推奨される操作

脆弱性から保護するために、次の操作を実行することをお勧めします。 

  1. マンスリー Windows セキュリティ更新プログラムなど、利用できるすべての Windows オペレーティング システムの更新プログラムを適用します。

  2. デバイスの製造元からリリースされている適用可能なファームウェア (マイクロコード) の更新プログラムを適用します。

  3. お客様の環境に対するリスクは、マイクロソフト セキュリティ アドバイザリ ADV180002ADV180012ADV190013 と、このサポート技術情報に記載されている情報に基づいて評価してください。

  4. このサポート技術情報に記載されているアドバイザリとレジストリ キーの情報を参照し、必要に応じて対処してください。

注: Surface をご利用の場合は Windows Update を介してマイクロコードの更新プログラムが提供されます。 Surface デバイスの最新のファームウェア (マイクロコード) 更新プログラムの一覧については、KB 4073065 を参照してください。

Windows Server の緩和策の設定

セキュリティ アドバイザリ ADV180002ADV180012、および ADV190013 は、これらの脆弱性によってもたらされるリスクに関する情報を提供しています。  また、これらの脆弱性を特定し、Windows Server システムの緩和策の既定の状態を明らかにするうえでも役に立ちます。 次の表は、CPU マイクロコードの要件と、Windows Server に対する緩和策の既定の状態をまとめたものです。

CVE

CPU マイクロコード/ファームウェアが必要?

緩和策の既定の状態

CVE-2017-5753

いいえ

既定で有効 (無効にするオプションはありません)

詳細については、ADV180002 を参照してください。

CVE-2017-5715

はい

既定で無効。

詳細については ADV180002 を参照してください。また、適用できるレジストリー キー設定については、このサポート技術情報を参照してください。

注: スペクター バリアント 2 (CVE-2017-5715) の緩和策が有効な場合、Windows 10 Version 1809 またはそれ以降を実行しているデバイス上で “Retpoline” が既定で有効になります。 “Retpoline” の詳細については、ブログ記事「Mitigating Spectre variant 2 with Retpoline on Windows」(英語情報) を参照してください。

CVE-2017-5754

いいえ

Windows Server 2019: 既定で有効。
Windows Server 2016 以前: 既定で無効。

詳細については、ADV180002 を参照してください。。

CVE-2018-3639

Intel: はい

AMD: いいえ

既定で無効。 詳細については、ADV180012 を参照してください。また、適用可能なレジストリー キー設定については、このサポート技術情報の記事を参照してください。

CVE-2018-11091

Intel: はい

Windows Server 2019: 既定で有効。
Windows Server 2016 以前: 既定で無効。

詳細については ADV190013 を参照してください。また、適用できるレジストリー キー設定については、このサポート技術情報を参照してください。

CVE-2018-12126

Intel: はい

Windows Server 2019: 既定で有効。
Windows Server 2016 以前: 既定で無効。

詳細については ADV190013 を参照してください。また、適用できるレジストリー キー設定については、このサポート技術情報を参照してください。

CVE-2018-12127

Intel: はい

Windows Server 2019: 既定で有効。
Windows Server 2016 以前: 既定で無効。

詳細については ADV190013 を参照してください。また、適用できるレジストリー キー設定については、このサポート技術情報を参照してください。

CVE-2018-12130

Intel: はい

Windows Server 2019: 既定で有効。
Windows Server 2016 以前: 既定で無効。

詳細については ADV190013 を参照してください。また、適用できるレジストリー キー設定については、このサポート技術情報を参照してください。

CVE-2019-11135

Intel: はい

Windows Server 2019: 既定で有効。
Windows Server 2016 以前: 既定で無効。

詳細については、CVE-2019-11135 を参照してください。また、適用できるレジストリー キー設定については、このサポート技術情報を参照してください。

これらの脆弱性に対して利用できるすべての保護機能を利用するには、レジストリ キーを変更し、既定で無効なこれらの緩和策を有効にする必要があります。 

これらの緩和策を有効にすると、パフォーマンスが低下する可能性があります。 パフォーマンスへの影響度は、物理ホストの特定のチップセットや実行中のワークロードなど、複数の要因によって変わります。 実際の環境で発生するパフォーマンスの影響を評価し、必要に応じて調整することをお勧めします。

