Endringslogg
| Dato | Beskrivelse av endring |
|---|---|
| Oktober 27, 2023 | La til referanser til Begrensning B |
| Juli 17, 2023 | Lagt til MMIO-informasjon |
Oppsummering
Microsoft er klar over nye varianter av angrepsklassen kjent som spekulative kanalsårbarheter på kjøringssiden. Variantene kalles L1 Terminal Fault (L1TF) og Microarchitectural Data Sampling (MDS). En angriper som kan utnytte L1TF eller MDS, kan kanskje lese privilegerte data på tvers av klareringsgrenser.
OPPDATERT 14. MAI 2019: 14. mai 2019 publiserte Intel informasjon om en ny underklasse av spekulative kanalsårbarheter på kjøringssiden kjent som Microarchitectural Data Sampling. De har fått tilordnet følgende CVE-er:
- CVE-2018-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
- CVE-2018-12126 | Sampling av mikroarkitektonisk lagerbufferdata (MSBDS)
- CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
- CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)
OPPDATERT 12. NOVEMBER 2019: 12. november 2019 publiserte Intel en teknisk veiledning om sikkerhetsproblemet tilknyttet asynkron avbrudd av transaksjoner i Intel® Transactional Synchronization Extensions (Intel® TSX), som er tilordnet CVE-2019-11135. Microsoft har gitt ut oppdateringer for å bidra til å redusere dette sikkerhetsproblemet. Vær oppmerksom på følgende:
- Som standard er beskyttelse av operativsystemer aktivert for enkelte Windows Server OS-utgaver. Se Microsoft Knowledge Base-artikkelen 4072698 for mer informasjon.
- Som standard er beskyttelse av operativsystemer aktivert for alle OS-utgaver av Windows-klient. Se Microsoft Knowledge Base-artikkelen 4073119 for mer informasjon.
Oversikt over sikkerhetsproblemer
I miljøer der ressurser deles, for eksempel virtualiseringsverter, kan en angriper som kan kjøre vilkårlig kode på én virtuell maskin, få tilgang til informasjon fra en annen virtuell maskin eller fra selve virtualiseringsverten.
Serverarbeidsbelastninger som Windows Server Eksternt skrivebord Services (RDS) og mer dedikerte roller som Active Directory-domenekontrollere er også i faresonen. Angripere som kan kjøre vilkårlig kode (uavhengig av rettighetsnivå), kan ha tilgang til hemmeligheter om operativsystemet eller arbeidsbelastninger, for eksempel krypteringsnøkler, passord og andre sensitive data.
Windows-klientoperativsystemer er også utsatt for risiko, spesielt hvis de kjører uklarert kode, utnytter virtualiseringsbaserte sikkerhetsfunksjoner som Windows Defender Credential Guard eller bruker Hyper-V til å kjøre virtuelle maskiner.
Obs! Disse sårbarhetene påvirker bare Intel Core-prosessorer og Intel Xeon-prosessorer.
Oversikt over avbøting
For å løse disse problemene samarbeider Microsoft med Intel for å utvikle programvarebegrensninger og veiledninger. Programvareoppdateringer for å redusere sårbarhetene er lansert. For å få all den tilgjengelige beskyttelsen kan det hende det kreves oppdateringer som også omfatter mikrokode fra enhetsprodusenter.
