KB4073119: "Windows" kliento rekomendacijos IT profesionalams, kaip apsisaugoti nuo mikroarchitektūros mikroarchitektūros ir su spėjamu vykdymu susijusių šalutinių kanalų spragų

Taikoma
Windows Server 2012 Windows Server 2012 R2 Windows 10 Windows 10 Education, version 1607 Windows 10 Professional version 1607 Windows 10 Enterprise, version 1607 Windows 10 Enterprise version 1607 Windows 10 Enterprise, version 1809 Windows 10 Professional Education version 1607 Windows 10 Pro Education, version 1607 Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows 10 Home and Pro, version 21H2 Windows 10 Enterprise and Education, version 21H2 Windows 10 IoT Enterprise, version 21H2 Windows 10 Home and Pro, version 22H2 Windows 10 Enterprise Multi-Session, version 22H2 Windows 10 Enterprise and Education, version 22H2 Windows 10 IoT Enterprise, version 22H2 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Azure Local, version 22H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 DO_NOT_USE_Windows 11 IoT Enterprise, version 23H2

Pakeitimų žurnalas
Datos keitimas Keitimų aprašas
2023 m. liepos 19 d.
  • Pataisyta MMIO informacija skyriuje "Rizikos mažinimo parametrai "Windows" klientams"
Rugpjūtis 8, 2023
  • Pašalintas turinys apie CVE-2022-23816, nes CVE numeris nenaudojamas
Rugpjūtis 9, 2023
  • Dalyje "Pažeidžiamumai" pridėta "Šakos tipo painiava"
  • Atnaujinta "CVE-2022-23825 | AMD CPU šakos tipo sumaišymas (BTC)" registro skyrius
  • Pridėta: "CVE-2023-20569 | AMD CPU Return Address Predictor" į skyrių "Suvestinė"
  • Pridėta "CVE-2023-20569 | AMD CPU Return Address Predictor" registro skyrius
2024 m. balandžio 9 d.
  • Pridėta CVE-2022-0001 | "Intel" filialo istorijos injekcija
2024 m. balandžio 16 d.
  • Pridėtas skyrius "Kelių rizikos mažinimų įgalinimas"

Santrauka

Šiame straipsnyje pateikiami naujos klasės mikroarchitektūriniai ir spekuliaciniai vykdymo šalutinių kanalų pažeidžiamumai, turintys įtakos daugeliui šiuolaikinių procesorių ir operacinių sistemų. Tai apima "Intel", AMD ir ARM. Konkrečios informacijos apie šiuos mikroschema pagrįstus pažeidžiamumus rasite šiuose ADV (saugos patarimuose) ir CVE (įprastuose pažeidžiamumuose ir kvalifikacijose):

Svarbu

Ši problema taip pat turi įtakos kitoms operacinėms sistemoms, pvz., "Android", "Chrome", "iOS" ir "macOS". Todėl patariame klientams kreiptis į šiuos tiekėjus.

Išleidome kelis naujinimus, kurie padeda sumažinti šiuos pažeidžiamumus. Taip pat ėmėmės veiksmų, kad apsaugotume savo debesies paslaugas. Daugiau informacijos žr. tolesniuose skyriuose.

Dar negavome jokios informacijos, kuri rodytų, jog šios spragos buvo panaudotos atakoms prieš klientus. Siekdami apsaugoti klientus, glaudžiai bendradarbiaujame su pramonės partneriais, įskaitant lustų gamintojus, aparatūros gamintojus ir programų tiekėjus. Norint gauti visą galimą apsaugą, būtina programinės-aparatinės įrangos (mikrokodo) ir programinės įrangos naujinimai. Tai apima mikrokodą iš įrenginių OĮG ir, kai kuriais atvejais, antivirusinės programinės įrangos naujinimus.

Šiame straipsnyje aptariami šie pažeidžiamumai:

"„Windows Update“" taip pat teiks "Internet Explorer" ir "Edge" rizikos mažinimo priemones. Mes ir toliau tobulinsime šias poveikio mažinimo priemones nuo šios klasės pažeidžiamumų.

Norėdami sužinoti daugiau apie šios klasės pažeidžiamumus, žr.:

Pažeidžiamumai

Mikroarchitektūros duomenų atrankos pažeidžiamumas

2019 m. gegužės 14 d. "Intel" paskelbė informaciją apie naują spekuliacinių vykdymo šalutinio kanalo pažeidžiamumų poklasį, žinomą kaip mikroarchitektūros duomenų atranka. Šie pažeidžiamumai sprendžiami šiuose CVE:

Svarbu

Šios problemos turės įtakos kitoms operacinėms sistemoms, pvz., "Android", "Chrome", "iOS" ir "MacOS". Patariame kreiptis pagalbos į šiuos atitinkamus tiekėjus.

Išleidome naujinimus, kurie padės sumažinti šiuos pažeidžiamumus. Norint gauti visą galimą apsaugą, būtina programinės-aparatinės įrangos (mikrokodo) ir programinės įrangos naujinimai. Tai gali apimti mikrokodą iš įrenginio OĮG. Kai kuriais atvejais šių naujinimų diegimas turės įtakos našumui. Taip pat ėmėmės veiksmų, kad apsaugotume savo debesies paslaugas. Primygtinai rekomenduojame įdiegti šiuos naujinimus.

Norėdami gauti daugiau informacijos apie šią problemą, žr. toliau pateiktus saugos patarimus ir naudokite scenarijumi pagrįstus nurodymus, kad nustatytumėte veiksmus, būtinus grėsmei sumažinti:

Pastaba

Rekomenduojame įdiegti visus naujausius naujinimus iš "„Windows Update“" prieš diegiant bet kokius mikrokodo naujinimus.

"Spectre Variant 1" pažeidžiamumas

2019 m. rugpjūčio 6 d. "Intel" paskelbė išsamią informaciją apie "Windows" branduolio informacijos atskleidimo pažeidžiamumą. Šis pažeidžiamumas yra "Spectre Variant 1" spekuliatyvaus vykdymo šalutinio kanalo pažeidžiamumo variantas ir jam buvo priskirtas CVE-2019-1125.