次のいずれかのカテゴリに該当する場合、サーバーの危険度は高くなります。

  • Hyper-V ホスト – VM 間および VM からホストへの攻撃から保護する必要があります。

  • リモート デスクトップ サービス ホスト (RDSH) – セッション間またはセッションからホストへの攻撃から保護する必要があります。

  • コンテナーなどの信頼されていないコード、データベース用の信頼されていない拡張機能、外部ソースから提供されたコードを実行する信頼されていない Web コンテンツまたはワークロードなどを実行している物理ホストまたは仮想マシン。 この場合、信頼されていないプロセスから別のプロセスへの攻撃、または信頼されていないプロセスからカーネルへの攻撃から保護する必要があります。

次のレジストリ キー設定を使用してサーバー上の緩和策を有効にして、変更を有効にするためにシステムを再起動します。

注: 既定で無効な緩和策を有効にすると、パフォーマンスに影響する可能性があります。 実際のパフォーマンスへの影響は、デバイスの特定のチップセットや実行中のワークロードなど、複数の要因によって変わります。

レジストリ設定

セキュリティ アドバイザリ ADV180002ADV180012ADV190013 に記載されているように、既定で有効ではない緩和策を有効にするために、次のレジストリ情報を提供しています。

また、Windows クライアント用の CVE-2017-5715 および CVE-2017-5754 に関連する緩和策を無効にしたいユーザー向けのレジストリ キー設定も提供しています。

重要: このセクション、方法、またはタスクには、レジストリの変更方法が記載されています。 レジストリを誤って変更すると、深刻な問題が発生することがあります。 レジストリを変更する際には十分に注意してください。 万一に備えて、編集の前にレジストリをバックアップしてください。 問題が発生した場合でも、レジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。

322756 Windows でレジストリをバックアップおよび復元する方法

CVE-2017-5715 (スペクター バリアント 2) と CVE-2017-5754 (メルトダウン) の緩和策を管理する

重要な注意: スペクター バリアント 2 (CVE-2017-5715) の緩和策が有効な場合、Windows 10 Version 1809 サーバー上で Retpoline が既定で有効になります。 Windows 10 の最新バージョンで Retpoline を有効にすると、特に古いプロセッサ上でスペクター バリアント 2 対応の Windows 10 バージョン 1809 を実行しているサーバーのパフォーマンスが向上する可能性があります。

CVE-2017-5715 (スペクター バリアント 2) と CVE-2017-5754 (メルトダウン) の緩和策を有効にするには

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f

Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。

変更を有効にするために、コンピューターを再起動します。 

CVE-2017-5715 (スペクター バリアント 2) と CVE-2017-5754 (メルトダウン) の緩和策を無効にするには

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

変更を有効にするために、コンピューターを再起動します。 


注: "有効" と "無効" のどちらの設定でも、FeatureSettingsOverrideMask を 3 に設定することは正しいです。 (レジストリ キーの詳細については、「FAQ」セクションを参照してください。)

CVE-2017-5715 (スペクター バリアント 2) の緩和策を管理する

バリアント 2: (CVE-2017-5715 "ブランチ ターゲット インジェクション") の緩和策:  

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 1 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

変更を有効にするために、コンピューターを再起動します。

バリアント 2: (CVE-2017-5715 "ブランチ ターゲット インジェクション") の緩和策:  

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

変更を有効にするために、コンピューターを再起動します。

AMD プロセッサのみ: CVE-2017-5715 (スペクター バリアント 2) の完全な緩和策を有効にする

AMD CPU では、既定で CVE-2017-5715 のユーザーとカーネル間の保護機能は無効です。 CVE-2017-5715 に対する追加の保護機能を利用するには、この緩和策を有効にする必要があります。  詳細については、ADV180002 の FAQ #15 を参照してください。

AMD プロセッサ上で CVE 2017-5715 の他の保護機能と共にユーザーとカーネル間の保護機能を有効にする:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 64 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f

Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。

変更を有効にするために、コンピューターを再起動します。

CVE-2018-3639 (投機的ストア バイパス)、CVE-2017-5715 (スペクター バリアント 2)、CVE-2017-5754 (メルトダウン) の緩和策を管理する

CVE-2018-3639 (投機的ストア バイパス)、CVE-2017-5715 (スペクター バリアント 2)、CVE-2017-5754 (メルトダウン) の緩和策を有効にするには:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f

Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。

変更を有効にするために、コンピューターを再起動します。

CVE-2018-3639 (投機的ストア バイパス) の緩和策と、CVE-2017-5715 (スペクター バリアント 2) および CVE-2017-5754 (メルトダウン) の緩和策の両方を無効にするには: 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

変更を有効にするために、コンピューターを再起動します。

AMD プロセッサのみ: CVE-2017-5715 (スペクター バリアント 2) と CVE-2018-3639 (投機的ストア バイパス) の完全な緩和策を有効にする

AMD プロセッサでは、既定で CVE-2017-5715 のユーザーとカーネル間の保護機能は無効です。 CVE-2017-5715 に対する追加の保護機能を利用するには、この緩和策を有効にする必要があります。  詳細については、ADV180002 の FAQ #15 を参照してください。

AMD プロセッサ上で CVE 2017-5715 に対する他の保護機能と CVE-2018-3639 (投機的ストア バイパス) に対する保護機能と共にユーザーとカーネル間の保護機能を有効にする:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f

Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。

変更を有効にするために、コンピューターを再起動します。

投機的ストア バイパスの無効化 (SSBD) [CVE-2018-3639] と L1 Terminal Fault (L1TF) [CVE-2018-3615、CVE-2018-3620、CVE-2018-3646] を含むスペクター [CVE-2017-5753、CVE-2017-5715] および メルトダウン [CVE-2017-5754] のバリアントと共に、Intel® Transactional Synchronization Extensions (Intel® TSX) の Transaction Asynchronous Abort の脆弱性 (CVE-2019-11135) および Microarchitectural Data Sampling (CVE-2018-11091、CVE-2018-12126、CVE-2018-12127、CVE-2018-12130) を管理する

ハイパースレッディングを無効にせずに、投機的ストア バイパスの無効化 (SSBD) [CVE-2018-3639] と L1 Terminal Fault (L1TF) [CVE-2018-3615、CVE-2018-3620、CVE-2018-3646] を含むスペクター [CVE-2017-5753、CVE-2017-5715] および メルトダウン [CVE-2017-5754] のバリアントと共に、Intel® Transactional Synchronization Extensions (Intel® TSX) の Transaction Asynchronous Abort の脆弱性 (CVE-2019-11135) および Microarchitectural Data Sampling ( CVE-2018-11091 CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 ) の緩和策を有効にするには:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f

Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。

変更を有効にするために、コンピューターを再起動します。

ハイパースレッディングを無効にして、投機的ストア バイパスの無効化 (SSBD) [CVE-2018-3639] と L1 Terminal Fault (L1TF) [CVE-2018-3615、CVE-2018-3620、CVE-2018-3646] を含むスペクター [CVE-2017-5753、CVE-2017-5715] および メルトダウン [CVE-2017-5754] のバリアントと共に、Intel® Transactional Synchronization Extensions (Intel® TSX) の Transaction Asynchronous Abort の脆弱性 (CVE-2019-11135) および Microarchitectural Data Sampling ( CVE-2018-11091 CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 ) の緩和策を有効にするには:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8264 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Hyper-V 機能がインストールされている場合は、次のレジストリ設定を追加します。

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f

Hyper-V ホストで、ファームウェアの更新プログラムを適用済みの場合: すべての仮想マシンを完全にシャットダウンします。 こうすることで、VM を起動する前に、ファームウェア関連の緩和策をホストに適用できます。 そのため、VM は再起動時にも更新されます。