Denne artikkelen beskriver hvordan du reduserer følgende sikkerhetsproblemer:
- CVE-2018-3620 | L1 Terminal Fault – OS, SMM
- CVE-2018-3646 | L1 Terminalfeil – VMM
- CVE-2018-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
- CVE-2018-12126 | Sampling av mikroarkitektonisk lagerbufferdata (MSBDS)
- CVE-2018-12127 | Microarchitectural Load Port Data Sampling (MLPDS)
- CVE-2018-12130 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
- CVE-2019-11135 | Sikkerhetsproblem tilknyttet avsløring av Windows-kjerneinformasjon
- CVE-2022-21123 | Delt bufferdatalesing (SBDR)
- CVE-2022-21125 | Delt bufferdatasampling (SBDS)
- CVE-2022-21127 | Spesiell oppdatering av registerbufferdatasampling (SRBDS-oppdatering)
- CVE-2022-21166 | Partiell skriving (DRPW) (Device Register Partial Write)
Hvis du vil vite mer om sårbarhetene, kan du se følgende sikkerhetsveiledninger:
L1TF:ADV180018 | Microsofts veiledning for å redusere L1TF-varianten
MDS:ADV190013 | Microsofts veiledning for å redusere sårbarheter i mikroarkitekturdatasampling
MMIO:ADV220002 | Microsoft-veiledning om sikkerhetsproblemer med MMIO-foreldede data på Intel-prosessorer
Sikkerhetsproblem med avsløring av kjerneinformasjon:CVE-2019-11135 | Sikkerhetsproblem tilknyttet avsløring av Windows-kjerneinformasjon
Fastslå handlinger som er nødvendige for å redusere trusselen
Avsnittene nedenfor kan hjelpe deg med å identifisere systemer som påvirkes av L1TF- og/eller MDS-sårbarheter, og også hjelpe deg med å forstå og redusere risikoene.
Potensiell innvirkning på ytelsen
Under testing har Microsoft sett en viss påvirkning på ytelsen fra disse begrensningene, avhengig av konfigurasjonen av systemet og hvilke tiltak som kreves.
Enkelte kunder må kanskje deaktivere hypertråding (også kjent som samtidig flertråding eller SMT) for fullstendig å håndtere risikoen fra L1TF og MDS. Vær oppmerksom på at deaktivering av hypertrådkjøring kan føre til dårligere ytelse. Denne situasjonen gjelder for kunder som bruker følgende:
- Versjoner av Hyper-V som er eldre enn Windows Server 2016 eller Windows 10 versjon 1607 (jubileumsoppdatering)
- Virtualiseringsbaserte sikkerhetsfunksjoner (VBS) som Credential Guard og Device Guard
- Programvare som tillater kjøring av kode som ikke er klarert (for eksempel en build-automatiseringsserver eller et delt IIS-vertsmiljø)
Virkningen kan variere avhengig av maskinvare og arbeidsbelastningene som kjører på systemet. Den vanligste systemkonfigurasjonen er å ha Hyper-Threading aktivert. Derfor er ytelsesinnvirkningen begrenset til brukeren eller administratoren som utfører handlingen for å deaktivere hypertråding på systemet.
Obs! Følg denne fremgangsmåten for å finne ut om systemet bruker VBS-beskyttede sikkerhetsfunksjoner:
Skriv inn MSINFO32 på Start-menyen .
Obs! Vinduet Systeminformasjon åpnes.
Skriv sikkerhet i Søk etter-boksen.
Finn de to radene som er valgt i skjermbildet, i ruten til høyre, og merk av for Verdi-kolonnen for å se om virtualiseringsbasert sikkerhet er aktivert, og hvilke virtualisertbaserte sikkerhetstjenester som kjører.
Hyper-V-kjerneplanleggeren reduserer L1TF- og MDS-angrepsvektorene mot virtuelle Hyper-V-maskiner, samtidig som Hyper-Threading forblir aktivert. Kjerneplanleggeren er tilgjengelig fra og med Windows Server 2016 og Windows 10 versjon 1607. Dette gir minimal innvirkning på ytelsen til de virtuelle maskinene.
Kjerneplanleggeren reduserer ikke L1TF- eller MDS-angrepsvektorene mot VBS-beskyttede sikkerhetsfunksjoner. Hvis du vil ha mer informasjon, kan du se Mitigation C og følgende virtualiseringsbloggartikkel:
Hvis du vil ha detaljert informasjon fra Intel om innvirkningen på ytelsen, kan du gå til følgende Intel-nettsted:
Identifiser berørte systemer og nødvendige begrensninger
Flytskjemaet i figur 1 kan hjelpe deg med å identifisere berørte systemer og bestemme det riktige handlingssettet.
Viktig: Hvis du bruker virtuelle maskiner, må du vurdere og bruke flytskjemaet på Hyper-V-verter og hver berørt VM-gjest individuelt, siden begrensninger kan gjelde for begge. Mer spesifikt for en Hyper-V-vert gir trinnene i flytskjemaet beskyttelse mellom virtuelle maskiner og intern vert. Det er imidlertid ikke tilstrekkelig å bruke disse begrensningene på bare Hyper-V-verten for å gi intern VM-beskyttelse. Hvis du vil gi beskyttelse innenfor virtuelle maskiner, må du bruke flytskjemaet på hver virtuell Windows-maskin. I de fleste tilfeller betyr dette å kontrollere at registernøklene er angitt på den virtuelle maskinen.
Når du navigerer i flytskjemaet, vil du støte på blå sirkler med bokstaver som kartlegger til en handling eller en serie med handlinger som kreves for å redusere L1TF-angrepsvektorer som er spesifikke for systemkonfigurasjonene dine. Hver handling du støter på, må brukes. Når du møter på en grønn linje, angir den en direkte bane til slutten, og det finnes ingen flere begrensningstrinn.
En kort forklaring av hver begrensning med bokstaver er inkludert i forklaringen til høyre. Detaljerte forklaringer for hver begrensning, som inkluderer trinnvise installasjons- og konfigurasjonsinstruksjoner, er gitt i delen «Begrensninger».
Begrensninger
Viktig: Følgende avsnitt beskriver tiltak som KUN skal brukes under de spesifikke forholdene som bestemmes av flytskjemaet i figur 1 i forrige del. Bruk IKKE disse begrensningene med mindre flytskjemaet angir at den bestemte begrensningen er nødvendig.
I tillegg til programvare- og mikrokodeoppdateringer kan det også kreves manuelle konfigurasjonsendringer for å aktivere visse beskyttelser. Vi anbefaler også at Enterprise-kunder registrerer seg for e-postversjonen med sikkerhetsvarsler for å bli varslet om innholdsendringer. ( Se tekniske sikkerhetsvarsler fra Microsoft.)
Begrensning A
Skaff deg og bruk de nyeste Windows-oppdateringene
Bruk alle tilgjengelige Windows-operativsystemoppdateringer, inkludert de månedlige Windows-sikkerhetsoppdateringene. Du kan se tabellen over berørte produkter i Microsofts sikkerhetsveiledning | ADV-180018 for L1TF, sikkerhetsveiledning | ADV-190013 for MDS, sikkerhetsveiledning | ADV220002 for MMIO og sikkerhetssårbarhet | CVE-2019-11135 for sikkerhetsproblemet med fremlegging av kjerneinformasjon i Windows.
Tiltak B
Skaff deg og bruk de nyeste mikrokode- eller fastvareoppdateringene
I tillegg til å installere de nyeste sikkerhetsoppdateringene for Windows, kan det også være nødvendig med en prosessormikrokode eller fastvareoppdatering. Vi anbefaler at du skaffer og installerer den nyeste mikrokodeoppdateringen som passer for enheten din, fra enhets-OEMen. Hvis du vil ha mer informasjon om mikrokode- eller fastvareoppdateringer, kan du se følgende referanser:
- KB4093836: Sammendrag av Intel Microcode Oppdateringer
- Fellesskapsartikkel om Oppdateringer for mikrokode for Intel- og AMD-prosessorer
- Veiledninger fra Intel Product Security Center
- AMD Produktsikkerhet
Obs! Hvis du bruker nestet virtualisering (inkludert kjøring av Hyper-V-beholdere på en gjeste-VM), må du eksponere de nye mikrokodeopplysningene for gjeste-VM-en. Dette kan kreve oppgradering av VM-konfigurasjonen til versjon 8. Versjon 8 inkluderer mikrokodeopplysningene som standard. Hvis du vil ha mer informasjon og de nødvendige trinnene, kan du se følgende artikkel Microsoft Docs artikkel:
Kjør Hyper-V i en virtuell maskin med nestet virtualisering
Tiltak C
Bør jeg deaktivere hypertråding (HT)?