2019 m. liepos 9 d. išleidome operacinės sistemos "Windows" saugos naujinimus, kad padėtume sušvelninti šią problemą. Atkreipkite dėmesį, kad sulaikėme viešą šio poveikio mažinimo dokumentavimą iki 2019 m. rugpjūčio 6 d., antradienį, paskelbto suderinto sektoriaus atskleidimo.

Klientai, kurie įjungė "„Windows Update“" ir pritaikė saugos naujinimus, išleistus 2019 m. liepos 9 d., yra apsaugoti automatiškai. Papildomos konfigūracijos nereikia.

Pastaba

Dėl šio pažeidžiamumo įrenginio gamintojo (OĮG) nereikia atnaujinti mikrokodo.

Daugiau informacijos apie šį pažeidžiamumą ir taikomus naujinimus žr. "Microsoft" saugos naujinimo vadove:

Operacijos asinchroninio nutraukimo pažeidžiamumas

2019 m. lapkričio 12 d. "Intel" paskelbė techninį patarimą apie "Intel" operacijų sinchronizavimo plėtinių ("Intel TSX") operacijų asinchroniško nutraukimo pažeidžiamumo, kuriam priskirtas CVE-2019-11135. Išleidome naujinimus, kurie padeda sumažinti šį pažeidžiamumą. Pagal numatytuosius parametrus OS apsauga yra įgalinta "Windows" kliento OS leidimuose.

MMIO pasenusių duomenų atrankos pažeidžiamumas

14 m. birželio 2022 d. paskelbėme ADV220002 | "„Microsoft“" rekomendacijos dėl "Intel" procesoriaus MMIO pasenusių duomenų pažeidžiamumų. Pažeidžiamumai priskiriami šiuose CVE:

Rekomenduojami veiksmai

Norėdami apsisaugoti nuo šių pažeidžiamumų, turėtumėte atlikti toliau nurodytus veiksmus.

  1. Taikykite visus galimus "Windows" operacinės sistemos naujinimus, įskaitant mėnesinius "Windows" saugos naujinimus.
  2. Taikykite taikomą programinės-aparatinės įrangos (mikrokodo) naujinimą, kurį pateikia įrenginio gamintojas.
  3. Įvertinkite pavojų savo aplinkai remdamiesi informacija, pateikta "Microsoft" saugos patarimuose ADV180002, ADV180012, ADV190013 ir ADV220002 bei pateikta informacija šiame straipsnyje.
  4. Imkitės reikalingų veiksmų naudodami šiame straipsnyje pateiktus patarimus ir registro rakto informaciją.

Pastaba

"Surface" klientai gaus mikrokodo naujinimą per "Windows Update". Naujausių galimų "Surface" įrenginio programinės-aparatinės įrangos (mikrokodo) naujinimų sąrašą rasite KB4073065.

Šakos tipo painiava

2022 m. liepos 12 d. paskelbėme CVE-2022-23825 | AMD CPU šakos tipo supainiojimas , kuris apibūdina, kad pseudonimai šakos prognozavimo priemonėje gali sukelti tam tikrus AMD procesorius nuspėti netinkamą šakos tipą. Dėl šios problemos gali būti atskleista informacija.

Norėdami apsisaugoti nuo šio pažeidžiamumo, rekomenduojame įdiegti "Windows" naujinimus, kurių data yra 2022 m. liepos mėn. arba vėliau, ir tada imtis veiksmų, kaip reikalaujama CVE-2022-23825 ir registro rakto informacijos, pateiktos šiame žinių bazės straipsnyje.

Daugiau informacijos ieškokite AMD-SB-1037 saugos biuletenyje.

Atgalinio adreso prognozė

2023 m. rugpjūčio 8 d. paskelbėme CVE-2023-20569 | AMD CPU Return Address Predictor (taip pat žinomas kaip "Inception"), kuris aprašo naują spekuliacinę šalutinio kanalo ataką, kuri gali baigtis spėjamu vykdymu užpuoliko valdomu adresu. Ši problema turi įtakos tam tikriems AMD procesoriams ir gali lemti informacijos atskleidimą.

Norėdami apsisaugoti nuo šio pažeidžiamumo, rekomenduojame įdiegti "Windows" naujinimus, kurių data yra 2023 m. rugpjūčio mėn. arba vėliau, tada imtis veiksmų, kaip reikalaujama CVE-2023-20569 ir registro rakto informacijos, pateiktos šiame žinių bazės straipsnyje.

Daugiau informacijos ieškokite AMD-SB-7005 saugos biuletenyje.

Šakos istorijos injekcija

2024 m. balandžio 9 d. paskelbėme CVE-2022-0001 | "Intel Branch History Injection ", kuri apibūdina "Branch History Injection" (BHI), kuri yra specifinė režimo BTI forma. Šis pažeidžiamumas atsiranda, kai užpuolikas gali manipuliuoti šakos istorija prieš pereidamas iš vartotojo į prižiūrėtojo režimą (arba iš VMX ne root/svečio į šakninį režimą). Dėl šios manipuliacijos netiesioginės šakos prognozatorius gali pasirinkti konkretų netiesioginės šakos prognozavimo įrašą, o numatytoje vietoje bus laikinai vykdoma atskleidimo programėlė. Taip gali būti todėl, kad atitinkamos šakos istorijoje gali būti šakų, naudotų ankstesniuose saugumo kontekstuose, ypač kituose prognozavimo režimuose.

"Windows" klientų rizikos mažinimo parametrai

Saugos patarimai (ADV) ir CVE teikia informaciją apie šių pažeidžiamumų keliamą riziką ir kaip jie padeda nustatyti numatytąją rizikos mažinimo būseną "Windows" klientų sistemose. Toliau pateiktoje lentelėje apibendrinami CPU mikrokodo reikalavimai ir numatytoji mažinimo būsena "Windows" klientuose.

