KB4072698: Windows Server i Azure Stack HCI wskazówki dotyczące ochrony przed lukami w zabezpieczeniach opartymi na mikroarchitekturze krzemów i spekulatywne wykonywanie kodu w kanałach bocznych

W tym artykule opisano następujące luki w zabezpieczeniach związane z wykonywaniem spekulacyjnym:

• CVE-2017-5715 | Iniekcja celu rozgałęzienia
• CVE-2017-5753 | Bounds Check Bypass
• CVE-2017-5754 | Ładowanie pamięci podręcznej nieuczciwych danych
• CVE-2018-3639 | Spekulacyjne obejście sklepu

Usługa Windows Update udostępni także środki łagodzące dla przeglądarki Internet Explorer i przeglądarki Edge. Będziemy nadal ulepszać te środki zaradcze przed lukami w zabezpieczeniach tej klasy.

Aby dowiedzieć się więcej o tych lukach w zabezpieczeniach, zobacz

• ADV180002 | Wskazówki dotyczące eliminowania luk w zabezpieczeniach umożliwiających spekulatywne wykonywanie kodu z wydobywaniem informacji bocznymi kanałami
• ADV180012 | Wskazówki firmy Microsoft dotyczące Speculative Store Bypass

W dniu 14 maja 2019 r. firma Intel opublikowała informacje o nowej podklasie luk w zabezpieczeniach umożliwiających spekulatywne wykonywanie kodu w kanałach bocznych znaną pod nazwą Microarchitectural Data Sampling, co zostało udokumentowane w ADV190013 | Próbkowanie danych mikroarchitektonicznych. Przypisano im następujące CVE:

• CVE-2019-11091 | Próbkowanie danych z mikroarchitektury Pamięć niebuforowana (MDSUM)
• CVE-2018-12126 | Próbkowanie danych bufora magazynu mikroarchitektury (MSBDS)
• CVE-2018-12127 | Próbkowanie danych bufora wypełnienia mikroarchitektury (MFBDS)
• CVE-2018-12130 | Próbkowanie danych portu obciążenia mikroarchitektury (MLPDS)

Firma Microsoft opublikowała aktualizacje, aby ograniczyć te luki w zabezpieczeniach. Aby uzyskać wszystkie dostępne zabezpieczenia, wymagane jest oprogramowanie układowe (mikrokod) i aktualizacje oprogramowania. Może to obejmować mikrokod od producentów OEM urządzeń. W niektórych przypadkach zainstalowanie tych aktualizacji będzie miało wpływ na wydajność. Podjęliśmy również działania w celu zabezpieczenia naszych usług w chmurze. Zdecydowanie zalecamy wdrażanie tych aktualizacji.

Aby uzyskać więcej informacji na temat tego problemu, zobacz następujące poradniki zabezpieczeń i skorzystaj ze wskazówek opartych na scenariuszach, aby określić działania niezbędne do ograniczenia zagrożenia:

• ADV190013 | Wskazówki firmy Microsoft dotyczące ograniczania ryzyka związanego z lukami w zabezpieczeniach próbkowania danych na poziomie mikroarchitektury
• Wskazówki systemu Windows dotyczące ochrony przed lukami Spectra w działaniu, które można wykonywać bez specjalnych kanałów

W dniu 6 sierpnia 2019 r. firma Intel opublikowała szczegółowe informacje o luce w zabezpieczeniach jądra systemu Windows. Ta luka w zabezpieczeniach jest wariantem luki Spectre, wariant 1 spekulacyjnego wykonywania w kanałach bocznych i została przypisana CVE-2019-1125.

9 lipca 2019 r. opublikowaliśmy aktualizacje zabezpieczeń dla systemu operacyjnego Windows, aby pomóc w ograniczeniu tego problemu. Należy pamiętać, że wstrzymaliśmy się z publicznym dokumentowaniem tego ograniczenia do czasu skoordynowanego ujawnienia informacji branżowych we wtorek, 6 sierpnia 2019 r.

Klienci z włączoną usługą Windows Update, którzy zastosowali aktualizacje zabezpieczeń wydane 9 lipca 2019 r., są objęci ochroną automatycznie. Nie jest wymagana dalsza konfiguracja.