Sikkerhetsproblemene L1TF og MDS innebærer en risiko for at konfidensialiteten til virtuelle Hyper-V-maskiner og hemmelighetene som vedlikeholdes av Microsoft Virtualization Based Security (VBS), kan kompromitteres ved bruk av et sidekanalangrep. Når Hyper-Threading (HT) er aktivert, svekkes sikkerhetsgrensene fra både Hyper-V og VBS.
Hyper-V-kjerneplanleggeren (tilgjengelig fra og med Windows Server 2016 og Windows 10 versjon 1607) reduserer L1TF- og MDS-angrepsvektorene mot virtuelle Hyper-V-maskiner, samtidig som Hyper-Threading forblir aktivert. Dette gir minimal innvirkning på ytelsen.
Hyper-V-kjerneplanleggeren reduserer ikke L1TF- eller MDS-angrepsvektorene mot VBS-beskyttede sikkerhetsfunksjoner. Sikkerhetsproblemene L1TF og MDS innebærer en risiko for at konfidensialiteten til VBS-hemmeligheter kan bli kompromittert via et sidekanalangrep når Hyper-Threading (HT) er aktivert, noe som svekker sikkerhetsgrensen som formidles av VBS. Selv med denne økte risikoen gir VBS fortsatt verdifulle sikkerhetsfordeler og begrenser en rekke angrep med HT aktivert. Vi anbefaler derfor at VBS fortsetter å brukes på HT-aktiverte systemer. Kunder som ønsker å eliminere den potensielle risikoen for L1TF- og MDS-sikkerhetsproblemer med hensyn til konfidensialiteten til VBS, bør vurdere å deaktivere HT for å redusere denne ekstra risikoen.
Kunder som ønsker å eliminere risikoen som sikkerhetsproblemene L1TF og MDS utgjør, enten det gjelder konfidensialiteten til Hyper-V-versjoner som er eldre enn Windows Server 2016 eller til VBS-sikkerhetsfunksjoner, må vurdere avgjørelsen og vurdere å deaktivere HT for å redusere risikoen. Generelt kan denne avgjørelsen baseres på følgende retningslinjer:
- Med Windows 10 versjon 1607, Windows Server 2016 og nyere systemer som ikke kjører Hyper-V og ikke bruker VBS-beskyttede sikkerhetsfunksjoner, bør kunder ikke deaktivere HT.
- Når det gjelder Windows 10 versjon 1607, Windows Server 2016 og nyere systemer som kjører Hyper-V med Core Scheduler, men ikke bruker VBS-beskyttede sikkerhetsfunksjoner, bør kunder ikke deaktivere HT.
- For Windows 10 versjon 1511, Windows Server 2012 R2 og tidligere systemer som kjører Hyper-V, må kunder vurdere å deaktivere HT for å redusere risikoen.
Trinnene som kreves for å deaktivere HT, varierer fra OEM til OEM. Imidlertid er de vanligvis en del av BIOS eller fastvareoppsett og konfigurasjonsverktøy.
Microsoft har også introdusert muligheten til å deaktivere Hyper-Threading teknologi gjennom en programvareinnstilling hvis det er vanskelig eller umulig å deaktivere HT i BIOS eller fastvareoppsett og konfigurasjonsverktøy. Programvareinnstillingen for å deaktivere HT er sekundær til BIOS- eller fastvareinnstillingen og er deaktivert som standard (noe som betyr at HT følger BIOS- eller fastvareinnstillingen). Hvis du vil lære mer om denne innstillingen og hvordan du deaktiverer HT ved hjelp av den, kan du se følgende artikkel:
4072698 Windows Server veiledning for å beskytte mot spekulative kanalsårbarheter på kjøringssiden
Når det er mulig, anbefales det å deaktivere HT i BIOS eller fastvaren for sterkest mulig garanti for at HT er deaktivert.
Obs! Hvis du deaktiverer hypertrådkjøring, reduseres CPU-kjernene. Dette kan ha innvirkning på funksjoner som krever minimum CPU-kjerner for å fungere. For eksempel Windows Defender Application Guard (WDAG).
Tiltak D
Aktiver Hyper-V-kjerneplanleggeren og angi antall tråder for VM-maskinvare per kjerne til 2
Obs! Disse reduksjonstrinnene gjelder bare for Windows Server 2016- og Windows 10-versjoner før versjon 1809. Kjerneplanleggeren er aktivert som standard på Windows Server 2019 og Windows 10 versjon 1809.
Bruk av kjerneplanleggeren er en totrinnsprosess som krever at du først aktiverer planleggeren på Hyper-V-verten og deretter konfigurerer hver virtuell maskin til å dra nytte av den ved å angi antallet maskinvaretråder per kjerne til to (2).
Hyper-V-kjerneplanleggeren som ble introdusert i Windows Server 2016 og Windows 10 versjon 1607, er et nytt alternativ til den klassiske planleggerlogikken. Kjerneplanleggeren gir redusert ytelsesvariasjon for arbeidsbelastninger i virtuelle maskiner som kjører på en HT-aktivert Hyper-V-vert.
Hvis du vil ha en detaljert forklaring av kjerneplanleggeren til Hyper-V og fremgangsmåten for å aktivere den, kan du se denne artikkelen i Windows IT Pro Center:
Forstå og bruke Hyper-V hypervisorplanleggingstyper
Skriv inn følgende kommando for å aktivere Hyper-V-kjerneplanleggeren på Windows Server 2016 eller Windows 10:
bcdedit /set HypervisorSchedulerType core
Bestem deretter om du vil konfigurere en gitt VMs maskinvaretrådantall per kjerne til to (2). Hvis du viser at virtuelle prosessorer er hypertrådede til en virtuell gjestemaskin, aktiverer du planleggeren i VM-operativsystemet, og også VM-arbeidsbelastningene, til å bruke HT i sin egen arbeidsplanlegging. Dette gjør du ved å skrive inn følgende PowerShell-kommando, der <VMName> er navnet på den virtuelle maskinen:
Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2
Reduksjon E
Aktiver løsninger for veiledningene CVE-2017-5715, CVE-2017-5754 og CVE-2019-11135
Obs! Disse begrensningene er aktivert som standard på Windows Server 2019- og Windows-klientoperativsystemer.
Hvis du vil aktivere løsninger for veiledningene CVE-2017-5715, CVE-2017-5754 og CVE-2019-11135, kan du bruke veiledningen i følgende artikler:
4072698 Windows Server veiledning for å beskytte mot spekulative kanalsårbarheter på kjøringssiden
Obs! Disse begrensningene inkluderer og aktiverer automatisk begrensningen av biter for sikker sideramme for Windows-kjernen og også for begrensningene som er beskrevet i CVE-2018-3620. Hvis du vil ha en detaljert forklaring av biter for sikker sideramme, kan du se følgende bloggartikkel om sikkerhetsforskning & forsvar:
Analyse og reduksjon av L1 terminalfeil (L1TF)
Kilder
Veiledning for å redusere spekulative kanalsårbarheter på kjøringssiden i Azure
Ansvarsfraskrivelse for tredjepartsinformasjon
Tredjepartsproduktene som beskrives i denne artikkelen, er utviklet av firmaer som er uavhengige av Microsoft. Vi gir ingen garantier, indirekte eller på andre måter, om ytelsen eller påliteligheten til disse produktene.
Vi tilbyr kontaktinformasjon om tredjeparter for å hjelpe deg å finne teknisk støtte. Denne kontaktinformasjonen kan endres uten varsel. Vi garanterer ikke nøyaktigheten til kontaktinformasjonen om tredjeparter.