CVE Reikalingas procesoriaus mikrokodas / programinė-aparatinė įranga? Mitigation Default status
CVE-2017-5753 Ne Įjungta pagal numatytuosius parametrus (nėra išjungimo parinkties)
Papildomos informacijos ieškokite ADV180002 .
CVE-2017-5715 Taip Įjungta pagal numatytuosius parametrus. Sistemų, pagrįstų AMD procesoriais, vartotojai turėtų peržiūrėti DUK #15, o ARM procesorių vartotojai turėtų peržiūrėti ADV180002 DUK #20 apie papildomus veiksmus ir šį KB straipsnį apie taikomus registro raktų parametrus.
Atkreipkite dėmesį Pagal numatytuosius parametrus "Retpoline" yra įjungtas įrenginiams, kuriuose veikia "Windows 10" 1809 arba naujesnė versija, jei įjungtas "Spectre Variant 2" (CVE-2017-5715). Norėdami gauti daugiau informacijos apie "Retpoline", vadovaukitės nurodymais, pateiktais "Windows" tinklaraščio įraše "Mitigating Spectre variant 2 with Retpoline ".
CVE-2017-5754 Ne Įjungta pagal numatytuosius parametrus
Papildomos informacijos ieškokite ADV180002 .
CVE-2018-3639 "Intel": taip
AMD: Ne
ARM: Taip		 "Intel" ir AMD: išjungta pagal numatytuosius parametrus. Norėdami sužinoti taikomus registro raktų parametrus, žr. ADV180012 daugiau informacijos ir šį KB straipsnį.
ARM: įjungta pagal numatytuosius nustatymus be parinkties išjungti.
CVE-2019-11091 "Intel": taip Įjungta pagal numatytuosius parametrus.
Daugiau informacijos žr. ADV190013 , o šiame straipsnyje – taikomus registro raktų parametrus.
CVE-2018-12126 "Intel": taip Įjungta pagal numatytuosius parametrus.
Daugiau informacijos žr. ADV190013 , o šiame straipsnyje – taikomus registro raktų parametrus.
CVE-2018-12127 "Intel": taip Įjungta pagal numatytuosius parametrus.
Daugiau informacijos žr. ADV190013 , o šiame straipsnyje – taikomus registro raktų parametrus.
CVE-2018-12130 "Intel": taip Įjungta pagal numatytuosius parametrus.
Daugiau informacijos žr. ADV190013 , o šiame straipsnyje – taikomus registro raktų parametrus.
CVE-2019-11135 "Intel": taip Įjungta pagal numatytuosius parametrus.
CVE-2019-11135 norėdami gauti daugiau informacijos, o šiame straipsnyje – taikomus registro raktų parametrus.
CVE-2022-21123 (MMIO ADV220002 dalis) "Intel": taip Windows 10, 1809 ir naujesnė versija: įjungta pagal numatytuosius nustatymus.
Windows 10, 1607 ir ankstesnės versijos: išjungta pagal numatytuosius nustatymus.
Norėdami gauti daugiau informacijos, žr. CVE-2022-21123 , o šiame straipsnyje – taikomus registro raktų parametrus.
CVE-2022-21125 (MMIO ADV220002 dalis) "Intel": taip Windows 10, 1809 ir naujesnė versija: įjungta pagal numatytuosius nustatymus.
Windows 10, 1607 ir ankstesnės versijos: išjungta pagal numatytuosius nustatymus.
Norėdami gauti daugiau informacijos, žr. CVE-2022-21125 .
CVE-2022-21127 (MMIO ADV220002 dalis) "Intel": taip Windows 10, 1809 ir naujesnė versija: įjungta pagal numatytuosius nustatymus.
Windows 10, 1607 ir ankstesnės versijos: išjungta pagal numatytuosius nustatymus.
Norėdami gauti daugiau informacijos, žr. CVE-2022-21127 .
CVE-2022-21166 (MMIO ADV220002 dalis) "Intel": taip Windows 10, 1809 ir naujesnė versija: įjungta pagal numatytuosius nustatymus.
Windows 10, 1607 ir ankstesnės versijos: išjungta pagal numatytuosius nustatymus.
Norėdami gauti daugiau informacijos, žr. CVE-2022-21166 .
CVE-2022-23825 (AMD CPU šakos tipo sumaišymas) AMD: Ne Norėdami gauti daugiau informacijos, žr. CVE-2022-23825 , o šiame straipsnyje – taikomus registro raktų parametrus.
CVE-2023-20569
(AMD CPU Return Address Predictor)		 AMD: Taip Norėdami gauti daugiau informacijos, žr. CVE-2023-20569 , o taikomus registro raktų parametrus – šį straipsnį.
CVE-2022-0001 "Intel": Ne Išjungta pagal numatytuosius parametrus.
Norėdami gauti daugiau informacijos, žr. CVE-2022-0001 , o šiame straipsnyje – taikomus registro raktų parametrus.

Pastaba

Pagal numatytuosius nustatymus išjungtų rizikos mažinimo priemonių įjungimas gali turėti įtakos įrenginio veikimui. Faktinis našumo poveikis priklauso nuo daugelio veiksnių, tokių kaip konkretus įrenginio mikroschemų rinkinys ir veikiantys darbo krūviai.

Registro parametrai

Pateikiame toliau nurodytą registro informaciją, kad įgalintume rizikos mažinimo priemones, kurios nėra įjungtos pagal numatytuosius parametrus, kaip aprašyta saugos patarimuose (ADV) ir CVE. Be to, pateikiame registro rakto parametrus vartotojams, kurie nori išjungti rizikos mažinimo priemones, kai taikoma "Windows" klientams.

