KB4073225-SQL Server guidance om te beschermen tegen beveiligingsproblemen met Spectre, Meltdown en microarchitecturale gegevens van micro architectuur

Samenvatting

Microsoft is op de hoogte van een nieuwe openbaar gemaakte klasse van de zwakke plekken, zoals ' speculatieve scripts van het kanaal ', die van invloed zijn op een heleboel moderne processors en besturingssystemen. Dit geldt ook voor Intel, AMD en ARM. Opmerking Dit probleem is ook van invloed op andere systemen, zoals Android, Chrome, iOS en MacOS. We raden klanten daarom aan om richtlijnen van deze leveranciers te verzamelen.

Microsoft heeft diverse updates uitgebracht om deze beveiligingsproblemen op te lossen. We hebben ook actie ondernomen om onze cloudservices te beveiligen. Zie de volgende secties voor meer informatie.

Microsoft heeft op dit moment nog geen informatie ontvangen dat deze kwetsbaarheden werden gebruikt om klanten aan te vallen. Microsoft blijft samen met branche partners werken, waaronder chips, hardware en toepassingsleveranciers voor de bescherming van klanten. Voor alle beschikbare bescherming zijn de hardware-of firmware-en software-updates vereist. Dit omvat microcode van apparaat-OEM’s en in sommige gevallen updates voor antivirus- software. Zie Microsoft Security adviseren ADV180002voor meer informatie over dit probleem. Zie de richtlijnen voor het beperken van speculatieve scripts voor het oplossen van problemen met het risico voor de ondersteuning van deze beveiligings klasse.

Microsoft publiceerde ADV190013-Microsoft-richtlijnen voor het oplossen van problemen met de beveiliging van microarchitecturale gegevens in mei 2019. SQL Server heeft geen specifieke beveiligingspatches voor het probleem dat wordt beschreven in ADV190013. In de sectie aanbevelingen van dit artikel vindt u instructies voor omgevingen die worden beïnvloed door ADV190013. Houd er rekening mee dat dit advies uitsluitend van toepassing is op Intel-processors.

De update downloaden en installeren

Deze update is ook beschikbaar via WSUS (Windows Server Update Services) of de website van de Microsoft Update-catalogus.Opmerking: deze update wordt niet automatisch gedownload en geïnstalleerd via Windows Update.

Ondersteunde SQL Server-versies die worden beïnvloed

Microsoft raadt aan dat alle klanten de SQL Server-updates (hieronder weergegeven) installeren als onderdeel van de regelmatige patching.  Klanten waarbij SQL Server wordt uitgevoerd in een beveiligde omgeving waar uitbreidbare punten worden geblokkeerd en alle code van derden die op dezelfde server wordt uitgevoerd, wordt vertrouwd en goedgekeurd.

De volgende versies van SQL Server hebben beschikbare updates wanneer ze op x86-en x64-processor systemen worden uitgevoerd:

• SQL Server 2008

• SQL Server 2008R2

• SQL Server 2012

• SQL Server 2014

• SQL Server 2016

• SQL Server 2017

U wordt niet aangeraden IA64 (Microsoft SQL Server 2008) van invloed te zijn. Microsoft analytic platform service (APS) is gebaseerd op Microsoft SQL Server 2014 of Microsoft SQL Server 2016, maar dit is niet specifiek van toepassing. Enkele algemene richtlijnen voor APS worden verderop in dit artikel weergegeven.

Aanbevelen

In de volgende tabel vindt u een overzicht van de gebruikers, afhankelijk van de omgeving waarin SQL Server wordt uitgevoerd en welke functionaliteit wordt gebruikt. Microsoft raadt u aan oplossingen te implementeren met behulp van de gebruikelijke procedures voor het testen van nieuwe binaire bestanden voordat u ze implementeert in de productieomgevingen.

Prestatie advies

Klanten wordt aangeraden de prestaties van hun specifieke toepassing te evalueren wanneer ze updates toepassen.

Microsoft adviseert alle klanten om bijgewerkte versies van SQL Server en Windows te installeren. Dit moet een minimaal prestatie effect hebben voor bestaande toepassingen, op basis van Microsoft tests van SQL-werkbelastingen. We raden u echter aan alle updates te testen voordat u deze implementeert in een productieomgeving.