変更を有効にするために、コンピューターを再起動します。

投機的ストア バイパスの無効化 (SSBD) [CVE-2018-3639] と L1 Terminal Fault (L1TF) [CVE-2018-3615、CVE-2018-3620、CVE-2018-3646] を含むスペクター [CVE-2017-5753、CVE-2017-5715] および メルトダウン [CVE-2017-5754] のバリアントと共に、Intel® Transactional Synchronization Extensions (Intel® TSX) の Transaction Asynchronous Abort の脆弱性 (CVE-2019-11135) および Microarchitectural Data Sampling ( CVE-2018-11091 CVE-2018-12126 CVE-2018-12127 CVE-2018-12130 ) の緩和策を無効にするには:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

変更を有効にするために、コンピューターを再起動します。

保護が有効であることを確認する

保護が有効になったかどうかを確認するために、マイクロソフトは、ユーザーのシステムで実行できる PowerShell スクリプトをリリースしました。 スクリプトをインストールして実行するには、次のコマンドを実行します。

PowerShell ギャラリーを使用した PowerShell の検証 (Windows Server 2016 または WMF 5.0/5.1)

PowerShell モジュールをインストールする:

PS> Install-Module SpeculationControl

保護が有効であることを確認する PowerShell モジュールを実行します。 

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

TechNet からのダウンロードを使用した PowerShell の検証 (以前のオペレーティング システム バージョンと以前の WMF バージョン) 

Technet ScriptCenter から PowerShell モジュールをインストールします。

  1. https://aka.ms/SpeculationControlPS にアクセスします。

  2. SpeculationControl.zip をローカル フォルダーにダウンロードします。

  3. ローカル フォルダーにコンテンツを展開します。 例: C:\ADV180002

保護が有効であることを確認する PowerShell モジュールを実行します。

PowerShell を起動し、上記の例を使用して、次のコマンドをコピーして実行します。

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser


PowerShell スクリプトの出力の詳細な説明については、サポート情報記事 4074629 を参照してください。 

よく寄せられる質問

お客様のデバイスに悪影響が及ぶことを防ぐために、すべてのお客様には 2018 年 1 月および 2 月にリリースされた Windows セキュリティ更新プログラムが提供されていません。   詳細については、マイクロソフト サポート技術情報 4072699 を参照してください。

マイクロコードはファームウェアの更新プログラムを介して配布されます。 お使いのコンピューターに適した更新プログラムが含まれるファームウェアのバージョンについては、お使いの OEM にお問い合わせください。 

システムのバージョンから実行中のワークロードまで、パフォーマンスに影響を与える複数の変数があります。 一部のシステムでは、パフォーマンスの影響は小さくなります。  その他のシステムでは、パフォーマンスの影響は大きくなります。 

お使いのシステムに対するパフォーマンスの影響を評価し、必要に応じて調整することをお勧めします。    

仮想マシンを実行しているホストが適切に保護されていることを確認するには、この資料の仮想マシンに関するガイダンスに加え、サービス プロバイダーに問い合わせる必要があります。

Azure で実行されている Windows Server の仮想マシンについては、Azure の投機的実行サイドチャネルの脆弱性を軽減するためのガイダンスを参照してください。 Azure Update Management を使用してゲスト VM でこの問題を緩和する方法については、Microsoft サポート情報記事 4077467 を参照してください。

Windows Server 2016 および Windows Server 10 Version 1709 用 Windows Server コンテナー イメージ用にリリースされた更新プログラムには、これらの脆弱性の緩和策が含まれています。    この他に必要な構成はありません。

注: ただし、適切な緩和策を有効にするようにこれらのコンテナーが実行されているホストを構成する必要があります。  

いいえ。任意の順序でインストールできます。

はい。ファームウェア (マイクロコード) の更新後と、さらにシステムの更新後に再起動する必要があります。

レジストリ キーの詳細は次のとおりです。

FeatureSettingsOverride は、既定の設定を上書きし、無効にする緩和策を制御するビットマップを表します。 ビット 0 は、CVE-2017-5715 に対応する緩和策を制御します。  ビット 1 は、CVE-2017-5754 に対応する緩和策を制御します。  緩和策を有効にする場合、これらのビットは 0 に設定され、緩和策を無効にする場合、1 に設定されます。

FeatureSettingsOverrideMask は、FeatureSettingsOverride と併用されるビットマップ マスクを表します。  この場合、使用できる緩和策に対応する最初の 2 ビットを示す値 3 (2 進法または 2 を底とする記数法では 11 と表されます) を使用します。  緩和策を有効にする場合と無効にする場合のどちらでも、このレジストリ キーは 3 に設定します。 

MinVmVersionForCpuBasedMitigations は Hyper-V ホスト用です。 このレジストリ キーには、更新されたファームウェア機能 (CVE-2017-5715) を使用することが必要な最小限の VM バージョンが定義されています。 すべての VM バージョンを対象にするために 1.0 に設定します。 Hyper-V ホスト以外では、このレジストリ値は無視されます (無害です)。 詳細については、「CVE-2017-5715 (分岐先インジェクション) からのゲスト仮想マシンの保護」を参照してください。

はい。レジストリ設定を適用してから、2018 年 1 月の関連する修正プログラムをインストールしても、悪影響はありません。 

詳細についてはスクリプトの出力の詳細については、「Get-SpeculationControlSettings PowerShell スクリプトの出力について」を参照してください。  

はい。ファームウェアの更新プログラムがまだリリースされていない Windows Server 2016 Hyper-V ホスト向けに、VM 間または VM からホストへの攻撃を緩和できる代替のガイダンスを公開しています。  詳細については、「投機的実行のサイドチャネルの脆弱性から Windows Server 2016 Hyper-V ホストを保護するための代替手段」を参照してください。 

セキュリティのみの更新プログラムは累積的ではありません。 オペレーティング システムのバージョンによっては、完全な保護のために複数のセキュリティ更新プログラムをインストールする必要があります。  通常、2018 年 1 月、2 月、3 月、および 4 月の更新プログラムをインストールする必要があります。   AMD プロセッサが搭載されているシステムの場合、次の表に示す追加の更新プログラムが必要です。

オペレーティング システムのバージョン

セキュリティ更新プログラム

Windows 8.1、Windows Server 2012 R2

4338815 - マンスリー ロールアップ

4338824 - セキュリティのみ

Windows 7 SP1、Windows Server 2008 R2 SP1、または Windows Server 2008 R2 SP1 (Server Core インストール)

4284826 - マンスリー ロールアップ

4284867 - セキュリティのみ

Windows Server 2008 SP2

4340583 - セキュリティ更新プログラム

これらのセキュリティのみの更新プログラムは、リリース順にインストールすることをお勧めします。   

注:  この FAQ の以前のバージョンでは、2 月のセキュリティのみの更新プログラムには 1 月にリリースされたセキュリティ修正プログラムが含まれている、と誤って記載されていました。 実際は含まれていません。

いいえ。セキュリティ更新プログラム KB 4078130 は、マイクロコードのインストール後に発生する予期しないシステムの動作、パフォーマンスの問題、予期しない再起動を防ぐことを目的とした修正プログラムでした。   Windows クライアント オペレーティング システムにセキュリティ更新プログラムを適用すると、3 つの軽減策がすべて有効になります。 Windows Server オペレーティング システムでは、適切なテストの実行後に緩和策を有効にする必要があります。 詳細については、マイクロソフト サポート技術情報 4072698 を参照してください。

この問題は、KB 4093118 で解決されています。

2018 年 2 月、Intel は検証を完了し、新しい CPU プラットフォーム用のマイクロコードのリリースを開始したことを 発表しました。 マイクロソフトでは、スペクター バリアント 2 (CVE-2017-5715 – "ブランチ ターゲット インジェクション") に対して、Intel が検証済みのマイクロコードの更新プログラムを提供しています。 KB 4093836 には、Windows バージョン別のサポート技術情報一覧が記載されています。 また、各サポート技術情報には、リリースされている Intel 製マイクロコードの更新プログラムが CPU 別に記載されています。

2018 年 1 月 12 日: Intel は、スペクター バリアント 2 (CVE-2017-5715 – "ブランチ ターゲット インジェクション") に対応することを意図していた、最近リリースされたマイクロコードの問題について報告しました。 具体的には、このマイクロコードにより、“想定よりも再起動回数が多くなり、他の予期しないシステム動作が発生”し、その結果として “データの損失や破損" が発生する可能性があることが Intel から報告されました。 これまでの経験では、システムが不安定になると、状況によってデータの損失や破損が発生する可能性があります。 1 月 23 日、Intel はお客様に対して、影響を受けるプロセッサに現行のマイクロコード バージョンを展開しないことを勧めました。一方、Intel は更新された解決策の追加テストを実行しています。 マイクロソフトでは、Intel が現行のマイクロコード バージョンの影響を引き続き調査していることを把握しています。 決定事項を知らせるガイダンスを常に確認することをお客様にお勧めします。 

