KB4073119: Windows-clientrichtlijnen voor IT-professionals ter bescherming tegen op silicium gebaseerde microarchitectuur en speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde

Op 14 mei 2019 publiceerde Intel informatie over een nieuwe subklasse van speculatieve kwetsbaarheden in kanalen aan de uitvoeringszijde die bekend staat als Microarchitectural Data Sampling. Deze kwetsbaarheden worden behandeld in de volgende CVE's:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
• CVE-2018-12126 | MSBDS (Microarchitectural Store Buffer Data Sampling)
• CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

We hebben updates uitgebracht om deze beveiligingslekken te beperken. Als u van alle beschikbare beveiligingen wilt profiteren, zijn firmware- (microcode) en software-updates vereist. Dit kan microcode van apparaat-OEM's bevatten. In sommige gevallen heeft de installatie van deze updates invloed op de prestaties. We hebben ook actie ondernomen om onze cloudservices te beveiligen. Het wordt ten zeerste aangeraden deze updates in te zetten.

Zie het volgende beveiligingsadvies voor meer informatie over dit probleem en gebruik op scenario's gebaseerde richtlijnen om te bepalen welke acties nodig zijn om de bedreiging te beperken:

• ADV190013 | Microsoft-richtlijnen voor het beperken van kwetsbaarheden in microarchitecturale gegevenssteekproeven
• Windows-richtlijnen ter bescherming tegen speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde

Op 6 augustus 2019 heeft Intel details vrijgegeven over een kwetsbaarheid door openbaarmaking van Windows-kernelinformatie. Dit beveiligingslek is een variant van het speculatieve beveiligingslek in kanalen aan de uitvoeringszijde dat zich voordoet in Spectre Variant 1 en heeft de toewijzing CVE-2019-1125 gekregen.

Op 9 juli 2019 hebben we beveiligingsupdates voor het Windows-besturingssysteem uitgebracht om dit probleem te beperken. Houd er rekening mee dat we hebben gewacht met het openbaar documenteren van deze beperking tot de gecoördineerde openbaarmaking van de sector op dinsdag 6 augustus 2019.

Klanten die beschikken over Windows Update en die de beveiligingsupdates hebben geïnstalleerd die zijn uitgebracht op 9 juli 2019, worden automatisch beveiligd. Er is geen verdere configuratie nodig.

Zie de Microsoft Beveiliging Update Guide voor meer informatie over dit beveiligingslek en toepasselijke updates:

• CVE-2019-1125 | Kwetsbaarheid in Windows Kernel Information Disclosure

Op 12 november 2019 heeft Intel een technisch advies gepubliceerd over Intel Transactional Synchronization Extensions (Intel TSX) Transaction Asynchroon afbreken kwetsbaarheid die is toegewezen aan CVE-2019-11135. Er zijn updates uitgebracht om dit beveiligingslek te beperken. De beveiliging van het besturingssysteem is standaard ingeschakeld voor edities van het Windows Client-besturingssysteem.

Op 14 juni 2022 publiceerden we ADV220002 | Microsoft-richtlijnen voor verouderde gegevenskwetsbaarheden in Intel-processors MMIO. Deze kwetsbaarheden worden toegewezen in de volgende CVE's:

• CVE-2022-21123 | Gedeelde buffergegevens lezen (SBDR)
• CVE-2022-21125 | Gedeelde buffergegevenssteekproef (SBDS)
• CVE-2022-21127 | Special Register Buffer Data Sampling Update (SRBDS-update)
• CVE-2022-21166 | Gedeeltelijke schrijfactie voor apparaatregister (DRPW)

Aanbevolen acties

Neem de volgende maatregelen om u tegen deze kwetsbaarheden te beschermen:

1. Pas alle beschikbare updates voor het Windows-besturingssysteem toe, inclusief de maandelijkse beveiligingsupdates voor Windows.
2. Pas de toepasselijke firmware-update (microcode) toe die wordt geleverd door de fabrikant van het apparaat.
3. Evalueer het risico voor uw omgeving op basis van de informatie die wordt verstrekt in Microsoft-beveiligingsadviezen ADV180002, ADV180012, ADV190013 en ADV220002, naast de informatie in dit artikel.
4. Onderneem zo nodig actie met behulp van de adviezen en registersleutelinformatie in dit artikel.

Op 12 juli 2022 hebben we CVE-2022-23825 | AMD CPU Branch Type Verwarring waarin wordt beschreven dat aliassen in de branch predictor ertoe kunnen leiden dat bepaalde AMD-processors het verkeerde branchtype voorspellen. Dit probleem kan mogelijk leiden tot het vrijgeven van informatie.