Microsoft heeft het effect van Virtual Address shadowing (KVAS) voor de kernel van de kernel gemeten (tabel omleiding voor de kernel van de kernel) en indirecte vertakkings voorspelling (IBP) op diverse SQL-belastingen in diverse omgevingen, en er werden enkele belastingen gevonden met significante degradatie. We raden u aan het prestatie effect van het inschakelen van deze functies te testen voordat u ze implementeert in een productieomgeving. Als het prestatie effect van het inschakelen van deze functies te hoog is voor een bestaande toepassing, kunt u overwegen om te zien of SQL Server wordt geïsoleerd van niet-vertrouwde codes die op dezelfde computer worden uitgevoerd een betere beperking heeft voor uw toepassing.

U vindt hiermeer informatie over het effect van de ondersteuning van de support voor de ondersteuning van indirecte Branch-hardware (IBP).

Microsoft zal deze sectie bijwerken met meer informatie wanneer deze beschikbaar is.

Virtuele adres van kernel inschakelen (KVAS in Windows) en tabel met kernel-pagina's voor tabellen (KPTI op Linux)

KVAS-en KPTI-beperkingen voor CVE 2017-5754, ook bekend als ' Meltdown ' of ' variant 3 ', in de verGPZings informatie.

SQL Server wordt uitgevoerd in diverse omgevingen: fysieke computers, Vm's in openbare en privécloud-omgevingen, op Linux-en Windows-systemen. Ongeacht de omgeving wordt het programma uitgevoerd op een computer of VM. Bel deze beveiligings grens.

Als alle code in de grens toegang heeft tot alle gegevens in die grens, hoeft u geen actie te ondernemen. Als dit niet het geval is, dan is de Boundary bedoeld voor Meervoudige Tenant. De beveiligingsproblemen zijn er mogelijk voor elke code, zelfs met beperkte machtigingen, uitgevoerd in een proces dat grenst, om alle andere gegevens binnen die grenzen te lezen. Als er in de Boundary een niet-vertrouw bare code wordt uitgevoerd, kan deze beveiligingsproblemen deze zwakke plekken gebruiken om gegevens uit andere processen te lezen. Dit niet-vertrouwde programmacode kan niet worden vertrouwd met SQL Server Extensibility-mechanismen of andere processen in de grens waarop niet-vertrouwde code wordt uitgevoerd.

Gebruik een van de volgende methoden om te beschermen tegen niet-vertrouwde code in een boundary met meerdere tenants

• De niet-vertrouwde code verwijderen. Zie hieronder voor meer informatie over hoe u dit kunt doen voor SQL Server Extensibility-mechanismen. Als u niet-vertrouwde code wilt verwijderen uit andere toepassingen binnen dezelfde grenzen, zijn toepassingsspecifieke wijzigingen meestal nodig. Voorbeeld van het scheiden van twee Vm's.

• Schakel KVAS of KPTI in. Dit heeft een prestatie-effect. Zie voor meer informatie, zoals eerder in dit artikel is beschreven.

Zie KB4072698voor meer informatie over het inschakelen van KVAS voor Windows. Voor meer informatie over het inschakelen van KPTI voor Linux raadpleegt u de Distributor van uw besturingssysteem.

Een voorbeeld van een scenario waarbij KVAS of KPTI ten zeerste wordt aanbevolen

Een on-premises fysieke computer waarop SQL Server als een niet-systeembeheerdersaccount wordt gehost, kan klanten willekeurige R-scripts indienen voor de uitvoering via SQL Server (met secundaire processen voor het uitvoeren van deze scripts buiten Sqlservr. exe). Het is noodzakelijk om KVAS en KPTI in te schakelen en te beschermen tegen het vrijgeven van gegevens binnen het SQLSERVR. exe-proces en om te voorkomen dat er gegevens worden vrijgegeven in het kernelgeheugen van het systeem. Opmerking Een uitbreidings mechanisme in SQL Server wordt niet automatisch als onveilig beschouwd omdat dit wordt gebruikt. U kunt deze mechanismen veilig gebruiken binnen SQL Server, mits elk van de afhankelijkheden door de klant worden begrepen en vertrouwd. Daarnaast zijn er andere producten die zijn gebouwd op basis van SQL waarvoor Uitbreidingsmechanismen nodig zijn om correct te werken. Voor een juiste werking van een ingepakte toepassing die op SQL Server is gebouwd, is het mogelijk dat een gekoppelde server of een CLR opgeslagen procedure is vereist. Microsoft adviseert dit niet te verwijderen als onderdeel van de beperking. In plaats daarvan kunt u elke gebruik bekijken om te bepalen of deze code is begrepen en wordt vertrouwd als de eerste actie. Deze richtlijnen worden geboden om klanten te helpen bepalen of ze in een situatie zijn waarin ze KVAS kunnen inschakelen. Dit komt doordat deze actie aanzienlijke gevolgen heeft voor de prestaties.

