KB4073119: Windows-klientveiledning for IT-eksperter for å beskytte mot silicon-baserte mikroarkitektoniske og spekulative kanalsårbarheter på kjøringssiden

14. mai 2019 publiserte Intel informasjon om en ny underklasse av spekulative kanalsårbarheter på kjøringssiden kjent som Microarchitectural Data Sampling. Disse sikkerhetsproblemene er løst i følgende CVE-er:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
• CVE-2018-12126 | Sampling av mikroarkitektonisk lagerbufferdata (MSBDS)
• CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

Vi har gitt ut oppdateringer for å redusere disse sårbarhetene. For å få alle tilgjengelige beskyttelser kreves fastvare (mikrokode) og programvareoppdateringer. Dette kan omfatte mikrokode fra enhets-OEM-er. I noen tilfeller kan installasjon av disse oppdateringene påvirke ytelsen. Vi har også gjort noe for å sikre skytjenestene våre. Vi anbefaler på det sterkeste at du distribuerer disse oppdateringene.

Hvis du vil ha mer informasjon om dette problemet, kan du se følgende sikkerhetsveiledning og bruke scenariobasert veiledning til å finne ut hva som er nødvendige handlinger for å redusere trusselen:

• ADV190013 | Microsofts veiledning for å redusere sårbarheter i mikroarkitekturdatasampling
• Windows-veiledning for å beskytte mot spekulative kanalsårbarheter på kjøringssiden

6. august 2019 publiserte Intel detaljer om et sikkerhetsproblem med avsløring av kjerneinformasjon i Windows. Dette sikkerhetsproblemet er en variant av sikkerhetsproblemet med spekulativ kjøring av sidekanalen for Spectre Variant 1 og er tilordnet CVE-2019-1125.

Vi lanserte sikkerhetsoppdateringer for Windows-operativsystemet for å bidra til å løse dette problemet, 9. juli 2019. Vær oppmerksom på at vi holdt tilbake med å dokumentere denne begrensningen offentlig frem til den koordinerte bransjeoffentliggjøringen tirsdag 6.

Kunder som har Windows Update aktivert og har brukt sikkerhetsoppdateringene som ble utgitt 9. juli 2019, beskyttes automatisk. Det er ikke nødvendig med ytterligere konfigurasjon.

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet og aktuelle oppdateringer, kan du se veiledningen for Microsoft Sikkerhet Update:

• CVE-2019-1125 | Sikkerhetsproblem tilknyttet avsløring av Windows-kjerneinformasjon

12. november 2019 publiserte Intel en teknisk veiledning om sikkerhetsproblemet tilknyttet asynkron avbrudd av transaksjoner i Intel Transactional Synchronization Extensions (Intel TSX), som er tilordnet CVE-2019-11135. Vi har gitt ut oppdateringer for å bidra til å redusere dette sikkerhetsproblemet. Som standard er OS-beskyttelsen aktivert for OS-utgaver av Windows-klient.

14. juni 2022 publiserte vi ADV220002 | Microsoft-veiledning om sikkerhetsproblemer med MMIO-foreldede data på Intel-prosessorer. Disse sårbarhetene tilordnes i følgende CVE-er:

• CVE-2022-21123 | Delt bufferdatalesing (SBDR)
• CVE-2022-21125 | Delt bufferdatasampling (SBDS)
• CVE-2022-21127 | Spesiell oppdatering av registerbufferdatasampling (SRBDS-oppdatering)
• CVE-2022-21166 | Partiell skriving (DRPW) (Device Register Partial Write)

Anbefalte handlinger

Du bør gjøre følgende for å beskytte deg mot disse sikkerhetsproblemene:

1. Bruk alle tilgjengelige Windows-operativsystemoppdateringer, inkludert de månedlige Windows-sikkerhetsoppdateringene.
2. Bruk den aktuelle fastvareoppdateringen (mikrokode) som leveres av enhetsprodusenten.
3. Evaluer risikoen for miljøet basert på informasjonen i Microsoft Sikkerhetsveiledning ADV180002, ADV180012, ADV190013 og ADV220002, i tillegg til informasjonen i denne artikkelen.
4. Utfør nødvendige handlinger ved å bruke veiledningene og registernøkkelinformasjonen i denne artikkelen.

12. juli 2022 publiserte vi CVE-2022-23825 | AMD CPU-grentype forveksling som beskriver at aliaser i grenprediktoren kan føre til at enkelte AMD-prosessorer forutser feil grentype. Dette problemet kan potensielt føre til avsløring av informasjon.

For å beskytte deg mot dette sikkerhetsproblemet anbefaler vi at du installerer Windows-oppdateringer som er datert på eller etter juli 2022, og deretter iverksetter tiltakene som kreves av CVE-2022-23825 og registernøkkelinformasjonen som er angitt i denne kunnskapsbase-artikkelen.

Hvis du vil ha mer informasjon, kan du se sikkerhetsbulletinen AMD-SB-1037 .

8. august 2023 publiserte vi CVE-2023-20569 | AMD CPU Return Address Predictor (også kjent som Inception), som beskriver et nytt spekulativt sidekanalangrep som kan føre til spekulativ kjøring på en angriperkontrollert adresse. Dette problemet påvirker bestemte AMD-prosessorer og kan potensielt føre til avsløring av informasjon.

For å beskytte deg mot dette sikkerhetsproblemet anbefaler vi at du installerer Windows-oppdateringer som er datert på eller etter august 2023, og deretter iverksetter tiltak som kreves av CVE-2023-20569 og registernøkkelinformasjon som er angitt i denne kunnskapsbase-artikkelen.

Hvis du vil ha mer informasjon, kan du se sikkerhetsbulletinen AMD-SB-7005 .

9. april 2024 publiserte vi CVE-2022-0001 | Intel Branch History Injection som beskriver Branch History Injection (BHI), som er en spesifikk form for intra-mode BTI. Dette sikkerhetsproblemet oppstår når en angriper kan manipulere grenloggen før overgang fra bruker- til overordnadsmodus (eller fra VMX ikke-rot/gjestemodus til rotmodus). Denne manipulasjonen kan føre til at en indirekte grenprediktor velger en bestemt prediktoroppføring for en indirekte gren, og at et visningsprogram på det beregnede målet kjører midlertidig. Dette kan være mulig fordi den relevante grenloggen kan inneholde grener som er tatt i tidligere sikkerhetskontekster, og spesielt andre prediktormoduser.

Bruker-til-kjerne-beskyttelse for CVE-2017-5715 er deaktivert som standard for AMD- og ARM-CPU-er. Du må aktivere begrensningen for å motta ekstra beskyttelse for CVE-2017-5715. Hvis du vil ha mer informasjon, kan du se Vanlige spørsmål #15 i ADV180002 for AMD-prosessorer og Vanlige spørsmål #20 i ADV180002 for ARM-prosessorer.

Bruker-til-kjerne-beskyttelse for CVE-2017-5715 er deaktivert som standard for AMD-prosessorer. Kunder må aktivere begrensningen for å motta ytterligere beskyttelse for CVE-2017-5715.  Hvis du vil ha mer informasjon, kan du se vanlige spørsmål #15 i ADV180002.

Slik aktiverer du skadebegrensningene for CVE-2022-23825 på AMD-prosessorer:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Kunder må kanskje også deaktivere Hyper-Threading (også kalt Simultaneous Multi Threading (SMT)) for å få fullstendig beskyttelse. Se KB4073757 for veiledning om hvordan du beskytter Windows-enheter.

Slik aktiverer du skadebegrensningen for CVE-2023-20569 på AMD-prosessorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Slik aktiverer du reduksjonen for CVE-2022-0001 på Intel-prosessorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Hvis du vil ha en detaljert forklaring av utdataene fra PowerShell-skriptet, kan du se KB4074629.

Mikrokoden leveres gjennom en fastvareoppdatering. Du bør sjekke med prosessoren (brikkesettet) og enhetsprodusentene om det finnes tilgjengelige sikkerhetsoppdateringer for fastvare for deres spesifikke enhet, inkludert Intels revisjonsveiledning for mikrokode.

Det er svært utfordrende å løse et maskinvareproblem gjennom en programvareoppdatering. Begrensninger for eldre operativsystemer krever også omfattende arkitektoniske endringer. Vi samarbeider med produsenter av berørte brikker for å finne den beste måten å minske problemet på, som kan bli levert i fremtidige oppdateringer.

Oppdateringer for Microsoft overflate-enheter blir levert til kundene via Windows Update sammen med oppdateringene for Windows-operativsystemet. Hvis du vil ha en liste over tilgjengelige oppdateringer for overflate-enhetsfastvare (mikrokode), kan du se KB4073065.

Hvis enheten ikke er fra Microsoft, kan du bruke fastvare fra enhetsprodusenten. Hvis du vil ha mer informasjon, kan du kontakte produsenten av OEM-enheten.

I februar og mars 2018 lanserte Microsoft ekstra beskyttelse for enkelte x86-baserte systemer. Hvis du vil ha mer informasjon, kan du se KB4073757 og Microsofts sikkerhetsveiledning ADV180002.

Oppdateringer for Windows 10 for HoloLens er tilgjengelige for HoloLens-kunder via Windows Update.

Etter å ha tatt i bruk Windows Sikkerhet-oppdateringen for februar 2018, trenger ikke HoloLens-kunder å gjøre noe mer for å oppdatere enhetsfastvaren. Disse begrensningene vil også bli inkludert i alle fremtidige versjoner av Windows 10 for HoloLens.

Nei. Bare sikkerhetsoppdateringer er ikke kumulative. Avhengig av hvilken versjon av operativsystemet du kjører, må du installere kun sikkerhetsoppdateringer hver måned for å være beskyttet mot disse sårbarhetene. Hvis du for eksempel kjører Windows 7 for 32-biters systemer på en berørt Intel-prosessor, må du installere alle rene sikkerhetsoppdateringer. Vi anbefaler at du installerer disse rene sikkerhetsoppdateringene i utgaverekkefølgen.

Vær oppmerksom på I en tidligere versjon av disse vanlige spørsmålene ble det feilaktig angitt at sikkerhetsoppdateringen for februar inkluderte sikkerhetsrettelser som ble utgitt i januar. Det gjør den faktisk ikke.

Nei. Sikkerhetsoppdatering 4078130 var en spesifikk løsning for å hindre uforutsigbar systematferd, ytelsesproblemer og/eller uventede omstarter etter installasjon av mikrokode. Bruken av sikkerhetsoppdateringene for februar på Windows-klientoperativsystemer muliggjør alle tre tiltakene.

Intel kunngjorde nylig at de har fullført valideringen og påbegynt lanseringen av mikrokode for nyere CPU-plattformer. Microsoft gjør tilgjengelig Intel-validerte mikrokodeoppdateringer rundt Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 viser bestemte Knowledge Base-artikler etter Windows-versjon. Hver enkelt KB inneholder tilgjengelige Intel-mikrokodeoppdateringer etter CPU.

Dette problemet ble løst i KB4093118.

AMD kunngjorde nylig at de har begynt å lansere mikrokode for nyere CPU-plattformer rundt Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Hvis du vil ha mer informasjon, kan du se AMD Security Oppdateringer og AMD-hvitboken: Retningslinjer for arkitektur rundt indirekte grenkontroll. Disse er tilgjengelige fra OEM-fastvarekanalen.

Vi gjør tilgjengelig Intel-validerte mikrokodeoppdateringer rundt Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). For å få de nyeste Intel-mikrokodeoppdateringene via Windows Update, må kunder ha installert Intel-mikrokode på enheter som kjører et Windows 10-operativsystem før du oppgraderer til Windows 10-oppdatering april 2018 (versjon 1803).

Mikrokodeoppdateringen er også tilgjengelig direkte fra katalogen hvis den ikke ble installert på enheten før du oppgraderte operativsystemet. Intel-mikrokode er tilgjengelig via Windows Update, WSUS eller Microsoft Update-katalogen. Hvis du vil ha mer informasjon og laste ned instruksjoner, kan du se KB4100347.

Hvis du vil ha mer informasjon, kan du se følgende ressurser:

• ADV180012 | Microsofts veiledning for spekulativ Store-forbikobling for CVE-2018-3639
• ADV180013 | Microsoft-veiledning for falske systemregistrer Les for CVE-2018-3640 og KB4073065
• Microsofts blogg om sikkerhetsforskning og forsvar
• Utviklerveiledning for spekulativ Store-omgåelse

Hvis du vil ha mer informasjon, kan du se inndelingene Anbefalte handlinger og Vanlige spørsmål i ADV180012 | Microsofts veiledning for å omgå spekulativ lagring.

For å verifisere statusen for SSBD ble det Get-SpeculationControlSettings PowerShell-skriptet oppdatert for å oppdage berørte prosessorer, statusen for oppdateringer for SSBD-operativsystemet og statusen til prosessormikrokoden hvis det er aktuelt. Hvis du vil ha mer informasjon og få tak i PowerShell-skriptet, kan du se KB4074629.

13. juni 2018 ble en ekstra sårbarhet som involverte spekulativ kjøring i sidekanalen, kjent som Lazy FP State Restore, annonsert og tildelt CVE-2018-3665. Ingen konfigurasjonsinnstillinger (register) er nødvendige for Lazy Restore FP Restore.

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet og for anbefalte handlinger, kan du se sikkerhetsveiledningen ADV180016 | Microsofts veiledning for Lazy FP State Restore.

Bounds Check Bypass Store (BCBS) ble offentliggjort 10. juli 2018 og tilordnet CVE-2018-3693. Vi anser BCBS for å tilhøre samme klasse av sårbarheter som forbikobling av grensesjekk (utgave 1). Vi kjenner ikke til noen forekomster av BCBS i programvaren vår, men vi fortsetter å undersøke denne sikkerhetsgruppen og vil samarbeide med bransjepartnere for å løse nødtiltak etter behov. Vi fortsetter å oppfordre forskere til å sende inn alle relevante funn til Microsofts dusørprogram for spekulativ utførelseskanal, inkludert eventuelle forekomster av BCBS som kan utnyttes. Programvareutviklere bør se gjennom utviklerveiledningen som ble oppdatert for BCBS på https://aka.ms/sescdevguide.

14. august 2018 ble L1 Terminal Fault (L1TF) annonsert og tildelt flere CVE-er. Disse nye spekulative kanalsårbarhetene på kjøringssiden kan brukes til å lese innholdet i minnet på tvers av en klarert grense og kan, hvis de utnyttes, føre til avsløring av informasjon. En angriper kan utløse sårbarhetene gjennom flere vektorer, avhengig av det konfigurerte miljøet. L1TF påvirker Intel® Core-prosessorer® og Intel® Xeon-prosessorer®.

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet og en detaljert oversikt over berørte scenarier, inkludert Microsofts tilnærming til å begrense L1TF, kan du se følgende ressurser:

• ADV180018 | Microsofts veiledning for å redusere L1TF-varianten
• Sikkerhetsrådgivning: Blogg om sikkerhetsforskning
• Serverveiledning for L1-terminalfeil

Kunder som bruker 64-biters ARM-prosessorer, bør kontakte enhetens OEM for fastvarestøtte, fordi ARM64-operativsystembeskyttelse som reduserer CVE-2017-5715 | Branch target injection (Spectre, Variant 2) krever den nyeste fastvareoppdateringen fra enhetsOEM-er for å tre i kraft.

Hvis du vil ha mer informasjon, kan du se følgende sikkerhetsveiledninger

• Intels sikkerhetsveiledning
• ADV190013 | Microsofts veiledning for å redusere sårbarheter i mikroarkitekturdatasampling

Hvis du vil ha mer informasjon, kan du se følgende sikkerhetsveiledninger

• Intels sikkerhetsveiledning
• ADV190013 | Microsofts veiledning for å redusere sårbarheter i mikroarkitekturdatasampling

Du finner ytterligere veiledning i Windows-veiledningen for å beskytte mot spekulative kanalsårbarheter på kjøringssiden

Se veiledningen i Windows-veiledningen for å beskytte mot spekulative kanalsårbarheter på kjøringssiden

Hvis du vil ha veiledning for Azure, kan du se denne artikkelen: Veiledning for å redusere spekulative kanalsårbarheter på kjøringssiden i Azure.

Hvis du vil ha mer informasjon om Retpoline-aktivering, kan du se blogginnlegget vårt: Mitigating Spectre variant 2 with Retpoline on Windows.

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet, kan du se sikkerhetsveiledningen for Microsoft : CVE-2019-1125 | Sikkerhetsproblem med fremlegging av Windows-kjerneinformasjon.

Vi vet ikke om noen forekomster av dette sikkerhetsproblemet med informasjonsavsløring som påvirker infrastrukturen i skytjenesten vår.

Så snart vi ble oppmerksomme på dette problemet, jobbet vi raskt for å løse det og gi ut en oppdatering. Vi har stor tro på nære partnerskap med både forskere og industripartnere for å gjøre kundene sikrere, og publiserte ikke detaljer før tirsdag 6.

Du finner ytterligere veiledning i Windows-veiledningen for å beskytte mot spekulative kanalsårbarheter på kjøringssiden.

Du finner ytterligere veiledning i Windows-veiledningen for å beskytte mot spekulative kanalsårbarheter på kjøringssiden.

Ytterligere veiledning finnes i Veiledning for deaktivering av Intel® Transactional Synchronization Extensions (Intel® TSX)-funksjonen.

Vi tilbyr kontaktinformasjon om tredjeparter for å hjelpe deg å finne teknisk støtte. Denne kontaktinformasjonen kan endres uten varsel. Vi garanterer ikke nøyaktigheten til kontaktinformasjonen om tredjeparter.