Ter bescherming tegen dit beveiligingslek raden we u aan Windows-updates te installeren die dateren van juli 2022 of daarna, en vervolgens actie te ondernemen zoals vereist door CVE-2022-23825 en de registersleutelinformatie in dit Knowledge Base-artikel.

Zie het beveiligingsbulletin AMD-SB-1037 voor meer informatie.

Op 8 augustus 2023 hebben we CVE-2023-20569 | AMD CPU Return Address Predictor (ook bekend als Inception) die een nieuwe speculatieve zijkanaalaanval beschrijft die kan resulteren in speculatieve uitvoering op een door een aanvaller gecontroleerd adres. Dit probleem is van invloed op bepaalde AMD-processors en kan mogelijk leiden tot het vrijgeven van informatie.

Als bescherming tegen dit beveiligingslek raden we u aan Windows-updates te installeren die dateren van of na augustus 2023 en vervolgens actie te ondernemen zoals vereist door CVE-2023-20569 en de registersleutelinformatie in dit Knowledge Base-artikel.

Zie het beveiligingsbulletin AMD-SB-7005 voor meer informatie.

Op 9 april 2024 hebben we CVE-2022-0001 | Intel Branch History Injection die Branch History Injection (BHI) beschrijft, wat een specifieke vorm van intra-mode BTI is. Dit beveiligingslek treedt op wanneer een aanvaller de branchegeschiedenis kan manipuleren voordat deze overgaat van gebruikers- naar supervisormodus (of van VMX niet-hoofd-/gastmodus naar hoofdmodus). Deze manipulatie kan ertoe leiden dat een indirecte vertakkingsvoorspeller een specifieke voorspellervermelding voor een indirecte vertakking selecteert en dat een openbaarmakingsgadget bij het voorspelde doel tijdelijk wordt uitgevoerd. Dit is mogelijk omdat de relevante vertakkingsgeschiedenis vertakkingen kan bevatten die in eerdere beveiligingscontexten zijn genomen, en met name andere voorspellende modi.

Standaard is beveiliging van gebruiker naar kernel voor CVE-2017-5715 uitgeschakeld voor AMD- en ARM-CPU's. U moet de risicobeperking inschakelen voor het ontvangen van aanvullende beveiligingen voor CVE-2017-5715. Zie voor meer informatie de veelgestelde vragen #15 in ADV180002 voor AMD-processors en de veelgestelde vragen #20 in ADV180002 voor ARM-processors.

Standaard is de bescherming van gebruiker naar kernel voor CVE-2017-5715 uitgeschakeld voor AMD-processors. Klanten moeten de risicobeperking inschakelen om aanvullende beveiligingen te ontvangen voor CVE-2017-5715.  Zie voor meer informatie #15 in ADV180002.

De risicobeperking voor CVE-2022-23825 inschakelen op AMD-processors:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Klanten die volledig beveiligd zijn, moeten mogelijk ook Hyper-Threading uitschakelen (ook wel bekend als Simultaneous Multi Threading (SMT)). Raadpleeg KB4073757 voor richtlijnen over het beschermen van Windows-apparaten.

De risicobeperking voor CVE-2023-20569 inschakelen op AMD-processors:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Om de mitigatie voor CVE-2022-0001 op Intel-processors in te schakelen:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Zie KB4074629 voor een gedetailleerde uitleg van de uitvoer van het PowerShell-script.

De microcode wordt geleverd via een firmware-update. Neem contact op met de CPU (chipset) en apparaatfabrikanten over de beschikbaarheid van toepasselijke firmware-beveiligingsupdates voor hun specifieke apparaat, inclusief revisierichtlijnen voor Intels-microcode.

Het aanpakken van een beveiligingsprobleem in hardware via een software-update brengt grote uitdagingen met zich mee. Bovendien vereisen de oplossingen voor oudere besturingssystemen uitgebreide architectuurwijzigingen. We werken samen met de betrokken chipfabrikanten om de beste manier te bepalen om oplossingen te bieden, die mogelijk in toekomstige updates worden geleverd.

Updates voor Microsoft Surface-apparaten worden samen met de updates voor het Windows-besturingssysteem via Windows Update aan klanten geleverd. Zie KB4073065 voor een lijst met beschikbare firmware-updates (microcode) voor Surface-apparaten.

Als uw apparaat niet van Microsoft is, past u firmware van de fabrikant van het apparaat toe. Neem voor meer informatie contact op met de fabrikant van het OEM-apparaat.

In februari en maart 2018 heeft Microsoft extra bescherming uitgebracht voor sommige op x86 gebaseerde systemen. Zie KB4073757 en het Microsoft-beveiligingsadvies ADV180002 voor meer informatie.

Updates voor Windows 10 voor HoloLens zijn beschikbaar voor HoloLens-klanten via Windows Update.

