KB4073119: シリコン ベースのマイクロアーキテクチャおよび投機的実行サイドチャネルの脆弱性から保護するための IT 担当者向けの Windows クライアント ガイダンス

適用先
Windows Server 2012 Windows Server 2012 R2 Windows 10 Windows 10 Education, version 1607 Windows 10 Professional version 1607 Windows 10 Enterprise, version 1607 Windows 10 Enterprise version 1607 Windows 10 Enterprise, version 1809 Windows 10 Professional Education version 1607 Windows 10 Pro Education, version 1607 Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows 10 Home and Pro, version 21H2 Windows 10 Enterprise and Education, version 21H2 Windows 10 IoT Enterprise, version 21H2 Windows 10 Home and Pro, version 22H2 Windows 10 Enterprise Multi-Session, version 22H2 Windows 10 Enterprise and Education, version 22H2 Windows 10 IoT Enterprise, version 22H2 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Azure Local, version 22H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 DO_NOT_USE_Windows 11 IoT Enterprise, version 23H2

変更ログ
日付の変更 説明の変更
2023 年 7 月 19 日
  • "Windows クライアントの軽減策設定" セクションの MMIO 情報を修正しました
2023 年 8 月 8 日
  • CVE 番号が使用されていないため、CVE-2022-23816 に関するコンテンツを削除しました
2023 年 8 月 9 日
  • "脆弱性" セクションに "Branch Type Confusion" が追加されました
  • "CVE-2022-23825 | AMD CPU Branch Type Confusion (BTC)" レジストリ セクションを更新しました
  • "CVE-2023-20569 | AMD CPU Return Address Predictor" を "概要" セクションに追加しました
  • "CVE-2023-20569 | AMD CPU Return Address Predictor" レジストリ セクションを追加しました
2024 年 4 月 9 日
  • CVE-2022-0001 を追加しました | Intel Branch History Injection
2024 年 4 月 16 日
  • 「複数の軽減策を有効にする」 セクションを追加しました

概要

この記事では、多くの最新のプロセッサとオペレーティング システムに影響を与えるシリコン ベースのマイクロアーキテクチャおよび投機的実行サイド チャネルの脆弱性の新しいクラスに関するガイダンスを提供します。 これには、Intel、AMD、ARM が含まれます。 これらのシリコンベースの脆弱性の具体的な詳細は、次の ADV (セキュリティ アドバイザリ) および CVE (共通脆弱性および露出) で確認できます。

重要

この問題は、Android、Chrome、iOS、macOS などの他のオペレーティング システムにも影響があります。 そのため、各ベンダーのガイダンスを参照することをお勧めします。

マイクロソフトでは、すでにこれらの脆弱性を軽減するのに役立つ更新プログラムをいくつかリリースしています。 また、マイクロソフトのクラウド サービスをセキュリティで保護するための措置も講じました。 詳細については、以下のセクションを参照してください。

マイクロソフトでは、これらの脆弱性がお客様への攻撃に使用されたことを示す情報をまだ受け取っていません。 マイクロソフトは、チップ メーカー、ハードウェア OEM、アプリケーション ベンダーなどの業界パートナーと引き続き緊密に協力し、お客様の保護に努めてまいります。 利用できるすべての保護を受けるには、ファームウェア (マイクロコード) とソフトウェアの更新プログラムが必要です。 これには、デバイス OEM のマイクロコードや、場合によっては、ウイルス対策ソフトウェア用の更新プログラムが含まれます。

この資料は次の脆弱性を解決します。

Windows Update では、Internet Explorer と Edge の緩和策も提供される予定です。 このクラスの脆弱性に対してこれらの緩和策を今後も改善を続ける予定です。

このクラスの脆弱性に関する詳細については、次を参照してください。

脆弱性

マイクロアーキテクチャ データ サンプリングの脆弱性

2019 年 5 月 15 日、Intel はマイクロアーキテクチャ データ サンプリング (Microarchitectural Data Sampling) と呼ばれる投機的実行サイド チャネルの脆弱性の新しいサブクラスに関する情報を公開しました。 これらの脆弱性は、次の CVE で対処されます。

重要

これらの問題は、Android、Chrome、iOS、macOS など、他のオペレーティング システムにも影響します。 これらの各ベンダーからのガイダンスを求めることをお勧めします。

マイクロソフトは、これらの脆弱性を緩和するために役立つ更新プログラムをリリースしました。 利用できるすべての保護を受けるには、ファームウェア (マイクロコード) とソフトウェアの更新プログラムが必要です。 これには、デバイス OEM のマイクロコードが含まれる場合があります。 場合によっては、これらの更新プログラムをインストールするとパフォーマンスが低下します。 また、マイクロソフトのクラウド サービスをセキュリティで保護する措置も講じました。 これらの更新プログラムを展開することを強くお勧めします。