Aby uzyskać więcej informacji na temat tej luki w zabezpieczeniach i odpowiednich aktualizacji, zobacz Przewodnik aktualizacji zabezpieczeń firmy Microsoft:

• CVE-2019-1125 | Luka w zabezpieczeniach jądra systemu Windows umożliwiająca ujawnienie informacji

W dniu 12 listopada 2019 r. firma Intel opublikowała poradnik techniczny dotyczący luki w zabezpieczeniach asynchronicznych przerwań transakcji rozszerzenia® Intel TSX (Transactional Synchronization Extensions), której przypisano CVE-2019-11135. Firma Microsoft opublikowała aktualizacje, aby pomóc w wyeliminowaniu tej luki i ochrona systemu operacyjnego jest domyślnie włączona w systemie Windows Server 2019, ale domyślnie wyłączona w systemie Windows Server 2016 i wcześniejszych wersjach systemu operacyjnego Windows Server.

14 czerwca 2022 r. opublikowaliśmy ADV220002 | Wskazówki firmy Microsoft dotyczące luk w zabezpieczeniach związanych z nieaktualnymi danymi MMIO dotyczącymi procesorów Intel i przypisane te CVE:

• CVE-2022-21123 | Odczyt danych buforu udostępnionego (SBDR)
• CVE-2022-21125 | Próbkowanie danych z buforem udostępnionym (SBDS)
• CVE-2022-21127 | Aktualizacja próbkowania danych specjalnego bufora rejestru (aktualizacja SRBDS)
• CVE-2022-21166 | Częściowy zapis w rejestrze urządzeń (DRPW)

Proponowane działania

W celu zabezpieczenia się przed lukami w zabezpieczeniach należy podjąć następujące kroki:

1. Stosowanie wszystkich dostępnych aktualizacji systemu operacyjnego Windows, w tym comiesięcznych aktualizacji zabezpieczeń Windows.
2. Zastosuj aktualizację oprogramowania układowego (mikrokod) dostarczoną przez producenta urządzenia.
3. Oceń ryzyko dla środowiska na podstawie informacji zawartych w poradnikach zabezpieczeń firmy Microsoft: ADV180002, ADV180012, ADV190013 i ADV220002, oprócz informacji zawartych w tym artykule baza wiedzy.
4. Podejmij wymagane działania, korzystając z porad i informacji klucza rejestru zawartych w tym artykule z bazy wiedzy.

12 lipca 2022 r. opublikowaliśmy CVE-2022-23825 | Błąd typu gałęzi procesora AMD opisujący, że aliasy w predyktorze gałęzi mogą powodować, że niektóre procesory AMD przewidują nieprawidłowy typ gałęzi. Ten problem może potencjalnie prowadzić do ujawnienia informacji.

Aby pomóc w ochronie przed tą luką, zalecamy zainstalowanie aktualizacji systemu Windows z lipca 2022 r. lub później, a następnie podjęcie działań zgodnie z wymaganiami CVE-2022-23825 i informacji o kluczu rejestru zawartych w tym artykule z bazy wiedzy.

Aby uzyskać więcej informacji, zobacz biuletyn zabezpieczeń AMD-SB-1037 .

8 sierpnia 2023 r. opublikowaliśmy CVE-2023-20569 | Predyktor adresu zwrotnego (znany również jako Incepcja), który opisuje nowy spekulatywny atak kanałem bocznym, który może doprowadzić do spekulatywnego wykonania pod adresem kontrolowanym przez osobę atakującą. Ten problem dotyczy niektórych procesorów AMD i może potencjalnie prowadzić do ujawnienia informacji.

Aby pomóc w ochronie przed tą luką, zalecamy zainstalowanie aktualizacji systemu Windows z sierpnia 2023 r. lub później, a następnie podjęcie działań zgodnie z CVE-2023-20569 i informacjami o kluczu rejestru podanymi w tym artykule z bazy wiedzy.

Aby uzyskać więcej informacji, zobacz biuletyn zabezpieczeń AMD-SB-7005 .

W dniu 9 kwietnia 2024 r. opublikowaliśmy CVE-2022-0001 | Intel Branch History Injection , który opisuje Branch History Injection (BHI), który jest specyficzną formą BTI w trybie wewnętrznym. Ta luka występuje, gdy osoba atakująca może manipulować historią gałęzi przed przejściem z trybu użytkownika do trybu nadzorcy (lub z trybu VMX non-root/gość do trybu root). Ta manipulacja może spowodować, że predyktor rozgałęzienia pośredniego wybierze określony wpis predyktora dla gałęzi pośredniej, a gadżet ujawniania w przewidywanym miejscu docelowym zostanie tymczasowo wykonany. Może to być możliwe, ponieważ odpowiednia historia gałęzi może zawierać gałęzie wykonane w poprzednich kontekstach zabezpieczeń, a w szczególności inne tryby predyktora.