Na het toepassen van de Windows-beveiligingsupdate van februari 2018 hoeven HoloLens-klanten geen aanvullende actie te ondernemen om hun apparaatfirmware bij te werken. Deze beperkingen worden ook opgenomen in alle toekomstige versies van Windows 10 voor HoloLens.

Nee. Alleen beveiligingsupdates zijn niet cumulatief. Afhankelijk van de versie van het besturingssysteem die u gebruikt, moet u elke maand alleen beveiligingsupdates installeren om beschermd te zijn tegen deze kwetsbaarheden. Als u bijvoorbeeld Windows 7 voor 32-bits systemen uitvoert op een getroffen Intel-CPU, moet u alle alleen beveiligingsupdates installeren. Het is raadzaam deze beveiligingsupdates in de volgorde van release te installeren.

Notitie In een eerdere versie van deze veelgestelde vragen stond ten onrechte dat de beveiligingsupdate van februari de beveiligingspatches bevatte die in januari waren uitgebracht. In feite doet het dat niet.

Nee. Beveiligingsupdate 4078130 was een specifieke oplossing om onvoorspelbaar systeemgedrag, prestatieproblemen en/of onverwacht opnieuw opstarten na de installatie van microcode te voorkomen. Door de beveiligingsupdates van februari toe te passen op Windows-clientbesturingssystemen worden alle drie de oplossingen ingeschakeld.

Intel heeft onlangs aangekondigd dat zij hun evaluaties hebben voltooid en zijn begonnen met het uitbrengen van microcode voor nieuwere CPU-platforms. Microsoft stelt door Intel gevalideerde microcode-updates beschikbaar rond Spectre Variant 2 (CVE-2017-5715 'Branch Target Injection'). KB4093836 bevat een lijst met specifieke Knowledge Base-artikelen per Windows-versie. Elke specifieke KB bevat de beschikbare Intel microcode-updates per CPU.

Dit probleem is opgelost in KB4093118.

AMD heeft onlangs aangekondigd dat ze zijn begonnen met het uitbrengen van microcode voor nieuwere CPU-platforms rond Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Raadpleeg voor meer informatie de AMD Security Updates and AMD Whitepaper: Architecture Guidelines around Indirect Branch Control. Deze zijn beschikbaar via het OEM-firmwarekanaal.

We stellen door Intel gevalideerde microcode-updates beschikbaar rond Spectre Variant 2 (CVE-2017-5715 'Branch Target Injection '). Klanten die de nieuwste microcode-updates van Intel willen ontvangen via Windows Update, moeten microcode van Intel hebben geïnstalleerd op apparaten met een besturingssysteem van Windows 10 voordat ze een upgrade gaan uitvoeren naar de update voor Windows 10, april 2018 (versie 1803).

De microcode-update is ook rechtstreeks vanuit de catalogus beschikbaar als deze niet op het apparaat is geïnstalleerd voordat een upgrade van het besturingssysteem heeft plaatsgevonden. Microcode van Intel is beschikbaar via Windows Update, WSUS of de Microsoft Update-catalogus. Zie KB4100347 voor meer informatie en downloadinstructies.

Voor meer informatie kunt u de volgende bronnen raadplegen:

• ADV180012 | Microsoft-richtlijnen voor het omzeilen van de speculatieve store voor CVE-2018-3639
• ADV180013 | Microsoft-richtlijnen voor rogue-systeem Registreer voor CVE-2018-3640 en KB4073065
• Microsoft Beveiliging Research and Defense Blog
• Richtlijnen voor ontwikkelaars voor Speculative Store Bypass

Zie voor meer informatie de secties "Aanbevolen acties" en "FAQ" in ADV180012 | Microsoft-richtlijnen voor het omzeilen van speculatieve winkels.

Om de status van SSBD te controleren, is het Get-SpeculationControlSettings PowerShell-script bijgewerkt om betrokken processors, de status van updates van het SSBD-besturingssysteem en de status van de processormicrocode, indien van toepassing, te detecteren. Zie KB4074629 voor meer informatie en het verkrijgen van het PowerShell-script.

Op 13 juni 2018 werd een extra kwetsbaarheid met betrekking tot speculatieve uitvoering in kanalen aan de zijkant, bekend als Lazy FP State Restore, aangekondigd en toegewezen aan CVE-2018-3665. Er zijn geen configuratie-instellingen (registerinstellingen) nodig voor Lazy Restore FP-herstel.

Raadpleeg voor meer informatie over dit beveiligingslek en voor aanbevolen acties het beveiligingsadvies ADV180016 | Microsoft-richtlijnen voor het herstellen van een status van een luie FP.