Intel は新しいマイクロコードをテスト、更新、展開していますが、本日、マイクロソフトは定例外 (OOB) の更新プログラム KB 4078130 をリリースします。この更新プログラムで、特に CVE-2017-5715 に対する緩和策のみを無効にすることができます。 マイクロソフトのテストでは、この更新プログラムによって、説明されている動作が回避されることがわかっています。 デバイスの詳細な一覧については、Intel のマイクロコード リビジョン ガイダンス (英語情報) を参照してください。   この更新プログラムは、 Windows 7 Service Pack 1 (SP1)、Windows 8.1、および Windows 10 のすべてのバージョンのクライアントとサーバーに対応しています。  影響を受けるデバイスを実行している場合は、Microsoft Update カタログ Web サイトからダウンロードして、この更新プログラムを適用できます。  このペイロードを適用すると、CVE-2017-5715 の脆弱性 に対する緩和策のみが無効になります。

今回、このスペクター バリアント 2 (CVE-2017-5715 – 「ブランチ ターゲットのインジェクション」) がユーザーに対する攻撃に使用されたという既知の報告はありません。 お使いのデバイスについてこの予期しないシステム動作が解決したと Intel から報告された場合は、必要に応じて CVE-2017-5715 に対する緩和策を再び有効にすることを Windows をお使いのお客様にお勧めします。

Intel は検証を完了し、新しい CPU プラットフォーム用のマイクロコードのリリースを開始したことを 2018 年 2 月に発表しました。   マイクロソフトは、スペクター バリアント 2 (CVE-2017-5715 – 「ブランチ ターゲット インジェクション」) に対して Intel による検証済みのマイクロコードの更新プログラムをリリースしています。 KB 4093836 には、Windows バージョン別のサポート技術情報一覧が記載されています。  また、サポート技術情報一覧には、リリースされている Intel 製マイクロコードの更新プログラムが CPU 別に記載されています。 

詳細については、「AMD Security Updates」(英語情報) と「AMD Whitepaper:  Architecture Guidelines around Indirect Branch Control」(英語情報) を参照してください。 これらは OEM ファームウェア チャネルから入手できます。

マイクロソフトでは、スペクター バリアント 2 (CVE -2017-5715 – “ブランチ ターゲット インジェクション) に対して、Intel が検証済みのマイクロコードの更新プログラムを提供しています。 Windows Update から最新の Intel 製マイクロコードの更新プログラムを入手するには、Windows 10 2018 年 4 月更新プログラム (バージョン 1803) にアップグレードする前に、Windows 10 オペレーティング システムを実行しているデバイスに Intel 製マイクロコードをインストールしておく必要があります。 

マイクロコードの更新プログラムは、システムをアップグレードする前にデバイスにインストールされない場合は、Microsoft Update カタログから直接入手することもできます。Intel のマイクロコードは、Windows Update、Windows Server Update Services (WSUS)、Microsoft Update カタログを介して入手できます。     詳細情報とダウンロード手順については、KB 4100347 を参照してください。

 ADV180012 | 投機的ストア バイパスに関するマイクロソフト ガイダンス」の “推奨される操作” と “FAQ” を参照してください。

SSBD の状態を確認するために、影響を受けるプロセッサ、SSBD のオペレーティング システムの更新プログラムの状態、プロセッサ マイクロコードの状態 (該当する場合) を検出できるように Get-SpeculationControlSettings PowerShell スクリプトが更新されています。 PowerShell スクリプトの詳細と入手については、KB 4074629 を参照してください。

