KB4073757. Windows ierīču aizsardzība pret silīcija mikroarhitektūras un spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Iespējams, būs jāatjaunina gan aparātprogrammatūra (mikrokods), gan programmatūra, lai novērstu šo ievainojamību. Lai uzzinātu ieteicamās darbības, lūdzu, skatiet Microsoft drošības padomniekus. Tas ietver piemērojamos aparātprogrammatūras (mikrokoda) atjauninājumus no ierīču ražotājiem un dažos gadījumos arī pretvīrusu programmatūras atjauninājumus. Mēs aicinām jūs uzturēt jūsu ierīces atjauninātas un drošībā, instalējot Windows drošības atjauninājumus katru mēnesi.

Lai iegūtu visu pieejamo aizsardzību, veiciet tālāk norādītās darbības, lai iegūtu jaunākos programmatūras un aparatūras atjauninājumus.

1. Nodrošiniet Windows ierīces atjaunināšanu , ieslēdzot automātiskos atjauninājumus.

2. Pārbaudiet, vai esat instalējis korporācijas Microsoft jaunākos Windows operētājsistēmas drošības atjauninājumus. Ja automātiskā atjaunināšana ir ieslēgta, jūs saņemsit atjauninājumus automātiski. Tomēr joprojām ir jāpārbauda, vai tās ir instalētas. Norādījumus skatiet rakstā Windows Update: bieži uzdotie jautājumi

3. Instalējiet pieejamos aparātprogrammatūras (mikrokoda) atjauninājumus no ierīces ražotāja. Visiem klientiem būs jāsazinās ar savas ierīces ražotāju, lai lejupielādētu un instalētu savai ierīcei nepieciešamo aparatūras atjauninājumu. Ierīču ražotāju tīmekļa vietņu sarakstu skatiet sadaļā "Papildu resursi ".

   Piezīme

   Klientiem jāinstalē jaunākie Windows operētājsistēmas drošības atjauninājumi no korporācijas Microsoft, lai izmantotu pieejamo aizsardzība. Vispirms ir jāinstalē pretvīrusu programmatūras atjauninājumi. Operētājsistēmas un aparātprogrammatūras atjauninājumi jāinstalē pēc tam. Mēs aicinām jūs uzturēt jūsu ierīces atjauninātas un drošībā, instalējot Windows drošības atjauninājumus katru mēnesi.

Ietekmēto mikroshēmu vidū ir Intel, AMD un ARM ražotās mikroshēmas. Tas nozīmē, ka visas ierīces, kurās darbojas Windows operētājsistēmas, ir potenciāli ievainojamas. Tas attiecas uz galddatoriem, klēpjdatoriem, mākoņa serveriem un viedtālruņiem. Ir ietekmētas arī ierīces, kurās darbojas citas operētājsistēmas, piemēram, Android, Chrome, iOS un macOS. Mēs iesakām klientiem, kas izmanto šīs operētājsistēmas, prasīt padomu attiecīgajam pārdevējam.

Publicēšanas laikā mēs nebijām saņēmuši nekādu informāciju, kas norādītu, ka šīs ievainojamības problēmas ir izmantotas ar nolūku veikt uzbrukumus klientu ierīcēs.

Sākot ar 2018. gada janvāri, korporācija Microsoft izlaida atjauninājumus operētājsistēmām Windows un tīmekļa pārlūkprogrammām Internet Explorer un Edge, lai palīdzētu mazināt šo ievainojamību un palīdzētu aizsargāt klientus. Mēs izlaidām arī atjauninājumus, lai nodrošinātu mūsu mākoņpakalpojumu drošību.  Mēs turpinām cieši sadarboties ar nozares partneriem, tostarp mikroshēmu veidotājiem, aparatūras OEM un programmu piegādātājiem, lai aizsargātu klientus pret šīs klases ievainojamību.

Mēs aicinām jūs vienmēr instalēt ikmēneša atjauninājumus, lai jūsu ierīces būtu atjauninātas un drošas.

Mēs atjaunināsim šo dokumentāciju, kad būs pieejami jauni mazināšanas pasākumi, un iesakām regulāri pārskatīt to šeit.

2019. gada jūlija operētājsistēmas Windows atjauninājumi

2019. gada 6. augustā Intel atklāja detalizētu informāciju par drošības ievainojamību CVE-2019-1125 | Windows kodola informācijas izpaušanas ievainojamība. Šīs ievainojamības drošības atjauninājumi tika izlaisti kā daļa no jūlija ikmēneša atjauninājuma laidiena 2019. gada 9. jūlijā.

2019. gada 9. jūlijā Microsoft izlaida drošības atjauninājumu operētājsistēmai Windows, lai palīdzētu mazināt šo problēmu. Mēs atturējāmies publiski dokumentēt šo mazināšanu līdz koordinētajai nozares atklāšanai otrdien, 2019. gada 6. augustā.

Klienti, kuriem ir iespējots Windows Update un kuri ir piemērojuši 2019. gada 9. jūlijā izlaistos drošības atjauninājumus, tiek aizsargāti automātiski. Ņemiet vērā, ka šīs ievainojamības novēršanai nav nepieciešams mikrokoda atjauninājums no ierīces ražotāja (OEM).

2019. gada maija operētājsistēmas Windows atjauninājumi

2019. gada 14. maijā Intel publicēja informāciju par jaunu spekulatīvas izpildes blakus kanālu ievainojamības apakšklasi, kas pazīstama kā mikroarhitektūras datu iztveršana , un tam tika piešķirti šādi CVE:

• CVE-2018-11091 — "Mikroarhitektūras datu iztveršana, nekešatmiņa (MDSUM)"
• CVE-2018-12126 — "Mikroarhitektūras krātuves bufera datu iztveršana (MSBDS)"
• CVE-2018-12127 — "Mikroarhitektūras aizpildījuma bufera datu iztveršana (MFBDS)"
• CVE-2018-12130 — "Mikroarhitektūras slodzes porta datu iztveršana (MLPDS)"

Lai iegūtu papildinformāciju par šo problēmu, skatiet šos drošības ieteikumus un izmantojiet uz scenārijiem balstītus norādījumus, kas izklāstīti Windows norādījumu klientiem un serveriem rakstos, lai noteiktu darbības, kas nepieciešamas apdraudējuma mazināšanai:

• ADV 190013 | Microsoft norādījumi mikroarhitektūras datu iztveršanas ievainojamības mazināšanai
• KB 4073119 | Windows IT Pro klienta norādījumi aizsardzībai pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām
• KB 4457951 | Windows Server norādījumi aizsardzībai pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Korporācija Microsoft ir izlaidusi aizsardzību pret jauna veida spekulatīvas izpildes blakus kanālu ievainojamības apakšklasi, kas pazīstama kā mikroarhitektūras datu iztveršana Windows 64 bitu (x64) versijām (CVE-2018-11091,CVE-2018-12126, CVE-2018-12127,CVE-2018-12130).