Ondersteuning van ondersteuning voor indirecte vertakking voor dicteren (IBP)-hardware

IBP wordt beperkt tegen CVE 2017-5715, ook wel een helft van Spectre of ' variant 2 ' genoemd in de GPZ-informatie.

De instructies in dit artikel voor het inschakelen van KVAS voor Windows zorgt ook voor IBP. Voor IBP is echter ook een firmware-update van de hardwarefabrikant vereist. Naast de instructies in KB4072698 om beveiliging in Windows in te schakelen, moeten klanten updates van de hardwarefabrikant downloaden en installeren.

Een voorbeeld van een scenario waarin IBP sterk wordt aanbevolen

Een on-premises fysieke computer host SQL Server naast een toepassing waarmee niet-vertrouwde gebruikers willekeurige JavaScript-code kunnen uploaden en uitvoeren. Als er sprake is van vertrouwelijke gegevens in de SQL-database, wordt IBP ten zeerste aangeraden als een maateenheid ter bescherming tegen proces-to-process informatie informatie.

In situaties waarin de ondersteuning van IBP-hardware niet wordt vermeld, adviseert Microsoft niet-vertrouwde processen en een vertrouwd proces op verschillende fysieke computers of virtuele machines.

Linux-gebruikers: Neem contact op met de Distributor voor het besturingssysteem voor informatie over hoe u zich kunt beschermen tegen variant 2 (CVE 2017-5715).

Een voorbeeld van een scenario waarin beperkingen voor de beveiligingsbeperkingen van de microarchitecturale gegevens sterk worden aanbevolen

Houd rekening met een voorbeeld waarbij een on-premises server twee exemplaren van SQL Server met twee verschillende bedrijfstoepassingen op twee verschillende virtuele machines op dezelfde fysieke host uitvoert. Ga ervan uit dat deze twee bedrijfstoepassingen geen gegevens kunnen lezen die zijn opgeslagen in de SQL Server-exemplaren. Een aanvaller die misbruik heeft gemaakt van deze beveiligingslekken, kan geprivilegieerde gegevens in vertrouwens grenzen met behulp van vertrouwens grenzen met behulp van een een afzonderlijk proces of niet-vertrouwde code die wordt uitgevoerd met een SQL Server-uitbreidings mechanisme weergeven. In gedeelde resource omgevingen (zoals in sommige configuraties van cloudservices) kunnen met deze beveiligingsproblemen één virtuele machine onjuiste toegang krijgen tot gegevens van een andere. In niet-Browse scenario's op zelfstandige systemen heeft een aanvaller eerder toegang nodig tot het systeem of een mogelijkheid om een speciaal vervaardigde toepassing uit te voeren op het doelsysteem om deze beveiligingsproblemen op te lossen.

Niet-vertrouwde SQL Server Extensibility-mechanismen

SQL Server bevat diverse functies en mechanismen voor uitbreidbaarheid. De meeste van deze mechanismen zijn standaard uitgeschakeld. We raden klanten echter ook aan om alle productie-exemplaren te bekijken voor gebruik van de functie voor uitbreidbaarheid. We raden u aan dat elk van deze functies beperkt is tot de minimumset van binaire gegevens en dat klanten toegang beperken om te voorkomen dat willekeurige code op dezelfde computer als SQL Server wordt uitgevoerd. We adviseren klanten om te bepalen of ze elk binair moeten vertrouwen, en om niet-vertrouwde binaire bestanden uit te schakelen of te verwijderen.

• SQL CLR-assembly's

• R-en Python-pakketten die worden uitgevoerd via het mechanisme voor externe scripts of die worden uitgevoerd vanaf de zelfstandige R/machine learning Studio op dezelfde fysieke computer als SQL Server

• SQL Agent-uitbreid punten die worden uitgevoerd op dezelfde fysieke computer als SQL Server (ActiveX-scripts)

• Niet-Microsoft OLE DB-providers die worden gebruikt op gekoppelde servers

• Niet-Microsoft uitgebreide, opgeslagen procedures

• COM-objecten die worden uitgevoerd op de server (toegankelijk via sp_OACreate)

• Programma's die worden uitgevoerd via xp_cmdshell

Minder te doen als u niet-vertrouwde code gebruikt in SQL Server: