に関する情報はどこで確認できますか?

詳細については、次のリソースを参照してください。

Intel プロセッサでの投機的ストア バイパス無効化 (SSBD) の Windows サポートの詳細はどこで確認できますか?

ADV180012 の「推奨されるアクション」および「FAQ」セクションを参照してください 。 |投機的ストア バイパスの Microsoft ガイダンス。

SSBD が有効か無効かを判断操作方法

SSBD の状態を確認するために、 Get-SpeculationControlSettings PowerShell スクリプトが更新され、影響を受けるプロセッサ、SSBD オペレーティング システムの更新プログラムの状態、プロセッサ マイクロコードの状態 (該当する場合) が検出されました。 PowerShell スクリプトの詳細と入手については、KB4074629 を参照してください。

"遅延 FP 状態の復元" (CVE-2018-3665) について聞いたことがあります。Microsoft はそれに対する軽減策をリリースしますか?

2018 年 6 月 13 日に、サイド チャネルの投機的実行を伴う追加の脆弱性 ( Lazy FP State Restore) が発表され、 CVE-2018-3665 が割り当てられます。 この脆弱性と推奨されるアクションの詳細については、「セキュリティ アドバイザリ ADV180016 |遅延 FP 状態の復元に関する Microsoft ガイダンス 。

注: Lazy Restore FP Restore に必要な構成 (レジストリ) 設定はありません。

CVE-2018-3693 (境界チェック バイパス ストア) は Spectre に関連していると聞いたことがあります。Microsoft はそれに対する軽減策をリリースしますか?

境界チェック バイパス ストア (BCBS) は、2018 年 7 月 10 日に公開され、 CVE-2018-3693 が割り当てられます。 マイクロソフトでは、BCBS は Bounds Check Bypass (バリアント 1) と同じ脆弱性クラスに属すると考えています。 マイクロソフトのソフトウェアにおける BCBS インスタンスは現在認識されていません。 しかし、マイクロソフトはこの脆弱性クラスを引き続き調査しており、必要に応じて業界のパートナーと協力して緩和策をリリースします。 BCBS の悪用可能なインスタンスを含め、Microsoft 投機的実行サイド チャネルの報奨金プログラムに関連する結果を提出することをお勧めします。 ソフトウェア開発者は、投機的実行サイド チャネルの C++ 開発者ガイダンスで BCBS 用に更新された開発者ガイダンスを確認する必要があります

L1ターミナルフォールト(L1TF)が公開されたと聞いたことがあります。その詳細と Windows サポートについては、どこで確認できますか?

2018 年 8 月 15 日、L1 Terminal Fault (L1TF) が発表され、複数の CVE が割り当てられました。 これらの投機的実行のサイドチャネルの脆弱性が悪用されると、信頼される境界全体のメモリの内容を読み取られる可能性があり、悪用された場合、情報漏えいにつながる可能性があります。 構成されている環境によっては、攻撃者がこれらの脆弱性をトリガーすることができるベクトルが複数存在します。 L1TF は Intel® Core® プロセッサと Intel® Xeon® プロセッサに影響を及ぼします。

この脆弱性の緩和に対するマイクロソフトのアプローチを含む、L1TF と影響を受けるシナリオの詳細ビューに関する詳細については、次のリソースを参照してください。

デバイス操作方法 L1TF の Hyper-Threading を無効にしますか?

ハイパースレッディングを無効にする手順は OEM ごとに異なりますが、通常は BIOS またはファームウェアのセットアップ ツールと構成ツールの一部です。

CVE-2017-5715 を軽減する ARM64 ファームウェアはどこで入手できますか?\|ブランチターゲットインジェクション(スペクターバリアント2)?

64 ビット ARM プロセッサを使用するお客様は、 CVE-2017-5715 を軽減する ARM64 オペレーティング システムの保護のため、デバイス OEM にファームウェアのサポートを求める必要があります。 |ブランチ ターゲット インジェクション (Spectre、バリアント 2) では、デバイス OEM からの最新のファームウェア更新プログラムを有効にする必要があります。

マイクロアーキテクチャ データ サンプリングに関する Intel の開示に関する情報はどこで確認できますか (CVE-2018-11091、CVE-2018-12126、CVE-2018-12127、CVE-2018-12130)

詳細については、次のセキュリティ アドバイザリを参照してください。

Microarchitectural Data Sampling の脆弱性を軽減するために必要なアクションを判断するためのシナリオ ベースのガイダンスはどこで確認できますか?

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

デバイス操作方法 MDS の Hyper-Threading を無効にしますか?

「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

Azureのガイダンスはどこで確認できますか?

Azureガイダンスについては、Azureでの投機的実行サイドチャネルの脆弱性を軽減するためのガイダンスに関する記事を参照してください。

Windows 10 Version 1809の Retpoline 有効化の詳細については、どこで確認できますか?

Retpoline の有効化の詳細については、ブログ投稿「 Windows 上の Retpoline を使用した Spectre バリアント 2 の軽減 」を参照してください。

スペクターバリアント1投機的実行側チャネルの脆弱性のバリエーションがあると聞いたことがあります。詳細はどこで確認できますか?

この脆弱性の詳細については、Microsoft セキュリティ ガイド CVE-2019-1125 を参照してください。 |Windows カーネル情報漏えいの脆弱性。

CVE-2019-1125 \|Windows カーネル情報漏えいの脆弱性が Microsoft のクラウド サービスに影響しますか?

この情報漏えいの脆弱性が Microsoft のクラウド サービス インフラストラクチャに影響を与えている事例は把握していません。

CVE-2019-1125 \| の更新プログラムの場合Windows カーネル情報漏えいの脆弱性は 2019 年 7 月 9 日にリリースされましたが、2019 年 8 月 6 日に詳細が公開されたのはなぜですか?

マイクロソフトではこの問題を認識してすぐに、問題を迅速に解決して更新プログラムをリリースすることに取り組みました。 マイクロソフトは、お客様をより確実に保護するために、調査会社と業界パートナー双方との密接なパートナーシップを固く信頼しており、脆弱性の開示方法の取り決めに従って 8 月 7 日水曜日まで詳細を公表していませんでした。

Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort の脆弱性 (CVE-2019-11135) を軽減するために必要なアクションを判断するためのシナリオベースのガイダンスはどこで確認できますか?

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

デバイスで Intel Transaction Synchronization Extensions (Intel TSX) トランザクション非同期中止の脆弱性 (CVE-2019-11135) の Hyper-Threading を無効にする必要がありますか?

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

Intel トランザクション同期拡張機能 (Intel TSX) 機能を無効にする方法はありますか?

その他のガイダンスについては、「 Intel トランザクション同期拡張機能 (Intel TSX) 機能を無効にするためのガイダンス」を参照してください。

関連情報

サード パーティの情報に関する免責事項

この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。

Microsoft は、ユーザーがテクニカル サポートを見つけるため、サード パーティの連絡先を提供しています。 将来予告なしに変更されることがあります。 Microsoft は、サード パーティの連絡先情報の正確性を保証していません。