Izmantojiet reģistra iestatījumus, kā aprakstīts Windows klienta (KB4073119) un Windows Server (KB4457951) rakstos. Šie reģistra iestatījumi pēc noklusējuma ir iespējoti Windows Client OS izdevumos un Windows Server OS izdevumos.

Pirms mikrokoda atjauninājumu instalēšanas ieteicams instalēt visus jaunākos atjauninājumus no Windows Update.

Papildinformāciju par šo problēmu un ieteicamajām darbībām skatiet šādos drošības ieteikumos:

• ADV 190013 | Microsoft norādījumi mikroarhitektūras datu iztveršanas ievainojamības mazināšanai

Intel ir izlaidis mikrokoda atjauninājumu jaunākajām CPU platformām, lai palīdzētu mazināt CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130. 2019. gada 14. maija Windows KB 4093836 ir uzskaitīti konkrēti zināšanu bāzes raksti pēc Windows operētājsistēmas versijas.  Rakstā ir arī saites uz pieejamajiem Intel mikrokoda atjauninājumiem pēc CPU. Šie atjauninājumi ir pieejami, izmantojot Microsoft katalogu.

Piezīme: pirms mikrokoda atjauninājumu instalēšanas ieteicams instalēt visus jaunākos atjauninājumus no Windows Update.

Ar prieku paziņojam, ka Retpoline pēc noklusējuma ir iespējots Windows 10 versijas 1809 ierīcēs (klientam un serverim), ja ir iespējots Spectre 2. variants (CVE-2017-5715). Iespējojot Retpoline jaunākajā Windows 10 versijā, izmantojot 2019. gada 14. maija atjauninājumu (KB 4494441), mēs paredzam uzlabotu veiktspēju, jo īpaši vecākiem procesoriem.

Klientiem jānodrošina, ka iepriekšējā operētājsistēmas aizsardzība pret Spectre 2. varianta ievainojamību ir iespējota, izmantojot reģistra iestatījumus, kas aprakstīti Windows Client un Windows Server rakstos. (Šie reģistra iestatījumi ir iespējoti pēc noklusējuma Windows klienta operētājsistēmas izdevumiem, bet pēc noklusējuma ir atspējoti Windows Server OS izdevumiem). Papildinformāciju par "Retpoline" skatiet sadaļā Spectre 2. varianta mazināšana ar Retpoline operētājsistēmā Windows.

2018. gada novembra operētājsistēmas Windows atjauninājumi

Microsoft ir izlaidusi operētājsistēmas aizsardzību spekulatīvu Store apejai (CVE-2018-3639) AMD procesoriem (CPU).

Microsoft ir izlaidusi papildu operētājsistēmas aizsardzību klientiem, kas izmanto 64 bitu ARM procesorus. Lai saņemtu aparātprogrammatūras atbalstu, sazinieties ar savas ierīces OEM ražotāju, jo ARM64 operētājsistēmas aizsardzībai, kas mazina CVE-2018-3639, Spekulatīvu Store apeju, ir nepieciešams jaunākais aparātprogrammatūras atjauninājums no ierīces OEM.

2018. gada septembra operētājsistēmas Windows atjauninājumi

2018. gada 11. septembrī Microsoft izlaida Windows Server 2008. gada 2. servisa pakotnes ikmēneša apkopojuma 4458010 un tikai drošības 4457984 sistēmai Windows Server 2008, kas nodrošina aizsardzību pret jaunu spekulatīvu izpildes puses kanālu ievainojamību jeb L1 termināļa kļūmi (L1TF), kas ietekmē Intel® Core® procesorus un Intel Xeon® procesorus (CVE-2018-3620 un CVE-2018-3646®).

Šis laidiens pabeidz papildu aizsardzību visās atbalstītajās Windows sistēmas versijās, izmantojot Windows Update. Papildinformāciju un sarakstu ar ietekmētajiem produktiem skatiet rakstā ADV180018 | Microsoft norādījumi L1TF varianta mazināšanai.

Piezīme. Windows Server 2008 SP2 tagad atbilst standarta Windows apkopes apkopojuma modelim. Lai iegūtu papildinformāciju par šīm izmaiņām, lūdzu, skatiet mūsu emuāru Windows Server 2008 SP2 apkopes izmaiņas. Klientiem, kuri izmanto Windows Server 2008, papildus drošības atjauninājumam 4341832, kas tika izlaists 2018. gada 14. augustā, papildus drošības atjauninājumam , kas izmanto 2008, jāinstalē 4458010 vai 4457984. Klientiem ir arī jānodrošina, lai iepriekšējā operētājsistēmas aizsardzība pret Spectre Variant 2 un Meltdown ievainojamību būtu iespējota, izmantojot reģistra iestatījumus, kas norādīti Windows Client un Windows Server norādījumu KB rakstos. Šie reģistra iestatījumi pēc noklusējuma ir iespējoti Windows klienta operētājsistēmas izdevumiem, bet pēc noklusējuma ir atspējoti Windows Server OS izdevumiem.

Microsoft ir izlaidusi papildu operētājsistēmas aizsardzību klientiem, kas izmanto 64 bitu ARM procesorus. Lai saņemtu aparātprogrammatūras atbalstu, sazinieties ar savas ierīces OEM ražotāju, jo ARM64 operētājsistēmas aizsardzībai, kas mazina CVE-2017-5715 — zara mērķa ievadi (Spectre, 2. variants), ir nepieciešams jaunākais aparātprogrammatūras atjauninājums no ierīces OEM, lai tas stātos spēkā.

2018. gada augusta operētājsistēmas Windows atjauninājumi

2018. gada 14. augustā tika paziņots par L1 termināla defektu (L1TF), un tam tika piešķirti vairāki CVE. Šīs jaunās spekulatīvās izpildes blakus kanāla ievainojamības var izmantot, lai lasītu atmiņas saturu pāri uzticamai robežai, un, ja tās tiek izmantotas, tās var izraisīt informācijas izpaušanu. Ir vairāki vektori, ar kuriem uzbrucējs var izraisīt ievainojamību atkarībā no konfigurētās vides. L1TF ietekmē Intel® Core® procesorus un Intel® Xeon® procesorus.

Lai iegūtu papildinformāciju par L1TF un detalizētu skatu par ietekmētajiem scenārijiem, tostarp Microsoft pieeju L1TF mazināšanai, lūdzu, skatiet tālāk norādītos resursus.

• ADV180018 | Microsoft norādījumi L1TF varianta mazināšanai
• Drošības ieteikumu drošības izpētes emuārs
• Servera norādījumi L1 termināļa kļūmei

2018. gada jūlija Windows operētājsistēmas atjauninājumi

Ar prieku paziņojam, ka korporācija Microsoft ir pabeigusi izlaist papildu aizsardzību visās atbalstītajās Windows sistēmas versijās, izmantojot Windows Update, šādu ievainojamību novēršanai:

• Spectre 2. variants AMD procesoriem
• Spekulatīvu Store apeja Intel procesoriem

2018. gada 13. jūnijā tika paziņots par papildu ievainojamību, kas ietver sānu kanālu spekulatīvu izpildi, kas pazīstama kā slinka FP stāvokļa atjaunošana, un tai tika piešķirts CVE-2018-3665. Lazy Restore FP atjaunošanai nav nepieciešami konfigurācijas (reģistra) iestatījumi.

Papildinformāciju par šo ievainojamību, ietekmētajiem produktiem un ieteicamajām darbībām skatiet tālāk minētajā drošības ieteikumā.

• ADV180016 | Microsoft norādījumi par slinko FP stāvokļa atjaunošanu

12. jūnijā Microsoft paziņoja par Windows atbalstu Speculative Store Bypass Disable (SSBD) Intel procesoros. Atjauninājumu funkcionalitātei ir nepieciešami atbilstoši aparātprogrammatūras (mikrokoda) un reģistra atjauninājumi. Informāciju par atjauninājumiem un darbībām, kas jāveic, lai ieslēgtu SSBD, skatiet sadaļā "Ieteicamās darbības" ADV180012 | Microsoft norādījumi par spekulatīvu Store apiešanu.

2018. gada maija operētājsistēmas Windows atjauninājumi

2018. gada janvārī Microsoft publicēja informāciju par jaunatklāto aparatūras ievainojamības problēmu klasi (pazīstama kā Spectre un Meltdown), kas ietver spekulatīvus izpildes puses kanālus, kas dažādās pakāpēs ietekmē AMD, ARM un Intel centrālos procesorus. 2018. gada 21. maijā Google Project Zero (GPZ), Microsoft un Intel atklāja divas jaunas mikroshēmu ievainojamības, kas ir saistītas ar Spectre un Meltdown problēmām, kas ir pazīstamas kā Spekulatīvu Store apeja (SSB) un Rogue System Registry Read.

Klientu risks no abām informācijas atklāšanas ir zems.

Papildinformāciju par šīm ievainojamības problēmām skatiet tālāk norādītajos resursos.

• Microsoft drošības ieteikums par spekulatīvu Store apeju:MSRC ADV180012 un CVE-2018-3639
• Microsoft drošības ieteikums Rogue System reģistram Lasīt: MSRC ADV180013 un CVE-2018-3640
• Drošības izpēte un aizsardzība:spekulatīvu veikalu apvedceļa analīze un mazināšana (CVE-2018-3639)

Attiecas uz: Windows 10 versiju 1607, Windows Server 2016, Windows Server 2016 (servera kodola instalāciju) un Windows Server versiju 1709 (servera kodola instalācija)

Mēs esam snieguši atbalstu kontrolētai netiešās zara paredzēšanas barjeras (IBPB) lietošanai dažos AMD procesoros (CPU), lai mazinātu CVE-2017-5715, Spectre 2. variantu, kad pārslēdzaties no lietotāja konteksta uz kodola kontekstu. (Papildinformāciju skatiet sadaļā AMD arhitektūras vadlīnijas par netiešo zaru kontroli un AMD drošības Atjauninājumi).

Klientiem, kuri izmanto Windows 10 versiju 1607, Windows Server 2016, Windows Server 2016 (Server Core instalēšana) un Windows Server versiju 1709 (Server Core instalēšana), ir jāinstalē drošības atjauninājumu 4103723 papildu mazinājumiem AMD procesoriem CVE-2017-5715, Branch Mērķa injekcija. Šis atjauninājums ir pieejams arī, izmantojot Windows Update.

Izpildiet norādījumus, kas sniegti KB 4073119 Windows klienta (IT Pro) norādījumos un KB 4072698 Windows Server norādījumos, lai iespējotu IBPB lietošanu dažos AMD procesoros (CPU) Spectre 2. varianta mazināšanai, kad pārslēdzaties no lietotāja konteksta uz kodola kontekstu.

Microsoft dara pieejamus Intel apstiprinātos mikrokoda atjauninājumus Spectre 2. variantam (CVE-2017-5715 "Zara mērķa ievadīšana**"**). Lai iegūtu jaunākos Intel mikrokoda atjauninājumus, izmantojot Windows Update, klientiem jābūt instalētam Intel mikrokodam ierīcēs, kurās darbojas operētājsistēma Windows 10, pirms jaunināšanas uz Windows 10 atjauninājumu (2018. gada aprīlis, versija 1803).

Mikrokoda atjauninājums ir pieejams arī tieši no kataloga, ja tas netika instalēts ierīcē pirms operētājsistēmas jaunināšanas. Intel mikrokods ir pieejams, izmantojot Windows Update, WSUS vai Microsoft Update katalogu. Papildinformāciju un lejupielādes norādījumus skatiet KB 4100347.

Mēs piedāvāsim papildu mikrokoda atjauninājumus no Intel operētājsistēmai Windows, tiklīdz tie būs pieejami Microsoft.

Attiecas uz: Windows 10 versiju 1709

Mēs esam snieguši atbalstu kontrolētai netiešās zara paredzēšanas barjeras (IBPB) lietošanai dažos AMD procesoros (CPU), lai mazinātu CVE-2017-5715, Spectre 2. variantu, kad pārslēdzaties no lietotāja konteksta uz kodola kontekstu. (Papildinformāciju skatiet sadaļā AMD arhitektūras vadlīnijas par netiešo zaru kontroli un AMD drošības Atjauninājumi).

Izpildiet norādījumus, kas sniegti KB 4073119 Windows Client (IT Pro) norādījumos, lai iespējotu IBPB lietošanu dažos AMD procesoros (CPU) Spectre 2. varianta mazināšanai, kad pārslēdzaties no lietotāja konteksta uz kodola kontekstu.

Microsoft dara pieejamus Intel apstiprinātos mikrokoda atjauninājumus Spectre 2. variantam (CVE-2017-5715 "Zara mērķa ievadīšana"). KB4093836 ir uzskaitīti konkrēti zināšanu bāzes raksti pēc Windows versijas. Katrā konkrētajā KB ir ietverti jaunākie pieejamie Intel mikrokoda atjauninājumi pēc CPU.

Mēs piedāvāsim papildu mikrokoda atjauninājumus no Intel operētājsistēmai Windows, tiklīdz tie būs pieejami Microsoft.

2018. gada marts un jaunāki Windows operētājsistēmas atjauninājumi

23. marts, TechNet drošības izpēte & aizsardzība: KVA ēna: Windows sabrukuma mazināšana

14. marts, Drošības tehnoloģiju centrs: spekulatīvās izpildes puses kanāla atlīdzības programmas noteikumi

13. marts, emuārs: 2018. gada marts Windows drošības atjauninājums — mūsu centienu paplašināšana, lai aizsargātu klientus

1. marta emuārs: Spectre un Meltdown drošības atjauninājumi Windows ierīcēm

Sākot ar 2018. gada martu, Microsoft izlaida drošības atjauninājumus, lai nodrošinātu riska mazināšanos ierīcēm, kurās darbojas tālāk minētās Windows 2016 bitu operētājsistēmas. Klientiem ir jāinstalē jaunākie Windows operētājsistēmas drošības atjauninājumi, lai izmantotu pieejamo aizsardzība. Mēs strādājam, lai nodrošinātu aizsardzību citām atbalstītajām Windows versijām, bet šobrīd mums nav laidienu grafika. Lūdzu, pārbaudiet šeit atkal, lai uzzinātu atjauninājumus. Papildinformāciju skatiet saistītajā zināšanu bāzes rakstā un sadaļā "Bieži uzdotie jautājumi".

Sākot ar 2018. gada martu, Microsoft izlaida drošības atjauninājumus, lai nodrošinātu riska mazināšanos ierīcēm, kurās darbojas tālāk minētās Windows 64 bitu operētājsistēmas. Klientiem ir jāinstalē jaunākie Windows operētājsistēmas drošības atjauninājumi, lai izmantotu pieejamo aizsardzība. Mēs strādājam, lai nodrošinātu aizsardzību citām atbalstītajām Windows versijām, bet šobrīd mums nav laidienu grafika. Lūdzu, pārbaudiet šeit atkal, lai uzzinātu atjauninājumus. Papildinformāciju skatiet saistītajā zināšanu bāzes rakstā par tehnisko informāciju un sadaļu "Bieži uzdotie jautājumi".

Šis atjauninājums novērš privilēģiju palielināšanas ievainojamību Windows kodolā Windows 64 bitu (x64) versijā. Šī ievainojamība ir dokumentēta CVE-2018-1038. Lietotājiem šis atjauninājums ir jālieto, lai būtu pilnībā aizsargāti pret šo ievainojamību, ja viņu datori tika atjaunināti 2018. gada janvārī vai vēlāk, lietojot kādu no atjauninājumiem, kas norādīti šajā zināšanu bāzes rakstā:

Windows kodola atjauninājums CVE-2018-1038

Šis drošības atjauninājums novērš vairākas ziņotās ievainojamības pārlūkprogrammā Internet Explorer. Lai iegūtu papildinformāciju par šīm ievainojamībām, skatiet rakstu Microsoft bieži sastopamās ievainojamības un riski.

2018. gada februāra operētājsistēmas Windows atjauninājumi

Emuārs: Windows Analytics tagad palīdz novērtēt Spectre un Meltdown aizsardzību

Tālāk norādītie drošības atjauninājumi nodrošina papildu aizsardzību ierīcēm, kurās darbojas 32 bitu (x86) Windows operētājsistēmas. Microsoft iesaka klientiem instalēt atjauninājumu, tiklīdz tas ir pieejams. Mēs turpinām strādāt, lai nodrošinātu aizsardzību citām atbalstītajām Windows versijām, bet šobrīd mums nav laidienu grafika. Lūdzu, pārbaudiet šeit atkal, lai uzzinātu atjauninājumus.

Piezīme Windows 10 ikmēneša drošības atjauninājumi ir kumulatīvi katru mēnesi, un tie tiks automātiski lejupielādēti un instalēti no Windows Update. Ja esat instalējis iepriekšējos atjauninājumus, jūsu ierīcē tiks lejupielādētas un instalētas tikai jaunās daļas. Papildinformāciju skatiet saistītajā zināšanu bāzes rakstā un sadaļā "Bieži uzdotie jautājumi".

2018. gada janvāra operētājsistēmas Windows atjauninājumi

Emuārs: Par Spectre un Meltdown drošības mazinājumu ietekmi uz veiktspēju Windows sistēmās

Sākot ar 2018. gada janvāri, korporācija Microsoft ir izlaidusi drošības atjauninājumus, lai nodrošinātu riska mazināšanos ierīcēm, kurās darbojas tālāk minētās Windows 64 bitu operētājsistēmas. Klientiem ir jāinstalē jaunākie Windows operētājsistēmas drošības atjauninājumi, lai izmantotu pieejamo aizsardzība. Mēs strādājam, lai nodrošinātu aizsardzību citām atbalstītajām Windows versijām, bet šobrīd mums nav laidienu grafika. Lūdzu, pārbaudiet šeit atkal, lai uzzinātu atjauninājumus. Papildinformāciju skatiet saistītajā zināšanu bāzes rakstā un sadaļā "Bieži uzdotie jautājumi".

2024. gada 9. aprīlī mēs publicējām CVE-2022-0001 | Intel filiāles vēstures ievadīšana , kas apraksta filiāles vēstures injekciju (BHI), kas ir specifisks iekšējā režīma BTI veids. Šī ievainojamība rodas, kad uzbrucējs var manipulēt ar zaru vēsturi pirms pārejas no lietotāja uz uzrauga režīmu (vai no VMX bez saknes/viesa režīma uz saknes režīmu). Šī manipulācija var izraisīt netieša zara prognozētāju atlasīt konkrētu prognozētāja ierakstu netiešam zaram, un izpaušanas sīkrīks prognozētajā mērķī tiks īslaicīgi izpildīts. Tas var būt iespējams, jo attiecīgā zaru vēsture var ietvert zarus, kas iegūti iepriekšējos drošības kontekstos, un jo īpaši citus prognozētāju režīmus.

Izpildiet norādījumus, kas sniegti KB4073119 darbam ar Windows klienta (IT Pro) norādījumos un KB4072698 Windows Server norādījumus, lai mazinātu ievainojamības, kas aprakstītas CVE-2022-0001 | Intel filiāles vēstures ievadīšana.

Microsoft drošības ieteikums L1 termināļa kļūmei (L1TF):MSRC ADV180018, CVE-2018-3615, CVE-2018-3620 un CVE-2018-3646

Drošības izpēte un aizsardzība:spekulatīvu veikalu apvedceļa analīze un mazināšana (CVE-2018-3639)

Microsoft drošības ieteikums par spekulatīvu Store apeju:MSRC ADV180012 un CVE-2018-3639

Microsoft drošības ieteikums viltus sistēmu reģistram Lasīt | Drošības atjauninājumu rokasgrāmata ierīcei Surface: MSRC ADV180013 un CVE-2018-3640

Drošības izpēte un aizsardzība:spekulatīvu veikalu apvedceļa analīze un mazināšana (CVE-2018-3639)

TechNet drošības izpēte & aizsardzība:KVA ēna: Windows sabrukuma mazināšana

Drošības tehnoloģiju centrs:Spekulatīvās izpildes blakus kanāla atlīdzības programmas nosacījumi

Microsoft pieredzes emuārs:Spectre un Meltdown drošības atjauninājumi Windows ierīcēm

Windows darbam emuārs: Windows Analytics tagad palīdz novērtēt Spectre un Meltdown aizsardzību

Microsoft drošais emuārs: Par Spectre un Meltdown drošības mazinājumu ietekmi uz darbību Windows sistēmās

Edge izstrādātāju emuārs: Spekulatīvās izpildes blakus kanāla uzbrukumu novēršanas risinājumi pārlūkprogrammās Microsoft Edge un Internet Explorer

Azure emuārs: Aizsardzības nodrošināšana Azure klientiem pret centrālā procesora ievainojamību

SCCM norādījumi: Papildu norādījumi spekulatīvās izpildes blakus kanāla ievainojamības problēmu risināšanai

Microsoft ieteikumi:

• ADV180002 | Norādījumi spekulatīvās izpildes blakus kanāla ievainojamības problēmu risināšanai
• ADV180012 | Microsoft norādījumi par spekulatīvu Store apiešanu
• ADV180013 | Microsoft norādījumi par viltus sistēmas reģistru lasīts
• ADV180016 | Microsoft norādījumi par slinko FP stāvokļa atjaunošanu
• ADV180018 | Microsoft norādījumi L1TF varianta mazināšanai

Intel: drošības ieteikums

ARM: drošības ieteikums

AMD: drošības ieteikums

NVIDIA:drošības ieteikums

Norādījumi patērētājiem: Ierīces aizsardzība pret mikroshēmu drošības ievainojamības problēmām

Norādījumi aizsardzībai pret vīrusiem: 2018. gada 3. janvārī izlaistie Windows drošības atjauninājumi un pretvīrusu programmatūra

Norādījumi par AMD operētājsistēmas Windows drošības atjauninājumu bloku: KB4073707: operētājsistēmas Windows drošības atjauninājumu bloks noteiktām AMD ierīcēm

Atjauninājums, lai atspējotu risinājumu pret Spectre, Variant 2: KB4078130: dažu vecāku procesoru mikrokodā Intel ir konstatējis atkārtotas palaišanas problēmas

Surface norādījumi: Surface norādījumi aizsardzībai pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Spekulatīvās izpildes puses kanālu mazināšanas statusa pārbaude: informācija Get-SpeculationControlSettings PowerShell skripta izvadi

Norādījumi IT profesionāļiem: Windows klienta norādījumi IT profesionāļiem aizsardzībai pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Server norādījumi: Windows Server norādījumi aizsardzībai pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Servera norādījumi L1 termināļa kļūmei: Windows Server norādījumi aizsardzībai pret L1 termināļa kļūmi

Norādījumi izstrādātājiem:Norādījumi izstrādātājiem saistībā ar spekulatīvu Store apiešanu

Server Hyper-V norādījumi

• Virtuālo mašīnu resursu kontrole
• Hyper-V resursdatora centrālā procesora resursu pārvaldība

Azure KB: KB4073235: Microsoft mākoņpakalpojumu aizsardzība pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Azure Stack norādījumi: KB4073418: Azure stack norādījumi aizsardzībai pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Azure uzticamība: Azure uzticamības portāls

SQL Server norādījumi: KB4073225: SQL Server norādījumi aizsardzībai pret spekulatīvās izpildes blakus kanāla ievainojamības problēmām

Saites uz OEM un servera ierīču ražotājiem, lai saņemtu atjauninājumus aizsardzībai pret Spectre un Meltdown ievainojamību

Lai palīdzētu novērst šīs ievainojamības, ir jāatjaunina gan aparatūra, gan programmatūra. Izmantojiet tālāk norādītās saites, lai sazinātos ar savas ierīces ražotāju un saņemtu piemērojamos aparātprogrammatūras (mikrokoda) atjauninājumus.

Izmantojiet tālāk norādītās saites, lai sazinātos ar savas ierīces ražotāju un iegūtu aparātprogrammatūras (mikrokoda) atjauninājumus. Lai iegūtu visu pieejamo aizsardzību, ir jāinstalē gan operētājsistēmas, gan aparātprogrammatūras (mikrokoda) atjauninājumi.

Lai iegūtu aparātprogrammatūras (mikrokoda) atjauninājumus, sazinieties ar savas ierīces ražotāju. Ja jūsu ierīces ražotājs nav norādīts tabulā, sazinieties ar OEM tieši.

Microsoft Surface ierīču Atjauninājumi klientiem ir pieejami, izmantojot Windows Update. Pieejamo Surface ierīces aparātprogrammatūras (mikrokoda) atjauninājumu sarakstu skatiet KB 4073065.

Ja jūsu ierīce nav Microsoft ierīce, lietojiet aparātprogrammatūras atjauninājumus no ierīces ražotāja. Lai iegūtu papildinformāciju, sazinieties ar ierīces ražotāju.

Aparatūras ievainojamības risināšana, izmantojot programmatūras atjauninājumu, rada būtiskas problēmas un drošības mazinājumus vecākām operētājsistēmām un var prasīt apjomīgas arhitektūras izmaiņas. Mēs turpināt sadarboties ar ietekmēto mikroshēmu ražotājiem, lai izpētītu labāko veidu, kā nodrošināt risinājumus. Tas var tikt nodrošināts nākotnes atjauninājumā. Ievainojamības risku var novērst, aizstājot vecākas ierīces, kurās darbojas vecākas operētājsistēmas, kā arī atjauninot pretvīrusu programmatūru.

Lai gan sistēmas, kuru pamatā ir Windows XP, ir ietekmētie produkti, Microsoft neizdod tām atjauninājumus, jo nepieciešamās visaptverošās arhitektūras izmaiņas apdraudētu sistēmas stabilitāti un radītu lietojumprogrammu saderības problēmas. Mēs iesakām klientiem, kuriem rūp drošība, veikt jaunināšanu uz jaunāku, atbalstītu operētājsistēmu, lai pielāgotos mainīgajai drošības apdraudējumu situācijai un izmantotu labākus aizsardzības pasākumus, ko nodrošina jaunākās operētājsistēmas.

Atjauninājumi līdz Windows 10 HoloLens klientiem ir pieejami līdz Windows Update.

Pēc 2018. gada februāra Windows drošības atjauninājumapiemērošanas HoloLens klientiem nav jāveic nekādas papildu darbības, lai atjauninātu savas ierīces aparātprogrammatūru. Šie mazinājumi tiks iekļauti arī visos turpmākajos Windows 10 laidienos HoloLens.

Lai iegūtu papildinformāciju, sazinieties ar OEM.

Lai jūsu ierīce būtu pilnībā aizsargāta, jums ir jāinstalē jaunākie Windows operētājsistēmas drošības atjauninājumi ierīcei un piemērojamie aparātprogrammatūras (mikrokoda) atjauninājumi no ierīces ražotāja. Šie atjauninājumi ir pieejami jūsu ierīces ražotāja tīmekļa vietnē. Vispirms ir jāinstalē pretvīrusu programmatūras atjauninājumi. Operētājsistēmas un aparātprogrammatūras atjauninājumus var instalēt jebkurā secībā.

Jums būs jāatjaunina gan aparatūra, gan programmatūra, lai novērstu šo ievainojamību. Jums būs jāinstalē arī piemērojamās aparātprogrammatūras (mikrokoda) atjauninājumi no savas ierīces ražotāja, lai nodrošinātu visaptverošāku aizsardzību. Mēs aicinām jūs uzturēt jūsu ierīces atjauninātas un drošībā, instalējot Windows drošības atjauninājumus katru mēnesi.

Katrā Windows 10 līdzekļu atjauninājumā mēs dziļi operētājsistēmā iebūvējam jaunākās drošības tehnoloģijas, nodrošinot tādus aizsardzības līdzekļus, kas neļauj dažādu kategoriju ļaunprogrammatūrai ietekmēt jūsu ierīci. Līdzekļu atjauninājumu laidieni tiek izdoti divas reizes gadā. Katrā ikmēneša kvalitātes atjauninājumā mēs pievienojam citu drošības slāni, kas seko ļaunprogrammatūras izplatībai un tendencēm, lai padarītu atjauninātas sistēmas vēl drošākas pret nemitīgi mainīgiem apdraudējumiem.

Microsoft ir atcēlusi AV saderības pārbaudi Windows drošības atjauninājumiem atbalstītajām Windows 10, Windows 8.1 un Windows 7 SP1 ierīču versijām, izmantojot Windows Update. 

Ieteikumi:

• Pārliecinieties, ka jūsu ierīces ir atjauninātas, izmantojot jaunākos drošības atjauninājumus no Microsoft un aparatūras ražotāja. Papildinformāciju par ierīces atjaunināšanu skatiet rakstā Windows Update: bieži uzdotie jautājumi.
• Turpiniet ievērot piesardzību, apmeklējot nezināmas izcelsmes tīmekļa vietnes, un nepalieciet vietnēs, kurām neuzticaties. Korporācija Microsoft iesaka visiem klientiem aizsargāt savas ierīces, izmantojot atbalstītu pretvīrusu programmu. Klienti var arī izmantot iebūvēto pretvīrusu aizsardzību: Windows Defender operētājsistēmai Windows 10 vai Microsoft drošība Essentials operētājsistēmai Windows 7. Šie risinājumi noder gadījumos, kad klients nevar instalēt vai palaist pretvīrusu programmatūru.

Lai novērstu negatīvu ietekmi uz klientu ierīcēm, janvārī un februārī izlaistie Windows drošības atjauninājumi netika piedāvāti visiem klientiem. Detalizētu informāciju skatiet Microsoft zināšanu bāzes rakstā 4072699.

Intel ir ziņojis par problēmām , kas ietekmē nesen izlaisto mikrokodu, kas ir paredzēts, lai risinātu Spectre Variant 2 (CVE-2017-5715 — "Zara mērķa ievadīšana"). Konkrēti, Intel atzīmēja, ka šis mikrokods var izraisīt "lielākus, nekā gaidīts, restartēšanu un citu neparedzamu sistēmas uzvedību", kā arī to, ka šādas situācijas var izraisīt "datu zudumu vai bojājumu".  Mūsu pieredze rāda, ka sistēmas nestabilitāte dažos gadījumos var izraisīt datu zudumu vai bojājumu. 22. janvārī Intel ieteica klientiem pārtraukt pašreizējās mikrokoda versijas izvietošanu ietekmētajos procesoros, kamēr kompānija veic atjauninātā risinājuma papildu testēšanu. Mēs saprotam, ka Intel turpina izpētīt ietekmi uz aktuālo mikrokoda versiju, un aicinām klientus regulāri sekot līdzi kompānijas norādījumiem, lai pieņemtu pamatotus lēmumus.

Kamēr Intel testē, atjaunina un izvieto jauno mikrokodu, mēs padarām pieejamu ārpusjoslas (OOB) atjauninājumu KB 4078130, kas tikai atspējo risinājumu pret CVE-2017-5715 — "Zara mērķa ievadīšana". Mūsu testos šis atjauninājums novērsa aprakstītās problēmas. Visu iekārtu sarakstu skatiet Intel mikrokoda pārskatīšanas norādījumi. Šis atjauninājums attiecas uz Windows 7 (SP1), Windows 8.1 un visām Windows 10 klienta un servera versijām. Ja izmantojat ierīci, kuru ir skārusi šī problēma, šo atjauninājumu var izmantot, lejupielādējot no Microsoft Update kataloga vietnes. Šī atjauninājuma izmantošana tikai atspējo risinājumu pret CVE-2017-5715 — "Zara mērķa ievadīšana".

Kopš 25. janvāra nav saņemti ziņojumi, kas norādītu, ka uzbrukumos klientiem būtu ticis izmantots šis Spectre 2. variants (CVE-2017-5715). Mēs iesakām Windows klientiem vajadzības gadījumā atkārtoti iespējot risinājumu pret CVE-2017-5715, kad Intel ziņo, ka ir atrisināta problēma saistībā ar šo neparedzamo sistēmas darbību jūsu ierīcei.

Nē. Tikai drošības atjauninājumi nav kumulatīvi. Atkarībā no operētājsistēmas versijas, kas darbojas jūsu datorā, ir jāinstalē visi izlaistie tikai drošības atjauninājumi, lai aizsargātu pret šīm ievainojamībām. Piemēram, ja datorā darbojas operētājsistēma Windows 7 32 bitu sistēmām ar ietekmēto Intel centrālo procesoru, jums ir jāinstalē visi tikai drošības atjauninājumi, sākot no 2018. gada janvāra. Šos tikai drošības atjauninājumus ieteicams instalēt laidiena secībā.
 
Piezīme Šī bieži uzdoto jautājumu vecākā versijā nepareizi norādīts, ka februāra tikai drošības atjauninājumā ir iekļauti janvārī izlaistie drošības labojumi. Patiesībā tā nav.

Nē. Drošības atjauninājums 4078130 bija īpašs labojums, lai novērstu neparedzamu sistēmas darbību, veiktspējas problēmas un negaidītu restartēšanu pēc mikrokoda instalēšanas. Februāra drošības atjauninājumu lietošana Windows klienta operētājsistēmās iespējo visus trīs mazināšanas gadījumus. Serveru operētājsistēmās Windows joprojām ir jāiespējo mazināšanas pasākumi pēc tam, kad ir veikta atbilstoša testēšana. Papildinformāciju skatiet Microsoft zināšanu bāzes rakstā 4072698.

AMD nesen paziņoja , ka ir sākusi izlaist mikrokodu jaunākām CPU platformām ap Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Papildinformāciju skatiet AMD drošības Atjauninājumi un AMD tehniskais dokuments: Arhitektūras vadlīnijas par netiešo zaru vadību. Tie ir pieejami OEM aparātprogrammatūras kanālā.

Intel nesen paziņoja, ka ir pabeidzis apstiprināšanu un sācis izlaist mikrokodu jaunākām CPU platformām. Microsoft dara pieejamus Intel apstiprinātos mikrokoda atjauninājumus Spectre 2. variantam (CVE-2017-5715 "Zara mērķa ievadīšana"). KB 4093836 ir uzskaitīti konkrēti zināšanu bāzes raksti pēc Windows versijas. Katrā konkrētajā KB ir ietverti Intel mikrokoda atjauninājumi pēc CPU.

Microsoft dara pieejamus Intel apstiprinātos mikrokoda atjauninājumus Spectre 2. variantam (CVE-2017-5715 "Zara mērķa ievadīšana**"**). Lai iegūtu jaunākos Intel mikrokoda atjauninājumus, izmantojot Windows Update, klientiem jābūt instalētam Intel mikrokodam ierīcēs, kurās darbojas operētājsistēma Windows 10, pirms jaunināšanas uz Windows 10 atjauninājumu (2018. gada aprīlis, versija 1803).

Mikrokoda atjauninājums ir pieejams arī tieši no atjauninājumu kataloga, ja tas netika instalēts ierīcē pirms sistēmas jaunināšanas. Intel mikrokods ir pieejams, izmantojot Windows Update, WSUS vai Microsoft Update katalogu. Papildinformāciju un lejupielādes norādījumus skatiet KB 4100347.

Papildinformāciju skatiet tālāk norādītajos resursos.

• ADV180012 | Microsoft norādījumi par spekulatīvu Store apeju CVE-2018-3639
• ADV180013 | Microsoft norādījumi par viltus sistēmas reģistru Lasīts CVE-2018-3640 un KB 4073065 | Norādījumi Surface klientiem
• Microsoft drošības izpētes un aizsardzības emuārs
• Izstrādātāja norādījumi par spekulatīvu Store apeju

Sīkāku informāciju skatiet sadaļās "Ieteicamās darbības" un "Bieži uzdotie jautājumi" ADV180012 | Microsoft norādījumi par spekulatīvu Store apiešanu.

Lai pārbaudītu SSBD statusu, Get-SpeculationControlSettings PowerShell skripts ir atjaunināts, lai noteiktu ietekmētos procesorus, SSBD operētājsistēmas atjauninājumu statusu un procesora mikrokoda stāvokli (ja tas ir piemērojams). Lai iegūtu papildinformāciju un iegūtu PowerShell skriptu, skatiet KB4074629.

2018. gada 13. jūnijā tika paziņots par papildu ievainojamību, kas ietver sānu kanālu spekulatīvu izpildi, kas pazīstama kā slinka FP stāvokļa atjaunošana, un tai tika piešķirts CVE-2018-3665. Lazy Restore FP atjaunošanai nav nepieciešami konfigurācijas (reģistra) iestatījumi.

Papildinformāciju par šo ievainojamību un ieteicamajām darbībām skatiet drošības ieteikumā: ADV180016 | Microsoft norādījumi par slinko FP stāvokļa atjaunošanu

Piezīme Lazy Restore FP atjaunošanai nav nepieciešami konfigurācijas (reģistra) iestatījumi.

Robežu pārbaudes apvedceļa veikals (BCBS) tika atklāts 2018. gada 10. jūlijā un piešķirts CVE-2018-3693. Mēs uzskatām, ka BCBS pieder tai pašai ievainojamības klasei kā robežu pārbaudes apeja (1. variants). Pašlaik mēs nezinām nevienu BCBS gadījumu mūsu programmatūrā, bet mēs turpinām pētīt šo ievainojamības klasi un sadarbosimies ar nozares partneriem, lai izlaistu vajadzīgos riska mazināšanas risinājumus. Mēs turpinām aicināt pētniekus iesniegt visus atbilstošos atklājumus Microsoft spekulatīvās izpildes puses kanāla atlīdzības programmai, tostarp jebkādus izmantojamus BCBS gadījumus. Programmatūras izstrādātājiem ir jāpārskata izstrādātāja norādījumi, kas ir atjaunināti BCBS https://aka.ms/sescdevguide.

2018. gada 14. augustā tika paziņots par L1 termināla defektu (L1TF), un tam tika piešķirti vairāki CVE. Šīs jaunās spekulatīvās izpildes blakus kanāla ievainojamības var izmantot, lai lasītu atmiņas saturu pāri uzticamai robežai, un, ja tās tiek izmantotas, tās var izraisīt informācijas izpaušanu. Ir vairāki vektori, ar kuriem uzbrucējs var izraisīt ievainojamību atkarībā no konfigurētās vides. L1TF ietekmē Intel® Core® procesorus un Intel® Xeon® procesorus.

Lai iegūtu papildinformāciju par šo ievainojamību un detalizētu skatu uz ietekmētajiem scenārijiem, tostarp Microsoft pieeju L1TF mazināšanai, lūdzu, skatiet tālāk norādītos resursus.

• ADV180018 | Microsoft norādījumi L1TF varianta mazināšanai
• Drošības ieteikumu drošības izpētes emuārs
• Servera norādījumi L1 termināļa kļūmei

Microsoft Surface klienti: Klientiem, kas izmanto Microsoft Surface un Surface Book produktus, ir jāievēro norādījumi Windows klientam, kas izklāstīti drošības ieteikumā: ADV180018 | Microsoft norādījumi L1TF varianta mazināšanai.Skatiet arī Microsoft zināšanu bāzes rakstu 4073065, lai iegūtu papildinformāciju par ietekmētajiem Surface produktiem un mikrokoda atjauninājumu pieejamību.

Microsoft HoloLens klienti: L1TF neietekmē Microsoft HoloLens, jo tas neizmanto ietekmēto Intel procesoru.

Darbības, kas nepieciešamas, lai atspējotu Hyper-Threading, atšķirsies dažādos OEM, bet parasti ir daļa no BIOS vai aparātprogrammatūras iestatīšanas un konfigurēšanas rīkiem.

Klientiem, kas izmanto 64 bitu ARM procesorus, jāsazinās ar ierīces OEM, lai saņemtu aparātprogrammatūras atbalstu, jo ARM64 operētājsistēmas aizsardzībai, kas mazina CVE-2017-5715 - zara mērķa ievadi (Spectre, 2. variants), lai stātos spēkā, ir nepieciešams jaunākais aparātprogrammatūras atjauninājums no ierīces OEM.

Detalizētu informāciju par šo ievainojamību skatiet Microsoft drošības rokasgrāmatā: CVE-2019-1125 | Windows kodola informācijas izpaušanas ievainojamība.

Mēs nezinām nevienu šādas informācijas izpaušanas ievainojamības gadījumu, kas ietekmētu mūsu mākoņpakalpojumu infrastruktūru.

Tiklīdz uzzinājām par šo problēmu, mēs ātri strādājām, lai to novērstu un izlaistu atjauninājumu. Mēs stingri ticam ciešai sadarbībai gan ar pētniekiem, gan nozares partneriem, lai padarītu klientus drošākus, un informāciju nepublicējām līdz otrdienai, 6. augustam, saskaņā ar koordinētu ievainojamības atklāšanas praksi.

Microsoft nodrošina trešo pušu kontaktinformāciju, lai palīdzētu jums atrast papildinformāciju par šo tēmu. Šī kontaktinformācija var tikt mainīta bez iepriekšēja paziņojuma. Microsoft negarantē trešo pušu kontaktinformācijas precizitāti.