2018 年 6 月 14 日、Lazy FP State Restore と呼ばれるサイドチャネル投機的実行に関係する新たな脆弱性が発表され、CVE-2018-3665 が割り当てられました。この脆弱性と推奨される操作については、セキュリティ アドバイザリ「ADV180016 | Lazy FP State Restore に関するマイクロソフト ガイダンス」を参照してください。     

注: Lazy Restore FP Restore に必要な構成 (レジストリ) 設定はありません。 

Bounds Check Bypass Store (BCBS) は 2018 年 7 月 11 日に公開され、CVE-2018-3693 が割り当てられました。 マイクロソフトでは、BCBS は Bounds Check Bypass (バリアント 1) と同じ脆弱性クラスに属すると考えています。 マイクロソフトのソフトウェアにおける BCBS インスタンスは現在認識されていません。 しかし、マイクロソフトはこの脆弱性クラスを引き続き調査しており、必要に応じて業界のパートナーと協力して緩和策をリリースします。 研究者の皆様には、利用可能な BCBS インスタンスを含む、関連する調査結果をマイクロソフトの投機的実行のサイドチャネルに関する報奨金プログラムに提出いただけますよう引き続きよろしくお願いいたします。 ソフトウェア開発者の皆様は、投機的実行サイド チャネルの C++ 開発者ガイダンスで BCBS 用に更新された開発者ガイダンスを参照することをお勧めします。

2018 年 8 月 15 日、L1 Terminal Fault (L1TF) が発表され、複数の CVE が割り当てられました。 これらの投機的実行のサイドチャネルの脆弱性が悪用されると、信頼される境界全体のメモリの内容を読み取られる可能性があり、悪用された場合、情報漏えいにつながる可能性があります。 構成されている環境によっては、攻撃者がこれらの脆弱性をトリガーすることができるベクトルが複数存在します。 L1TF は Intel® Core® プロセッサと Intel® Xeon® プロセッサに影響を及ぼします。

この脆弱性の緩和に対するマイクロソフトのアプローチを含む、L1TF と影響を受けるシナリオの詳細ビューに関する詳細については、次のリソースを参照してください。

ハイパースレッディングを無効にする手順は OEM ごとに異なりますが、通常は BIOS またはファームウェアのセットアップ ツールと構成ツールの一部です。 

64 ビット ARM プロセッサをご利用の場合は、変更を有効にするために、CVE-2017-5715 - ブランチ ターゲット インジェクション (スペクター バリアント 2) を緩和する ARM64 オペレーティング システムの保護機能はデバイス OEM の最新のファームウェア更新プログラムを必要とするため、ファームウェアのサポートについてデバイス OEM に確認する必要があります。  

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

Azure のガイダンスについては、「 Azure での予測実行のサイドチャネルの脆弱性を軽減するためのガイダンス」を参照してください。

Retpoline の有効化の詳細については、マイクロソフトのブログ記事「 Mitigating Spectre variant 2 with Retpoline on Windows」(英語情報) を参照してください。

この脆弱性の詳細については、マイクロソフト セキュリティ ガイド 「CVE-2019-1125 | Windows カーネルの情報漏えいの脆弱性」を参照してください。

この情報漏えいの脆弱性が Microsoft のクラウド サービス インフラストラクチャに影響を与えている事例は把握していません。

マイクロソフトではこの問題を認識してすぐに、問題を迅速に解決して更新プログラムをリリースすることに取り組みました。 マイクロソフトは、お客様をより確実に保護するために、調査会社と業界パートナー双方との密接なパートナーシップを固く信頼しており、脆弱性の開示方法の取り決めに従って 8 月 7 日水曜日まで詳細を公表していませんでした。

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

詳細なガイダンスについては、「Windows を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス」を参照してください。

その他のガイダンスについては、「Guidance for disabling Intel® Transactional Synchronization Extensions (Intel® TSX) capability」(英語情報) を参照してください。

関連情報

サードパーティの情報に関する免責事項

この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。

ヘルプを表示

スキルを磨く
トレーニングの探索
新機能を最初に入手
Microsoft Insider に参加する

この情報は役に立ちましたか?

翻訳品質にどの程度満足していますか?

どのような要因がお客様の操作性に影響しましたか?

その他にご意見はありますか?(省略可能)

フィードバックをお送りいただきありがとうございます!

×