Bounds Check Bypass Store (BCBS) werd bekendgemaakt op 10 juli 2018 en kreeg CVE-2018-3693 toegewezen. Wij beschouwen BCBS als behorend tot dezelfde klasse van kwetsbaarheden als Bounds Check Bypass (Variant 1). We zijn momenteel niet op de hoogte van gevallen van BCBS in onze software, maar we blijven onderzoek doen naar deze kwetsbaarheidsklasse en werken samen met industriële partners om indien nodig oplossingen vrij te geven. We blijven onderzoekers aanmoedigen om alle relevante bevindingen in te dienen bij het Speculative Execution Side Channel-bounty-programma van Microsoft, inclusief eventuele misbruikbare exemplaren van BCBS. Softwareontwikkelaars moeten de richtlijnen voor ontwikkelaars die voor BCBS zijn bijgewerkt, op https://aka.ms/sescdevguide doornemen.

Op 14 augustus 2018 werd L1 Terminal Fault (L1TF) aangekondigd en kregen meerdere CVE's toegewezen. Deze nieuwe speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde kunnen worden gebruikt om de inhoud van het geheugen over een vertrouwde grens te lezen en kunnen, als ze worden misbruikt, leiden tot het vrijgeven van informatie. Een aanvaller kan de kwetsbaarheden activeren via meerdere vectoren, afhankelijk van de geconfigureerde omgeving. L1TF is van invloed op Intel® Core-processors® en Intel® Xeon-processors®.

Zie de volgende bronnen voor meer informatie over dit beveiligingslek en een gedetailleerde weergave van getroffen scenario's, waaronder de aanpak van Microsoft om L1TF te beperken:

• ADV180018 | Microsoft-richtlijnen om de L1TF-variant te beperken
• Beveiligingsadvies Blog over beveiligingsonderzoek
• Richtlijnen voor server voor L1-terminalfout

Klanten die 64-bits ARM-processors gebruiken, moeten contact opnemen met de OEM van het apparaat voor firmwareondersteuning, omdat ARM64-besturingssysteembeveiligingen CVE-2017-5715 beperken | Branch Target Injection (Spectre, Variant 2) vereist dat de meest recente firmware-update van apparaat-OEM's van kracht wordt.

Raadpleeg de volgende beveiligingsadviezen voor meer informatie

• Het beveiligingsadvies van Intel
• ADV190013 | Microsoft-richtlijnen voor het beperken van kwetsbaarheden in microarchitecturale gegevenssteekproeven

Raadpleeg de volgende beveiligingsadviezen voor meer informatie

• Het beveiligingsadvies van Intel
• ADV190013 | Microsoft-richtlijnen voor het beperken van kwetsbaarheden in microarchitecturale gegevenssteekproeven

Verdere richtlijnen zijn te vinden in Windows-richtlijnen ter bescherming tegen speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde

Raadpleeg de richtlijnen in de Windows-richtlijnen ter bescherming tegen speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde

Raadpleeg het volgende artikel voor hulp bij Azure: Richtlijnen voor het beperken van speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde in Azure.

Raadpleeg voor meer informatie over het inschakelen van Retpoline ons blogbericht: Spectre variant 2 beperken met Retpoline op Windows.

Meer informatie over dit beveiligingsprobleem vindt u in de Microsoft-beveiligingshandleiding: CVE-2019-1125 | Kwetsbaarheid in Windows-kernel met betrekking tot openbaarmaking van informatie.

We zijn niet op de hoogte van enig geval van dit beveiligingslek met betrekking tot het vrijgeven van informatie dat van invloed is op onze cloudservice-infrastructuur.

Zodra we ons bewust werden van dit probleem, hebben we er snel aan gewerkt om het op te lossen en een update uit te brengen. We geloven sterk in nauwe partnerschappen met zowel onderzoekers als industriële partners om klanten veiliger te maken, en hebben pas op dinsdag 6 augustus details gepubliceerd, in overeenstemming met gecoördineerde praktijken voor het openbaar maken van kwetsbaarheden.

Verdere richtlijnen zijn te vinden in Windows-richtlijnen ter bescherming tegen speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde.

Verdere richtlijnen zijn te vinden in Windows-richtlijnen ter bescherming tegen speculatieve beveiligingslekken in kanalen aan de uitvoeringszijde.

Verdere richtlijnen zijn te vinden in de Leidraad voor het uitschakelen van Intel® TSX-mogelijkheden (Transactional® Synchronization Extensions).

We bieden contactgegevens van derden om u te helpen technische ondersteuning te vinden. Deze contactgegevens kunnen zonder voorafgaande kennisgeving worden gewijzigd. We kunnen de juistheid van deze contactgegevens van derden niet garanderen.