Svarbu

Šiame skyriuje, metode arba užduotyje yra veiksmų, kurie nurodo, kaip modifikuoti registrą. Tačiau, jei registrą modifikuosite netinkamai, gali kilti didelių problemų. Taigi, įsitikinkite, kad atidžiai atliekate šiuos veiksmus. Kad papildomai apsisaugotumėte, prieš redaguodami sukurkite atsarginę registro kopiją. Tada galėsite atkurti registrą, jei kiltų problemų. Daugiau informacijos apie tai, kaip kurti atsarginę registro kopiją ir atkurti registrą, žr. šiame "Microsoft" žinių bazės straipsnyje:

322756 Kaip sukurti atsarginę registro kopiją ir atkurti registrą sistemoje "Windows"

CVE-2017-5715 ("Spectre Variant 2") ir CVE-2017-5754 ("Meltdown") pažeidžiamumą mažinančių priemonių valdymas

Svarbu

Pagal numatytuosius parametrus "Retpoline" yra įjungtas "Windows 10" 1809 versijos įrenginiuose, jei įjungtas "Spectre" 2 variantas (CVE-2017-5715). "Retpoline" įjungimas naujausioje "Windows 10" versijoje gali padidinti efektyvumą įrenginiuose, kuriuose veikia "Windows 10" 1809 versija, skirta "Spectre 2 variant", ypač senesniuose procesoriuose.

Norėdami įjungti numatytąsias CVE-2017-5715 ("Spectre Variant 2") ir CVE-2017-5754 ("Meltdown") pažeidžiamumą mažinančias priemones
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Norėdami išjungti CVE-2017-5715 ("Spectre Variant 2") ir CVE-2017-5754 ("Meltdown") pažeidžiamumą mažinančias priemones
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.

Pastaba

3 reikšmė yra tiksli FeatureSettingsOverrideMask tiek parametrams "įjungti", tiek "išjungti". (Daugiau informacijos apie registro raktus žr. DUK skyriuje.)

Poveikio sumažinimo valdymas CVE-2017-5715 ("Spectre" 2 variantas)
**Norėdami išjungti CVE-2017-5715 (Spectre Variant 2) skirtas pažeidžiamumą mažinančias priemones :
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 1 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Norėdami įjungti numatytąsias CVE-2017-5715 ("Spectre Variant 2") ir CVE-2017-5754 ("Meltdown") pažeidžiamumą mažinančias priemones:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Tik AMD ir ARM procesoriai: įgalinti visišką rizikos mažinimą CVE-2017-5715 ("Spectre" 2 variantas)

Pagal numatytuosius nustatymus CVE-2017-5715 vartotojo ir branduolio apsauga yra išjungta AMD ir ARM CPU. Turite įgalinti rizikos mažinimą, kad gautumėte papildomą CVE-2017-5715 apsaugą. Daugiau informacijos žr. " ADV180002 " DUK #15, skirtą AMD procesoriams, ir DUK #20 dalyje "ADV180002 ", skirtą ARM procesoriams.

Įgalinkite vartotojo ir branduolio apsaugą AMD ir ARM procesoriuose kartu su kitomis CVE 2017-5715 apsaugos priemonėmis:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 64 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
CVE-2018-3639 ("Speculative Store Bypass"), CVE-2017-5715 ("Spectre Variant 2") ir CVE-2017-5754 ("Meltdown") pažeidžiamumą mažinančių priemonių valdymas
Norėdami įgalinti CVE-2018-3639 ("Speculative Store Bypass"), numatytąsias CVE-2017-5715 ("Spectre Variant 2") ir CVE-2017-5754 ("Meltdown") pažeidžiamumą mažinančias priemones:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Pastaba: AMD procesoriai nėra pažeidžiami CVE-2017-5754 ("Meltdown"). Šis registro raktas naudojamas sistemose su AMD procesoriais, kad būtų įgalintos numatytosios CVE-2017-5715 AMD procesorių ir CVE-2018-3639 pažeidžiamumo mažinimo priemonės.
Norėdami išjungti CVE-2018-3639 ("Speculative Store Bypass") *ir* CVE-2017-5715 ("Spectre Variant 2") ir CVE-2017-5754 ("Meltdown") pažeidžiamumą mažinančias priemones
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Tik AMD procesoriai: įgalinkite visišką rizikos mažinimą CVE-2017-5715 ("Spectre Variant 2") ir CVE 2018-3639 ("Speculative Store Bypass")

Pagal numatytuosius parametrus vartotojo ir branduolio apsauga, skirta CVE-2017-5715 , AMD procesoriams yra išjungta. Klientai turi įgalinti rizikos mažinimą, kad gautų papildomą CVE-2017-5715 apsaugą.  Daugiau informacijos žr. "ADV180002" DUK #15.

Įgalinkite vartotojo ir branduolio apsaugą AMD procesoriuose kartu su kitomis CVE 2017-5715 apsaugos priemonėmis ir CVE-2018-3639 apsauga (spėjamosios parduotuvės apėjimas):
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Operacijų valdymas Asinchroninio nutraukimo pažeidžiamumas, mikroarchitektūros duomenų atranka, "Spectre", "Meltdown", "Speculative Store Bypass Disabled" (SSBD) ir L1 terminalo gedimas (L1TF)
Norėdami įgalinti "Intel" operacijų sinchronizavimo plėtinių ("Intel TSX") operacijų asinchroniško nutraukimo pažeidžiamumo (CVE-2019-11135) ir mikroarchitektūros duomenų atrankos (CVE-2019-11091 , CVE-2018-12126 , CVE-2018-12127 , CVE-2018-12130) ir "Spectre" (CVE-2017-) rizikos mažinimo priemones 5753 & CVE-2017-5715) ir "Meltdown" (CVE-2017-5754) variantai, įskaitant "Speculative Store Bypass Disable (SSBD)" (CVE-2018-3639) ir "L1 Terminal Fault" (L1TF) (CVE-2018-3615, CVE-2018-3620 ir CVE-2018-3646) neišjungdami hipergijų:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 72 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Jei įdiegta funkcija "Hyper-V", įtraukite šį registro parametrą:
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\„Microsoft“\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Jei tai yra "Hyper-V" pagrindinis kompiuteris ir buvo pritaikyti programinės-aparatinės įrangos naujinimai: Visiškai išjunkite visas virtualiąsias mašinas. Tai leidžia pritaikyti su programine-aparatine įranga susijusią rizikos mažinimo priemonę pagrindiniame kompiuteryje prieš paleidžiant virtualiąsias mašinas. Todėl virtualiosios mašinos taip pat atnaujinamos jas paleidus iš naujo.
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Norėdami įgalinti "Intel" operacijų sinchronizavimo plėtinių ("Intel TSX") operacijų asinchroniško nutraukimo pažeidžiamumo (CVE-2019-11135) ir mikroarchitektūros duomenų atrankos (CVE-2019-11091 , CVE-2018-12126 , CVE-2018-12127 , CVE-2018-12130) ir "Spectre" (CVE-2017-) rizikos mažinimo priemones 5753 & CVE-2017-5715) ir "Meltdown" (CVE-2017-5754) variantai, įskaitant "Speculative Store Bypass Disable (SSBD)" (CVE-2018-3639) ir "L1 Terminal Fault" (L1TF) (CVE-2018-3615, CVE-2018-3620 ir CVE-2018-3646) Kai Hyper-Threading išjungta:
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8264 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Jei įdiegta funkcija "Hyper-V", įtraukite šį registro parametrą:
reg add "HKEY_LOCAL_MACHINE\SOFTWARE\„Microsoft“\Windows NT\CurrentVersion\Virtualization" /v MinVmVersionForCpuBasedMitigations /t REG_SZ /d "1.0" /f
Jei tai yra "Hyper-V" pagrindinis kompiuteris ir buvo pritaikyti programinės-aparatinės įrangos naujinimai: Visiškai išjunkite visas virtualiąsias mašinas. Tai leidžia pritaikyti su programine-aparatine įranga susijusią rizikos mažinimo priemonę pagrindiniame kompiuteryje prieš paleidžiant virtualiąsias mašinas. Todėl virtualiosios mašinos taip pat atnaujinamos jas paleidus iš naujo.
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
Norėdami išjungti "Intel"® operacijų sinchronizavimo plėtinių ("Intel® TSX") operacijų asinchroniško nutraukimo pažeidžiamumo (CVE-2019-11135) ir mikroarchitektūros duomenų atrankos (CVE-2019-11091 , CVE-2018-12126 , CVE-2018-12127 , CVE-2018-12130) pažeidžiamumą mažinančias priemones kartu su "Spectre" (CVE-2017-5753 & CVE-2017-5715) ir "Meltdown" (CVE-2017-5754) variantais, įskaitant "Speculative Store Bypass Disable (SSBD)" (CVE-2018-3639) bei "L1 Terminal Fault" (L1TF) (CVE-2018-3615, CVE-2018-3620) ir CVE-2018-3646):
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f
Iš naujo paleiskite įrenginį, kad pakeitimai įsigaliotų.
CVE-2022-23825 \| AMD CPU šakos tipo sumaišymas (BTC)

Norėdami įgalinti CVE-2022-23825 AMD procesoriuose pažeidžiamumą mažinančią versiją:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Kad būtų visiškai apsaugoti, klientams taip pat gali reikėti išjungti Hyper-Threading (taip pat vadinama vienalaikiu kelių gijų naudojimu (SMT)). Nurodymus, kaip apsaugoti "Windows" įrenginius, žr. KB4073757 .

CVE-2023-20569 \| AMD CPU Return Address Predictor

Norėdami įgalinti CVE-2023-20569 mažinimą AMD procesoriuose:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

CVE-2022-0001 \| "Intel" filialo istorijos injekcija

Norėdami įjungti CVE-2022-0001 rizikos mažinimą "Intel" procesoriuose:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Kelių rizikos mažinimo priemonių įgalinimas

Norėdami įgalinti kelis rizikos mažinimus, turite kartu sudėti kiekvieno rizikos mažinimo REG_DWORD reikšmę.

Pavyzdžiui:

Operacijų pažeidžiamumo mažinimas Asinchroninio nutraukimo pažeidžiamumas, mikroarchitektūros duomenų atranka, "Spectre", "Meltdown", MMIO, "Speculative Store Bypass Disabled" (SSBD) ir L1 terminalo gedimas (L1TF) su išjungta Hyper-Threading reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 8264 /f
8264 PASTABA (dešimtaine dalimi) = 0x2048 (šešiakampe)
Norėdami įgalinti BHI kartu su kitais esamais parametrais, jums reikės naudoti bitų OR dabartinės reikšmės su 8 388 608 (0x800000).
0x800000 OR 0x2048(8264 dešimtaine išraiška) ir taps 8 396 872 (0x802048). Tas pats su FeatureSettingsOverrideMask.
"Intel" procesoriuose veikiančio CVE-2022-0001 rizikos mažinimas reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f
Kombinuotas rizikos mažinimas reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00802048 /f

Patikrinkite, ar įjungta apsauga

Norėdami patikrinti, ar įjungtos apsaugos, paskelbėme "PowerShell" scenarijų, kurį galite paleisti savo įrenginiuose. Įdiekite ir vykdykite scenarijų naudodami vieną iš toliau nurodytų būdų.

1 būdas: "PowerShell" patvirtinimas naudojant "PowerShell" galeriją ("Windows Server 2016" arba WMF 5.0/5.1)
Įdiekite "PowerShell" modulį:
PS> Install-Module SpeculationControl
Paleiskite "PowerShell" modulį, kad patikrintumėte, ar įjungtos apsaugos:
PS> # Išsaugokite dabartinę vykdymo strategiją, kad ją būtų galima nustatyti iš naujo
PS> $SaveExecutionPolicy = Get-ExecutionPolicy
PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser
PS> Import-Module SpeculationControl
PS> Get-SpeculationControlSettings
PS> # Iš naujo nustatykite vykdymo strategiją į pradinę būseną
PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser
2 būdas: "PowerShell" patvirtinimas naudojant atsisiuntimą iš "Technet" (ankstesnės operacinės sistemos versijos ir ankstesnės WMF versijos)
Įdiekite "PowerShell" modulį iš "Technet ScriptCenter":
Eikite į https://aka.ms/SpeculationControlPS
Atsisiųskite SpeculationControl.zip į vietinį aplanką.
Išskleiskite turinį į vietinį aplanką, pvz., C:\ADV180002
Paleiskite "PowerShell" modulį, kad patikrintumėte, ar įjungtos apsaugos:
Paleiskite "PowerShell", tada (naudodami ankstesnį pavyzdį) nukopijuokite ir vykdykite šias komandas:
PS> # Išsaugokite dabartinę vykdymo strategiją, kad ją būtų galima nustatyti iš naujo
PS> $SaveExecutionPolicy = Get-ExecutionPolicy
PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser
PS> CD C:\ADV180002\SpeculationControl
PS> Import-Module .\SpeculationControl.psd1
PS> Get-SpeculationControlSettings
PS> # Iš naujo nustatykite vykdymo strategiją į pradinę būseną
PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Išsamų "PowerShell" scenarijaus išvesties paaiškinimą rasite KB4074629.

Dažnai užduodami klausimai

Kaip sužinoti, ar turiu teisingą CPU mikrokodo versiją?

Mikrokodas pristatomas atnaujinus programinę-aparatinę įrangą. Turėtumėte pasitarti su CPU (lustų rinkiniu) ir įrenginių gamintojais, ar yra konkrečiam įrenginiui taikomų programinės-aparatinės įrangos saugos naujinimų, įskaitant "Intels" mikrokodo peržiūros rekomendacijas.

Mano operacinės sistemos nėra sąraše. Kada galiu tikėtis sprendimo išleidimo?

Aparatūros pažeidžiamumo šalinimas naudojant programinės įrangos naujinimą kelia didelių iššūkių. Be to, senesnių operacinių sistemų pažeidžiamumą mažinančios priemonės reikalauja svarbių architektūros pakeitimų. Dirbame su paveiktų lustų gamintojais, kad nustatytume geriausią rizikos mažinimo būdą, kuris gali būti pateiktas būsimuose naujinimuose.

Kur rasti "Surface" programinės-aparatinės įrangos arba aparatūros naujinimų?

"„Microsoft“ Surface" įrenginių naujinimai klientams bus teikiami per "„Windows Update“" kartu su "Windows" operacinės sistemos naujinimais. Galimų "Surface" įrenginio programinės-aparatinės įrangos (mikrokodo) naujinimų sąrašą rasite KB4073065.

Jei jūsų įrenginio gamintojas nėra „„Microsoft““, taikykite įrenginio gamintojo išleistą programinę-aparatinę įrangą. Norėdami gauti daugiau informacijos, kreipkitės į OĮG įrenginio gamintoją.

Turiu x86 architektūrą, bet nematau siūlomo atnaujinimo. Ar aš jį gausiu?

2018 m. vasario ir kovo mėnesiais "„Microsoft“" išleido papildomą kai kurių x86 pagrįstų sistemų apsaugą. Daugiau informacijos žr. KB4073757 ir "Microsoft" saugos patarimų ADV180002.

Kur rasti "„Microsoft“ HoloLens" operacinės sistemos ir programinės-aparatinės įrangos (mikrokodo) naujinimų?

"Windows 10", skirtos "HoloLens", naujinimai pasiekiami "HoloLens" klientams per "„Windows Update“".

Pritaikius 2018 m. vasario mėn. "„Windows“ sauga" naujinimą, "HoloLens" klientams nereikia imtis jokių papildomų veiksmų įrenginio programinei-aparatinei įrangai atnaujinti. Šios rizikos mažinimo priemonės taip pat bus įtrauktos į visus būsimus "Windows 10", skirtos "HoloLens", leidimus.

Neįdiegiau nė vieno iš 2018 m. tik saugos naujinimų. Jei įdiegsiu naujausius 2018 m. tik saugos naujinimus, ar esu apsaugotas nuo aprašytų pažeidžiamumų?

Ne. Tik saugos naujinimai nėra kaupiamieji. Atsižvelgiant į naudojamą operacinės sistemos versiją, turėsite kas mėnesį įdiegti tik saugos naujinimus, kad apsisaugotumėte nuo šių pažeidžiamumų. Pavyzdžiui, jei naudojate "Windows 7", skirtą 32 bitų sistemoms, su paveiktu "Intel" procesoriumi, turite įdiegti visus tik saugos naujinimus. Šiuos saugos naujinimus rekomenduojame įdiegti tik išleidimo tvarka.

Atkreipkite dėmesį Ankstesnėje šių DUK versijoje buvo klaidingai nurodyta, kad į vasario mėn. tik saugos naujinimą įtrauktos sausio mėn. išleistos saugos pataisos. Tiesą sakant, taip nėra.

Jei pritaikysiu bet kurį taikomą vasario mėn. saugos naujinimą, ar jie išjungs CVE-2017-5715 apsaugą taip, kaip išjungė 4078130 saugos naujinimas?

Ne. Saugos naujinimas 4078130 buvo konkreti pataisa, skirta užkirsti kelią nenuspėjamai sistemos veiksenai, našumo problemoms ir / arba netikėtiems pametimams iš naujo įdiegus mikrokodą. Vasario mėn. saugos naujinimų taikymas "Windows" kliento operacinėse sistemose įgalina visas tris rizikos mažinimo priemones.

Girdėjau, kad "Intel" išleido mikrokodo naujinimus. Kur juos rasti?

„Intel“ neseniai paskelbė, kad baigė savo patikrinimus ir pradėjo platinti mikrokodą naujesnėms CPU platformoms. "„Microsoft“" suteikia galimybę įdiegti patvirtintą "Intel" mikrokodą, skirtą "Spectre Variant 2" (CVE-2017-5715 "Branch Target Injection"). KB4093836 pateikiami konkretūs žinių bazės straipsniai pagal "Windows" versiją. Kiekvienoje konkrečioje KB yra galimų „Intel“ mikrokodų naujinimai pagal CPU.

Žinoma problema: kai kuriems vartotojams gali kilti tinklo ryšio problemų arba prarasti IP adreso parametrus įdiegus 2018 m. kovo 13 d. saugos naujinimą (KB4088875)

Ši problema buvo išspręsta KB4093118.

Girdėjau, kad AMD išleido mikrokodo naujinimus. Kur rasti ir įdiegti šiuos savo sistemos naujinimus?

AMD neseniai paskelbė, kad pradėjo leisti mikrokodą naujesnėms procesoriaus platformoms aplink "Spectre Variant 2" (CVE-2017-5715 "Branch Target Injection"). Daugiau informacijos rasite AMD saugos Naujinimai ir AMD baltoji knyga: Netiesioginio šakos valdymo architektūros gairės. Juos galima rasti OĮG programinės-aparatinės įrangos kanale.

Naudoju "Windows 10" 2018 m. balandžio mėn. naujinimą (1803 versiją). Ar mano įrenginiui yra "Intel" mikrokodas? Kur jį rasti?

Teikiame "Intel" patvirtintus mikrokodo naujinimus dėl "Spectre Variant 2" (CVE-2017-5715 "Branch Target Injection"). Norėdami gauti naujausius "Intel" mikrokodo naujinimus naudodami "„Windows Update“", klientai privalo įdiegti "Intel" mikrokodą įrenginiuose, kuriuose veikia "Windows 10" operacinė sistema prieš naujindami į "Windows 10" 2018 m. balandžio mėn. naujinimą (1803 versija).

Mikrokodo naujinimas taip pat pasiekiamas tiesiogiai iš katalogo, jei jis nebuvo įdiegtas įrenginyje prieš naujinant operacinę sistemą. "Intel" mikrokodas pasiekiamas per "„Windows Update“", WSUS arba "„Microsoft“ Update" katalogą. Daugiau informacijos ir atsisiuntimo instrukcijas rasite KB4100347.

Kur rasti informacijos apie naujus spekuliacinių vykdymo šalutinių kanalų pažeidžiamumus (spekuliacinės parduotuvės apėjimo – CVE-2018-3639 ir "Rogue System Register Read" – CVE-2018-3640)?

Daugiau informacijos žr. šiuose ištekliuose:

Kur rasti daugiau informacijos apie "Intel" procesorių "Speculative Store Bypass Disable (SSBD)" palaikymą

Daugiau informacijos rasite skirsniuose "Rekomenduojami veiksmai" ir "DUK" ADV180012 | "„Microsoft“" rekomendacijos, kaip apeiti spekuliacinę parduotuvę.

Kaip patikrinti, ar SSBD įjungtas, ar išjungtas?

Norint patikrinti SSBD būseną, buvo atnaujintas "Get-SpeculationControlSettings PowerShell" scenarijus, kad aptiktų paveiktus procesorius, SSBD operacinės sistemos naujinimų būseną ir, jei taikoma, procesoriaus mikrokodo būseną. Norėdami gauti daugiau informacijos ir gauti "PowerShell" scenarijų, žr. KB4074629.

Girdėjau, kad buvo paskelbtas "Lazy FP State Restore" (CVE-2018-3665). Ar "„Microsoft“" išleis jai skirtas pažeidžiamumą mažinančias priemones?

2018 m. birželio 13 d. buvo paskelbtas papildomas pažeidžiamumas, susijęs su šalutinių kanalų spėjamuoju vykdymu, žinomas kaip "Lazy FP State Restore", ir jam priskirtas CVE-2018-3665. Lazy Restore FP atkūrimui nereikia jokių konfigūracijos (registro) nustatymų.

Daugiau informacijos apie šį pažeidžiamumą ir rekomenduojamus veiksmus rasite saugos patarimo ADV180016 | "„Microsoft“" rekomendacijos tingus FP būsenos atkūrimas.

Pastaba

Lazy Restore FP atkūrimui nereikia jokių konfigūracijos (registro) nustatymų.

Girdėjau, kad CVE-2018-3693 ("Bounds Check Bypass Store") yra susijęs su "Spectre". Ar "„Microsoft“" išleis jai skirtas pažeidžiamumą mažinančias priemones?

2018 m. liepos 10 d. buvo atskleista "Bounds Check Bypass Store" (BCBS) ir jai priskirta CVE-2018-3693. Manome, kad BCBS priklauso tai pačiai pažeidžiamumų klasei kaip ir ribų patikrinimo apėjimas (1 variantas). Šiuo metu nežinome jokių BCBS atvejų mūsų programinėje įrangoje, tačiau toliau tiriame šią pažeidžiamumo klasę ir bendradarbiausime su pramonės partneriais, kad prireikus išleistume rizikos mažinimo priemones. Mes ir toliau raginame tyrėjus pateikti bet kokias susijusias išvadas "„Microsoft“" " Speculative Execution Side Channel Bounty Program", įskaitant visus BCBS atvejus, kuriuos galima išnaudoti. Programinės įrangos kūrėjai turėtų peržiūrėti kūrėjų rekomendacijas, kurios buvo atnaujintos BBBS https://aka.ms/sescdevguide.

Girdėjau, kad buvo atskleista L1 terminalo gedimas (L1TF). Kur rasti daugiau informacijos apie ją ir "Windows" palaikymą?