この問題の詳細については、次のセキュリティ アドバイザリや使用シナリオベースのガイダンスを参照して、脅威を緩和するために必要な操作を判断してください。

注

マイクロコードの更新プログラムをインストールする前に、Windows Update から最新の更新プログラムをすべてインストールすることをお勧めします。

Spectre バリアント 1 の脆弱性

2019 年 8 月 7 日、Intel は Windows カーネルの情報漏えいの脆弱性について詳細情報をリリースしました。 この脆弱性は、Spectre Variant 1 投機的実行サイドチャネルの脆弱性の一種であり、 CVE-2019-1125 が割り当てられます。

2019 年 7 月 10 日、この問題を緩和するために Windows オペレーティング システムのセキュリティ更新プログラムをリリースしました。 業界で調整された開示日である 2019 年 8 月 7 日水曜日まで、この緩和策に関する文書の公開は保留されていたことにご留意ください。

Windows Update を有効にし、2019 年 7 月 10 日にリリースされたセキュリティ更新プログラムを適用したお客様は自動的に保護されています。 さらに必要な構成はありません。

注

この脆弱性は、お使いのデバイス製造元 OEM からリリースされるマイクロコードの更新プログラムを必要としません。

この脆弱性と適用可能な更新プログラムの詳細については、マイクロソフト セキュリティ更新プログラム ガイドを参照してください。

トランザクション非同期中止の脆弱性

2019 年 11 月 12 日、Intel は 、CVE-2019-11135 が割り当てられている Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort の脆弱性に関するテクニカル アドバイザリを公開しました。 マイクロソフトは、この脆弱性を緩和するために役立つ更新プログラムをリリースしました。 Windows クライアント OS エディションでは、OS の保護機能は既定で有効です。

MMIO 古いデータ サンプリングの脆弱性

2022 年 6 月 14 日、ADV220002 | Intel Processor MMIO の古くなったデータの脆弱性に関するマイクロソフト ガイダンスを公開しました。 これらの脆弱性は、次の CVE に割り当てられます。

推奨されるアクション

これらの脆弱性から保護するために、次の操作を実行することをお勧めします。

  1. マンスリー Windows セキュリティ更新プログラムなど、利用できるすべての Windows オペレーティング システムの更新プログラムを適用します。
  2. デバイスの製造元からリリースされている適用可能なファームウェア (マイクロコード) の更新プログラムを適用します。
  3. この記事で提供されている情報に加えて、Microsoft セキュリティ アドバイザリ ADV180002、 ADV180012、ADV190013、 ADV220002で提供される情報に基づいて 、 環境に対するリスクを評価します。
  4. この記事に記載されているアドバイザリとレジストリ キーの情報を参照し、必要に応じて対処してください。

注

Surface をご利用の場合は、Windows Update を介してマイクロコードの更新プログラムが提供されます。 利用可能な最新の Surface デバイス ファームウェア (マイクロコード) 更新プログラムの一覧については、「 KB4073065」を参照してください。

分岐の種類の混同

2022 年 7 月 12 日に CVE-2022-23825 を公開しました |分岐 予測器のエイリアスによって、特定の AMD プロセッサが間違った分岐の種類を予測する可能性があることを示す AMD CPU 分岐の種類の混乱。 この問題は、情報漏えいにつながる可能性があります。

この脆弱性から保護するために、2022 年 7 月以降にリリースされた Windows 更新プログラムをインストールし、CVE-2022-23825 およびこのサポート情報記事で提供されているレジストリ キー情報の必要に応じてアクションを実行することをお勧めします。

詳細については、 AMD-SB-1037 のセキュリティ情報を参照してください。

戻り値の住所予測子

2023 年 8 月 8 日に CVE-2023-20569 を公開しました |攻撃者 が制御するアドレスで投機的実行を行う可能性がある新しい投機的側チャネル攻撃を記述する AMD CPU リターン アドレス予測器 (インセプションとも呼ばれます)。 この問題は特定の AMD プロセッサに影響し、情報漏えいにつながる可能性があります。

この脆弱性から保護するために、2023 年 8 月以降にリリースされた Windows 更新プログラムをインストールし、CVE-2023-20569 およびこのサポート情報記事で提供されているレジストリ キー情報の必要に応じて対処することをお勧めします。

詳細については、 AMD-SB-7005 セキュリティ情報を参照してください。

ブランチ履歴の挿入

2024 年 4 月 9 日に CVE-2022-0001 を発行しました |Intel Branch History Injection 。これは、モード内 BTI の特定の形式であるブランチ履歴インジェクション (BHI) を記述します。 この脆弱性は、攻撃者がユーザー モードから保護モード (または VMX 非ルート/ゲスト モードからルート モード) に移行する前にブランチ履歴を操作する可能性がある場合に発生します。 この操作により、間接分岐予測子が間接分岐の特定の予測子エントリを選択する可能性があり、予測されたターゲットの開示ガジェットが一時的に実行されます。 これは、関連する分岐履歴に、以前のセキュリティ コンテキスト、特に他のプレディクター モードで行われた分岐が含まれている可能性があるため、可能である場合があります。

Windows クライアントの緩和策の設定

セキュリティ アドバイザリ (ADV) と CVE  は、これらの脆弱性によるリスクに関する情報と、Windows クライアント システムの既定の軽減策の状態を特定するのに役立つ情報を提供します。 次の表は、CPU マイクロコードの要件と、Windows クライアントに対する緩和策の既定の状態をまとめたものです。

CVE CPU マイクロコード/ファームウェアが必要? 緩和策の既定の状態
CVE-2017-5753 X 既定で有効 (無効にするオプションはありません)
詳細については、ADV180002 を参照してください。。
CVE-2017-5715 はい 既定で有効。 AMD プロセッサに基づくシステムのユーザーには FAQ #15 が表示され、ARM プロセッサのユーザーには、追加のアクションと、該当するレジストリ キー設定に関するこの KB 記事の ADV180002 に関する FAQ #20 が表示されます。
メモ既定では、Spectre Variant 2 (CVE-2017-5715) が有効になっている場合、Windows 10 Version 1809 以降を実行しているデバイスに対して Retpoline が有効になります。 Retpoline の詳細については、「 Windows での Retpoline を使用したスペクターバリアント 2 の軽減 」のガイダンスに従ってください。
CVE-2017-5754 いいえ 既定で有効
詳細については、ADV180002 を参照してください。。
CVE-2018-3639 Intel: はい
AMD: いいえ
ARM: はい		 Intel と AMD: 既定では無効になっています。 詳細については ADV180012 を参照してください。また、適用できるレジストリー キー設定については、このサポート技術情報を参照してください。
ARM: 既定で有効になっています (無効にするオプションはありません)。
CVE-2019-11091 Intel: はい 既定で有効。
詳細については 、「ADV190013 」を参照し、該当するレジストリ キーの設定については、この記事を参照してください。
CVE-2018-12126 Intel: はい 既定で有効。
詳細については 、「ADV190013 」を参照し、該当するレジストリ キーの設定については、この記事を参照してください。
CVE-2018-12127 Intel: はい 既定で有効。
詳細については 、「ADV190013 」を参照し、該当するレジストリ キーの設定については、この記事を参照してください。
CVE-2018-12130 Intel: はい 既定で有効。
詳細については 、「ADV190013 」を参照し、該当するレジストリ キーの設定については、この記事を参照してください。
CVE-2019-11135 Intel: はい 既定で有効。
詳細については CVE-2019-11135 を参照し、該当するレジストリ キー設定についてはこの記事を参照してください。
CVE-2022-21123 (MMIO ADV220002の一部) Intel: はい Windows 10 Version 1809 以降: 既定で有効になっています。
Windows 10 Version1607 以前: 既定で無効になっています。*
詳細については CVE-2022-21123 を参照し、該当するレジストリ キー設定についてはこの記事を参照してください。
CVE-2022-21125 (MMIO ADV220002の一部) Intel: はい Windows 10 Version 1809 以降: 既定で有効になっています。
Windows 10 Version1607 以前: 既定で無効になっています。*
詳細については、「 CVE-2022-21125 」を参照してください。
CVE-2022-21127 (MMIO ADV220002の一部) Intel: はい Windows 10 Version 1809 以降: 既定で有効になっています。
Windows 10 Version1607 以前: 既定で無効になっています。*
詳細については、「 CVE-2022-21127 」を参照してください。
CVE-2022-21166 (MMIO ADV220002の一部) Intel: はい Windows 10 Version 1809 以降: 既定で有効になっています。
Windows 10 Version1607 以前: 既定で無効になっています。*
詳細については、「 CVE-2022-21166 」を参照してください。
CVE-2022-23825 (AMD CPU 分岐タイプの混乱) AMD: いいえ 詳細については CVE-2022-23825 を参照し、該当するレジストリ キー設定についてはこの記事を参照してください。
CVE-2023-20569
(AMD CPU リターン アドレス予測器)		 AMD: はい 詳細については CVE-2023-20569 を参照し、該当するレジストリ キー設定についてはこの記事を参照してください。
CVE-2022-0001 Intel: いいえ 既定で無効。
詳細については CVE-2022-0001 を参照し、該当するレジストリ キー設定についてはこの記事を参照してください。

注

既定で無効な軽減策を有効にすると、デバイスのパフォーマンスに影響する可能性があります。 実際のパフォーマンスへの影響は、デバイスの特定のチップセットや実行中のワークロードなど、複数の要因によって変わります。

レジストリ設定

セキュリティ アドバイザリ (ADV) および CVE に記載されているとおり、既定で有効ではない軽減策を有効にするために、次のレジストリ情報を提供します。 さらに、Windows クライアントに該当する場合は軽減策を無効にしたいユーザー向けに、レジストリ キー設定も提供しています。

重要

このセクション、方法、またはタスクには、レジストリの編集方法が記載されています。 レジストリを誤って変更すると、深刻な問題が発生することがあります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリをバックアップおよび復元する方法の詳細については、以下のマイクロソフト サポート技術情報を参照してください。

322756 Windows でレジストリをバックアップおよび復元する方法

CVE-2017-5715 (Spectre Variant 2) と CVE-2017-5754 (Meltdown) の軽減策を管理する

重要

既定では、Spectre、Variant 2 (CVE-2017-5715) が有効になっている場合、Windows 10 Version 1809 デバイスで Retpoline が有効になります。 Windows 10 の最新バージョンで Retpoline を有効にすると、特に古いプロセッサ上でスペクター バリアント 2 対応の Windows 10 バージョン 1809 を実行しているデバイスのパフォーマンスが向上する可能性があります。

CVE-2017-5715 (スペクター バリアント 2) と CVE-2017-5754 (メルトダウン) の既定の緩和策を有効にするには
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
CVE-2017-5715 (スペクター バリアント 2) と CVE-2017-5754 (メルトダウン) の緩和策を無効にするには
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。

注

3 の値は、"有効" と "無効" のどちらの設定の FeatureSettingsOverrideMask にも正しいです。 (レジストリ キーの詳細については、「FAQ」セクションを参照してください)。

CVE-2017-5715 の軽減策を管理する (Spectre バリアント 2)
**CVE-2017-5715 (Spectre Variant 2) の軽減策を無効にするには :
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 1 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
CVE-2017-5715 (スペクター バリアント 2) と CVE-2017-5754 (メルトダウン) の既定の緩和策を有効にするには:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
AMD および ARM プロセッサのみ: CVE-2017-5715 の完全な軽減策を有効にする (Spectre Variant 2)

既定では、 CVE-2017-5715 のユーザーからカーネルへの保護は、AMD および ARM CPU では無効になっています。 CVE-2017-5715 の追加の保護を受け取るために、軽減策を有効にする必要があります。 詳細については、AMD プロセッサの場合は ADV180002 の FAQ #15 を、ARM プロセッサの場合は ADV180002 の FAQ #20 を参照してください。

AMD および ARM プロセッサ上で CVE 2017-5715 の他の保護機能と共にユーザーとカーネル間の保護機能を有効にする:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 64 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
CVE-2018-3639 (投機的ストア バイパス)、CVE-2017-5715 (スペクターバリアント 2)、CVE-2017-5754 (メルトダウン) の軽減策を管理する
CVE-2018-3639 (投機的ストア バイパス) の緩和策と、CVE-2017-5715 (スペクター バリアント 2) および CVE-2017-5754 (メルトダウン) の既定の緩和策を有効にするには:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
メモ： AMD プロセッサは CVE-2017-5754 (Meltdown) に対して脆弱ではありません。 AMD プロセッサを搭載したシステムでは、AMD プロセッサ用の既定の CVE-2017-5715 の緩和策と CVE-2018-3639 の緩和策を有効にするためにこのレジストリ キーが使用されています。
CVE-2018-3639 (投機的ストア バイパス) の緩和策と、CVE-2017-5715 (スペクター バリアント 2) および CVE-2017-5754 (メルトダウン) の緩和策の両方を無効にするには:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
AMD プロセッサのみ: CVE-2017-5715 (Spectre Variant 2) と CVE 2018-3639 (投機的ストア バイパス) の完全な軽減策を有効にする

既定では、AMD プロセッサでは CVE-2017-5715 のユーザーからカーネルへの保護が無効になっています。 お客様は、 CVE-2017-5715 の追加の保護を受けるために軽減策を有効にする必要があります。  詳細については、ADV180002 の FAQ #15 を参照してください。

AMD プロセッサ上で CVE 2017-5715 に対する他の保護機能と CVE-2018-3639 (投機的ストア バイパス) に対する保護機能と共にユーザーとカーネル間の保護機能を有効にする:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
トランザクションの非同期中止の脆弱性、マイクロアーキテクチャ データ サンプリング、スペクター、メルトダウン、投機的ストア バイパス無効化 (SSBD)、L1 ターミナル 障害 (L1TF) を管理する
Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort vulnerability (CVE-2019-11135) と Microarchitectural データ サンプリング ( CVE-2019-11091 、CVE-2018-12126、CVE-2018-12127、CVE-2018-12130) と共に軽減策を有効にするにはtre (CVE-2017-5753 & CVE-2017-5715) およびメルトダウン (CVE-2017-5754) バリアント (投機的ストア バイパス 無効化 (SSBD) (CVE-2018-3639) および L1 ターミナル障害 (L1TF) (CVE-2018-3615、 CVE-2018-3620 および CVE-2018-3646)Hyper-Threading を無効にせずに:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
変更を有効にするために、デバイスを再起動します。
Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort vulnerability (CVE-2019-11135) と Microarchitectural データ サンプリング ( CVE-2019-11091 、CVE-2018-12126、CVE-2018-12127、CVE-2018-12130) と共に軽減策を有効にするにはtre (CVE-2017-5753 & CVE-2017-5715) およびメルトダウン (CVE-2017-5754) バリアント (投機的ストア バイパス 無効化 (SSBD) (CVE-2018-3639) および L1 ターミナル障害 (L1TF) (CVE-2018-3615、 CVE-2018-3620 および CVE-2018-3646)Hyper-Threading が無効になっている場合:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8264 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。
変更を有効にするために、デバイスを再起動します。
Intel® Transaction Synchronization Extensions (Intel® TSX) Transaction Async Abort vulnerability (CVE-2019-11135) と Microarchitectural Data Sampling ( CVE-2019-11091 、 CVE-2018-12126、CVE-2018-12127、CVE-2018-12130) と共に軽減策を無効にするにはtre (CVE-2017-5753 & CVE-2017-5715) およびメルトダウン (CVE-2017-5754) バリアント (投機的ストア バイパス 無効化 (SSBD) (CVE-2018-3639) および L1 ターミナル 障害 (L1TF) (CVE-2018-3615、 CVE-2018-3620、CVE-2018-3646):
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
変更を有効にするために、デバイスを再起動します。
CVE-2022-23825 \|AMD CPU 分岐の種類の混乱 (ビットコイン)

AMD プロセッサで CVE-2022-23825 の軽減策を有効にするには:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

完全に保護するには、ハイパースレッディング (同時マルチスレッド (SMT) とも呼ばれます) を無効にする必要がある場合もあります。 Windows デバイスの保護に関するガイダンスについては、「 KB4073757 」を参照してください。

CVE-2023-20569 \|AMD CPU リターン アドレス予測器

AMD プロセッサで CVE-2023-20569 の軽減策を有効にするには:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

CVE-2022-0001 \|Intel Branch History Injection

Intel プロセッサで CVE-2022-0001 の軽減策を有効にするには:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

複数の軽減策を有効にする

複数の軽減策を有効にするには、各軽減策の REG_DWORD 値をまとめて追加する必要があります。

次に例を示します。

トランザクションの非同期アボート脆弱性、マイクロアーキテクチャのデータサンプリング、スペクター、メルトダウン、MMIO、投機的ストアのバイパス無効化 (SSBD)、ハイパースレッディングを無効にした場合の L1 Terminal Fault(L1TF) に対する緩和策 reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8264 /f
注 8264 (10 進数) = 0x2048 (16 進数)
他の既存の設定と共に BHI を有効にするには、現在の値と 8,388,608 (0x800000) のビット単位の OR を使用する必要があります。
0x800000 と 0x2048 (10 進数で 8264) の OR を取ると、8,396,872 (0x802048) になります。 FeatureSettingsOverrideMask と同じです。
Intel プロセッサで CVE-2022-0001 の軽減策 reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f
統合された軽減策 reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00802048 /f

保護が有効になっていることを確認する

保護が有効な状態であることを確認できるようにするために、デバイスで実行できる PowerShell スクリプトを公開しました。 次のいずれかの方法を使用して、スクリプトをインストールして実行します。

方法 1: PowerShell ギャラリー (Windows Server 2016 または WMF 5.0/5.1) を使用した PowerShell 検証
PowerShell モジュールをインストールします。
PS> Install-Module投機制御
PowerShell モジュールを実行して、保護が有効になっていることを確認します。
PS> # リセットできるように現在の実行ポリシーを保存します
PS> $SaveExecutionPolicy = Get-ExecutionPolicy
PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser
PS> Import-Module投機制御
PS> Get-SpeculationControlSettings
PS> # 実行ポリシーを元の状態にリセットする
PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser
方法 2: Technet (以前のオペレーティング システムのバージョンと以前の WMF バージョン) からのダウンロードを使用した PowerShell 検証
Technet ScriptCenter から PowerShell モジュールをインストールします。
[https://aka.ms/SpeculationControlPS] に移動します
SpeculationControl.zip をローカル フォルダーにダウンロードします。
内容をローカル フォルダー (C:\ADV180002 など) に抽出します
保護が有効であることを確認する PowerShell モジュールを実行します。
PowerShell を起動し、(上記の例を使用して) 次のコマンドをコピーして実行します。
PS> # リセットできるように現在の実行ポリシーを保存します
PS> $SaveExecutionPolicy = Get-ExecutionPolicy
PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser
PS> CD C:\ADV180002\SpeculationControl
PS> Import-Module .\SpeculationControl.psd1
PS> Get-SpeculationControlSettings
PS> # 実行ポリシーを元の状態にリセットする
PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

PowerShell スクリプトの出力の詳細については、「 KB4074629」を参照してください。

よく寄せられる質問

正しいバージョンの CPU マイクロコードがあるかどうかを確認するにはどうすればよいですか?

マイクロコードはファームウェアの更新プログラムを介して配布されます。 特定のデバイスに適用できるファームウェア セキュリティ更新プログラム (Intels Microcode リビジョン ガイダンスなど) が利用可能な場合は、CPU (チップセット) とデバイスの製造元とチェックする必要があります。

オペレーティング システムが表示されません。修正プログラムがリリースされると思われるのはいつですか?

ソフトウェアの更新プログラムでハードウェアの脆弱性に対処することは非常に困難です。 また、古いオペレーティング システムに緩和策を提供するには大幅なアーキテクチャの変更が必要です。 マイクロソフトは影響を受けるチップの製造元と協力し、緩和策を提供する最善の方法を調査しており、今後の更新プログラムで提供できる可能性があります。

Surface ファームウェアまたはハードウェアの更新プログラムはどこで入手できますか?

Microsoft Surface デバイス用の更新プログラムは、Windows Update を介して Windows オペレーティング システムの更新プログラムと共に提供される予定です。 使用可能な Surface デバイス ファームウェア (マイクロコード) 更新プログラムの一覧については、「 KB4073065」を参照してください。

Microsoft 製のデバイスではない場合は、デバイスの製造元から提供されるファームウェアを適用してください。 詳細については、OEM デバイスの製造元にお問い合わせください。

私はx86アーキテクチャを持っていますが、提供された更新プログラムは表示されません。私は1つを取得しますか?

2018 年 2 月と 3 月に、マイクロソフトは一部の x86 ベース システム用に追加の保護をリリースしました。 詳細については、「 KB4073757 と Microsoft セキュリティ アドバイザリ ADV180002」を参照してください。

オペレーティング システムとファームウェア (マイクロコード) の更新プログラムMicrosoft HoloLensどこで確認できますか?

Windows 10 for HoloLens の更新プログラムは、Windows Update から HoloLens のお客様に提供されます。

2018 年 2 月の Windows セキュリティ更新プログラムを適用した後、HoloLens のお客様はお使いのデバイスのファームウェアを更新するため、さらに操作を実行する必要があります。 これらの緩和策は、Windows 10 for HoloLens の今後すべてのリリースにも含まれる予定です。

2018 セキュリティのみの更新プログラムをインストールしていません。最新の 2018 セキュリティのみの更新プログラムをインストールした場合、説明されている脆弱性から保護されますか?

いいえ。 セキュリティのみの更新プログラムは累積的ではありません。 実行しているオペレーティング システムのバージョンによっては、これらの脆弱性から保護するためにすべての月のセキュリティのみの更新プログラムをインストールする必要があります。 たとえば、影響を受ける Intel CPU 上で Windows 7 for 32-bit Systems を実行している場合は、すべてのセキュリティのみの更新プログラムをインストールする必要があります。 これらのセキュリティのみの更新プログラムは、リリース順にインストールすることをお勧めします。

メモ この FAQ の以前のバージョンでは、2 月のセキュリティのみの更新プログラムに、1 月にリリースされたセキュリティ修正プログラムが含まれていることが誤って記載されています。 実際は含まれていません。

該当する 2 月のセキュリティ更新プログラムのいずれかを適用した場合、セキュリティ更新プログラムが行ったのと同じ方法で CVE-2017-5715 の保護 4078130が無効になりますか。

いいえ。 セキュリティ更新プログラム 4078130 は、マイクロコードのインストール後に発生する予期しないシステムの動作、パフォーマンスの問題、予期しない再起動を防ぐことを目的とした修正プログラムでした。 Windows クライアント オペレーティング システムに 2 月のセキュリティ更新プログラムを適用すると、3 つの緩和策がすべて有効になります。

Intel がマイクロコードの更新プログラムをリリースしたと聞いたことがあります。どこで見つけることができますか?

Intel は検証を完了し、新しい CPU プラットフォーム用のマイクロコードのリリースを開始したことを最近発表しました。 マイクロソフトは、スペクター バリアント 2 (CVE-2017-5715「ブランチ ターゲット インジェクション」) に対して Intel による検証済みのマイクロコードの更新プログラムをリリースしています。 KB4093836 には、Windows バージョン別のサポート技術情報一覧が記載されています。 また、各サポート技術情報には、リリースされている Intel 製マイクロコードの更新プログラムが CPU 別に記載されています。

既知の問題: 2018 年 3 月 13 日のセキュリティ更新プログラム (KB4088875) をインストールした後に、ネットワーク接続の問題が発生したり、IP アドレス設定が失われる場合があります

この問題は 、KB4093118で解決されました。

AMD がマイクロコード更新プログラムをリリースしたと聞いたことがあります。これらの更新プログラムはどこで見つけてインストールできますか?

AMD は最近 、Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection") に関する新しい CPU プラットフォーム用のマイクロコードのリリースを開始したと発表しました。 詳細については、「AMD セキュリティ Updates」および「AMD ホワイト ペーパー: 間接ブランチ制御に関するアーキテクチャ ガイドライン」を参照してください。 これらは OEM ファームウェア チャネルから入手できます。

2018 年 4 月の更新プログラム (バージョン 1803) Windows 10実行しています。デバイスで Intel マイクロコードを使用できますか?どこで見つけることができますか?

マイクロソフトでは、スペクター バリアント 2 (CVE-2017-5715 “ブランチ ターゲット インジェクション”) に対して、Intel が検証済みのマイクロコードの更新プログラムを提供しています。 Windows Update から最新の Intel 製マイクロコードの更新プログラムを入手するには、Windows 10 2018 年 4 月更新プログラム (バージョン 1803) にアップグレードする前に、Windows 10 オペレーティング システムを実行しているデバイスに Intel 製マイクロコードをインストールしておく必要があります。

OS のアップグレード前にデバイスにインストールされていなかった場合は、マイクロコードの更新プログラムをカタログから直接入手することもできます。 Intel 製マイクロコードは、Windows Update、WSUS、または Microsoft Update カタログを介して入手できます。 詳細とダウンロード手順については、「 KB4100347」を参照してください。

新しい投機的実行サイド チャネルの脆弱性 (投機的ストア バイパス - CVE-2018-3639 と不正なシステム レジスタの読み取り - CVE-2018-3640) に関する情報はどこで確認できますか?

詳細については、次のリソースを参照してください。

Intel プロセッサでの投機的ストア バイパス無効化 (SSBD) の Windows サポートの詳細はどこで確認できますか?

詳細については、「ADV180012 | 投機的ストア バイパスに関するマイクロソフト ガイダンス」の「推奨される操作」と「FAQ」を参照してください。

SSBD が有効か無効か確認操作方法。

SSBD の状態を確認するために、影響を受けるプロセッサ、SSBD のオペレーティング システムの更新プログラムの状態、プロセッサ マイクロコードの状態 (該当する場合) を検出できるように Get-SpeculationControlSettings PowerShell スクリプトが更新されています。 PowerShell スクリプトの詳細と入手については、KB4074629 を参照してください。

遅延 FP 状態の復元 (CVE-2018-3665) が発表されたと聞いたことがあります。Microsoft はそれに対する軽減策をリリースしますか?

2018 年 6 月 13 日、サイドチャネル投機的実行に関連する追加の脆弱性 (Lazy FP State Restore) が発表され、 CVE-2018-3665 が割り当てられます。 Lazy Restore FP Restore に必要な構成 (レジストリ) 設定はありません。

この脆弱性と推奨される操作の詳細については、セキュリティ アドバイザリ「ADV180016 | Lazy FP State Restore に関するマイクロソフト ガイダンス」を参照してください。

注

Lazy Restore FP Restore に必要な構成 (レジストリ) 設定はありません。

CVE-2018-3693 (境界チェック バイパス ストア) は Spectre に関連していると聞いたことがあります。Microsoft はそれに対する軽減策をリリースしますか?

Bounds Check Bypass Store (BCBS) は 2018 年 7 月 11 日に公開され、CVE-2018-3693 が割り当てられました。 マイクロソフトでは、BCBS は Bounds Check Bypass (バリアント 1) と同じ脆弱性クラスに属すると考えています。 マイクロソフトのソフトウェアにおける BCBS インスタンスは現在認識されていませんが、マイクロソフトこの脆弱性クラスを引き続き調査しており、必要に応じて業界のパートナーと協力して緩和策をリリースします。 研究者の皆様には、利用可能な BCBS インスタンスを含む、関連する調査結果をマイクロソフトの投機的実行のサイドチャネルに関する報奨金プログラムに提出いただけますよう引き続きよろしくお願いいたします。’ ソフトウェア開発者は、https://aka.ms/sescdevguide で BCBS 用に更新された開発者ガイダンスを確認 する必要があります。

L1ターミナルフォールト(L1TF)が公開されたと聞いたことがあります。その詳細と Windows サポートについては、どこで確認できますか?

2018 年 8 月 14 日、 L1 ターミナル フォールト (L1TF) が発表され、複数の CVEs が割り当てられます。 これらの投機的実行のサイドチャネルの脆弱性が悪用されると、信頼される境界全体のメモリの内容を読み取られる可能性があり、悪用された場合、情報漏えいにつながる可能性があります。 構成されている環境によっては、攻撃者がこれらの脆弱性をトリガーすることができる攻撃対象が複数存在します。 L1TF は Intel® Core® プロセッサと Intel® Xeon® プロセッサに影響を及ぼします。

この脆弱性の緩和に対するマイクロソフトのアプローチを含む、L1TF と影響を受けるシナリオの詳細ビューに関する詳細については、次のリソースを参照してください。

CVE-2017-5715 - ブランチ ターゲット インジェクション (Spectre Variant 2) を軽減する ARM64 ファームウェアはどこで見つけてインストールできますか?

64 ビット ARM プロセッサを使用しているお客様は、CVE-2017-5715 を軽減する ARM64 オペレーティング システム保護のため、ファームウェアのサポートのためにデバイス OEM とチェックする必要があります。 |ブランチ ターゲット インジェクション (Spectre、バリアント 2) では、デバイス OEM からの最新のファームウェア更新プログラムを有効にする必要があります。

マイクロアーキテクチャ データ サンプリングに関する Intel の開示に関する情報はどこで確認できますか (CVE-2018-12126、CVE-2018-12130、CVE-2018-12127?

詳細については、次のセキュリティ アドバイザリを参照してください。

マイクロアーキテクチャ データ サンプリングの脆弱性 (CVE-2019-11091、CVE-2018-12126、CVE-2018-12127、CVE-2018-12130) に関する Intel の開示情報はどこで確認できますか?

詳細については、次のセキュリティ アドバイザリを参照してください。

Microarchitectural Data Sampling の脆弱性を軽減するために必要なアクションを判断するためのシナリオ ベースのガイダンスはどこで確認できますか?

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

デバイスで MDS の Hyper-Threading を無効にする必要がありますか?

「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

Azureのガイダンスはどこで確認できますか?

Azureガイダンスについては、Azureでの投機的実行サイドチャネルの脆弱性を軽減するためのガイダンスに関する記事を参照してください。

Windows 10 Version 1809の Retpoline 有効化の詳細については、どこで確認できますか?

Retpoline の有効化の詳細については、マイクロソフトのブログ記事「Mitigating Spectre variant 2 with Retpoline on Windows (英語情報)」を参照してください。

スペクターバリアント1投機的実行側チャネルの脆弱性のバリエーションがあると聞いたことがあります。詳細はどこで確認できますか?

この脆弱性の詳細については、Microsoft セキュリティ ガイド CVE-2019-1125 を参照してください。 |Windows カーネル情報漏えいの脆弱性。

CVE-2019-1125 \|Windows カーネル情報漏えいの脆弱性が Microsoft のクラウド サービスに影響しますか?

この情報漏えいの脆弱性が Microsoft のクラウド サービス インフラストラクチャに影響を与えている事例は把握していません。

CVE-2019-1125 \| の更新プログラムの場合Windows カーネル情報漏えいの脆弱性は 2019 年 7 月 9 日にリリースされましたが、2019 年 8 月 6 日に詳細が公開されたのはなぜですか?

マイクロソフトではこの問題を認識してすぐに、問題を迅速に解決して更新プログラムをリリースすることに取り組みました。 マイクロソフトは、お客様をより確実に保護するために、調査会社と業界パートナー双方との密接なパートナーシップを固く信頼しており、脆弱性の開示方法の取り決めに従って 8 月 7 日水曜日まで詳細を公表していませんでした。

Intel Transaction Synchronization Extensions (Intel TSX) Transaction Async Abort の脆弱性 (CVE-2019-11135) を軽減するために必要なアクションを判断するためのシナリオベースのガイダンスはどこで確認できますか?

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

デバイスで Intel Transaction Synchronization Extensions (Intel TSX) トランザクション非同期中止の脆弱性 (CVE-2019-11135) の Hyper-Threading を無効にする必要がありますか?

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

Intel トランザクション同期拡張機能 (Intel TSX) 機能を無効にする方法はありますか?

その他のガイダンスについては、「Guidance for disabling Intel® Transactional Synchronization Extensions (Intel® TSX) capability」(英語情報) を参照してください。

関連情報

サード パーティの情報に関する免責事項

Microsoft は、ユーザーがテクニカル サポートを見つけるため、サード パーティの連絡先を提供しています。 将来予告なしに変更されることがあります。 Microsoft は、サード パーティの連絡先情報の正確性を保証していません。