2018 m. rugpjūčio 14 d. buvo paskelbta L1 terminalo gedimas (L1TF) ir priskirti keli CVE. Šie nauji spekuliatyvaus vykdymo šalutinio kanalo pažeidžiamumai gali būti naudojami nuskaityti atminties turinį per patikimą ribą ir, jei jie išnaudojami, gali lemti informacijos atskleidimą. Ataką vykdantis asmuo gali suaktyvinti pažeidžiamumą per kelis vektorius, atsižvelgiant į sukonfigūruotą aplinką. L1TF veikia "Intel Core®"® procesorius ir "Intel Xeon®"® procesorius.

Norėdami gauti daugiau informacijos apie šį pažeidžiamumą ir išsamų paveiktų scenarijų rodinį, įskaitant "„Microsoft“" L1TF poveikio mažinimo metodą, žr. šiuos išteklius:

Kur rasti ir įdiegti ARM64 programinę-aparatinę įrangą, kuri sumažina CVE-2017-5715 – "Branch Target Injection" (Spectre Variant 2) poveikį?

Klientai, naudojantys 64 bitų ARM procesorius, turėtų kreiptis į įrenginio OĮG dėl programinės-aparatinės įrangos palaikymo, nes ARM64 operacinės sistemos apsauga, sumažinanti CVE-2017-5715 | "Branch Target Injection" ("Spectre", 2 variantas) kad įsigaliotų, būtinas naujausias programinės-aparatinės įrangos naujinimas iš įrenginio OĮG.

Kur rasti informacijos apie "Intel" atskleidimą apie mikroarchitektūrinių duomenų atranką (CVE-2018-12126, CVE-2018-12130, CVE-2018-12127?)

Norėdami gauti daugiau informacijos, peržiūrėkite šiuos saugos patarimus

Kur rasti informacijos apie "Intel" atskleidimą dėl mikroarchitektūros duomenų atrankos spragų (CVE-2019-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130)?

Norėdami gauti daugiau informacijos, peržiūrėkite šiuos saugos patarimus

Kur rasti scenarijumi pagrįstas gaires, kaip nustatyti veiksmus, būtinus siekiant sumažinti mikroarchitektūros duomenų atrankos pažeidžiamumą?

Daugiau rekomendacijų rasite "Windows" nurodymuose, kaip apsisaugoti nuo su spėjamu vykdymu susijusių šalutinių kanalų spragų

Ar reikia išjungti MDS Hyper-Threading savo įrenginyje?

Peržiūrėkite nurodymus, pateiktus "Windows" nurodymuose, kaip apsisaugoti nuo su spėjamu vykdymu susijusių šalutinių kanalų spragų

Kur rasti nurodymų dėl "Azure"?

Jei reikia patarimų dėl "Azure", žr. šį straipsnį: Rekomendacijos, kaip sumažinti su spėjamu vykdymu susijusių šalutinių kanalų spragų "Azure".

Kur galiu sužinoti daugiau apie "Retpoline" įgalinimą "Windows 10" 1809 versijoje?

Norėdami gauti daugiau informacijos apie "Retpoline" įgalinimą, žr. mūsų tinklaraščio įrašą: "Mitigating Spectre variant 2" naudojant "Retpoline" sistemoje "Windows".

Aš girdėjau, kad yra variantas Spectre Variant 1 spekuliatyvus vykdymo šoninio kanalo pažeidžiamumas. Kur galiu gauti daugiau informacijos?

Išsamios informacijos apie šį pažeidžiamumą ieškokite "Microsoft" saugos vadove: CVE-2019-1125 | "Windows" branduolio informacijos atskleidimo pažeidžiamumas.

Ar CVE-2019-1125 \| "Windows" branduolio informacijos atskleidimo pažeidžiamumas turi įtakos "„Microsoft“" debesies tarnyboms?

Mes nežinome nė vieno šio informacijos atskleidimo pažeidžiamumo atvejo, kuris paveiktų mūsų debesies paslaugų infrastruktūrą.

Jei CVE-2019-1125 naujinimai \| "Windows" branduolio informacijos atskleidimo pažeidžiamumas buvo išleistas 2019 m. liepos 9 d., kodėl išsami informacija buvo paskelbta 2019 m. rugpjūčio 6 d.?

Kai tik sužinojome apie šią problemą, greitai stengėmės ją išspręsti ir išleisti naujinimą. Mes tvirtai tikime glaudžia partneryste tiek su tyrėjais, tiek su pramonės partneriais, kad klientai būtų saugesni, ir išsamią informaciją paskelbėme tik rugpjūčio 6 d., antradienį, laikydamiesi koordinuotos pažeidžiamumo atskleidimo praktikos.

Kur rasti scenarijumi pagrįstas gaires, kaip nustatyti veiksmus, būtinus siekiant sumažinti "Intel" operacijų sinchronizavimo plėtinių ("Intel TSX") operacijų asinchroniško nutraukimo pažeidžiamumą (CVE-2019-11135)?

Daugiau rekomendacijų rasite "Windows" nurodymuose, kaip apsisaugoti nuo su spėjamu vykdymu susijusių šalutinių kanalų spragų.

Ar reikia išjungti "Intel" operacijų sinchronizavimo plėtinių ("Intel TSX") operacijų asinchroniško nutraukimo pažeidžiamumo (CVE-2019-11135) Hyper-Threading savo įrenginyje?

Daugiau rekomendacijų rasite "Windows" nurodymuose, kaip apsisaugoti nuo su spėjamu vykdymu susijusių šalutinių kanalų spragų.

Ar galima išjungti "Intel" operacijų sinchronizavimo plėtinių ("Intel TSX") galimybes?

Daugiau rekomendacijų rasite "Intel®" operacijų sinchronizavimo plėtinių ("Intel® TSX") funkcijos išjungimo gairėse.

Nuorodos

Trečiosios šalies informacijos atsakomybės atsisakymas

Teikiame trečiųjų šalių kontaktinę informaciją, kad padėtume jums gauti techninę pagalbą. Ši kontaktinė informacija gali būti keičiama be pranešimo. Negarantuojame šios trečiųjų šalių kontaktinės informacijos tikslumo.