Domyślnie ochrona użytkownika-jądra dla CVE-2017-5715 jest wyłączona dla procesorów AMD. Klienci muszą włączyć ograniczenie ryzyka, aby otrzymać dodatkową ochronę przed CVE-2017-5715.  Aby uzyskać więcej informacji, zobacz FAQ #15 w ADV180002.

Domyślnie ochrona użytkownik-jądro dla CVE-2017-5715 jest wyłączona dla procesorów AMD. Klienci muszą włączyć ograniczenie ryzyka, aby otrzymać dodatkową ochronę przed CVE-2017-5715.  Aby uzyskać więcej informacji, zobacz FAQ #15 w ADV180002.

Aby włączyć ograniczenie ryzyka luki CVE-2022-23825 w procesorach AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Aby klienci mogli być w pełni chronieni, może być konieczne wyłączenie Hyper-Threading (znanego również jako jednoczesna wielowątkowość (SMT)). Zobacz KB4073757 , aby uzyskać wskazówki dotyczące ochrony urządzeń z systemem Windows.

Aby włączyć ograniczenie ryzyka dla CVE-2023-20569 na procesorach AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Aby włączyć ograniczenie zagrożenia luką CVE-2022-0001 w procesorach Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Aby uzyskać szczegółowe wyjaśnienie danych wyjściowych skryptu programu PowerShell, zobacz KB4074629 .

Aby uniknąć negatywnego wpływu na urządzenia klienckie, aktualizacje zabezpieczeń systemu Windows, które zostały wydane w styczniu i lutym 2018 r., nie były oferowane wszystkim klientom. Aby uzyskać szczegółowe informacje, zobacz KB407269 .

Mikrokod jest dostarczany poprzez aktualizację oprogramowania układowego. Skonsultuj się z producentem OEM, która zawiera wersję oprogramowania układowego, która ma odpowiednią aktualizację dla Twojego komputera.

Istnieje wiele zmiennych, które wpływają na wydajność, począwszy od wersji systemu, a skończywszy na uruchomionych obciążeniach. W przypadku niektórych systemów wpływ na wydajność będzie znikomy. Dla innych będzie to znaczące.

Zalecamy, aby ocenić wpływ wydajności systemów i wprowadzić odpowiednie poprawki.

Oprócz wskazówek zawartych w tym artykule dotyczących maszyn wirtualnych należy skontaktować się z usługodawcą, aby upewnić się, że hosty, na których są uruchomione maszyny wirtualne, są odpowiednio chronione.

W przypadku maszyn wirtualnych z systemem Windows Server działających na platformie Azure zobacz Wskazówki dotyczące eliminowania luk Spectra na platformie Azure. Aby uzyskać wskazówki dotyczące korzystania z usługi Azure Update Management w celu ograniczenia tego problemu na maszynach wirtualnych gości, zobacz KB4077467.

Aktualizacje, które zostały wydane dla obrazów kontenerów systemu Windows Server dla systemów Windows Server 2016 i Windows 10, wersja 1709, zawierają środki zaradcze usuwające ten zestaw luk. Nie jest wymagana żadna dodatkowa konfiguracja.

Wskazówka Nadal musisz upewnić się, że host, na którym są uruchomione te kontenery, jest skonfigurowany tak, aby włączyć odpowiednie ograniczenia ryzyka.

Nie, kolejność instalacji nie ma znaczenia.

Tak, należy uruchomić ponownie po aktualizacji oprogramowania układowego (mikrokodu), a następnie ponownie po aktualizacji systemu.

Poniżej przedstawiono szczegóły kluczy rejestru:

FeatureSettingsOverride reprezentuje mapę bitową, która zastępuje domyślne ustawienie i steruje, które ograniczenia ryzyka zostaną wyłączone. Bit 0 steruje ograniczeniem ryzyka odpowiadającym CVE-2017-5715. Bit 1 steruje ograniczeniem ryzyka odpowiadającym luce w systemie CVE-2017-5754. Bity są ustawione na 0 , aby włączyć ograniczanie ryzyka, i na wartość 1 , aby wyłączyć ograniczanie ryzyka.

FeatureSettingsOverrideMask reprezentuje maskę mapy bitowej, która jest używana razem z FeatureSettingsOverride. W takiej sytuacji używamy wartości 3 (reprezentowanej jako 11 w systemie liczb binarnych lub systemie liczbowym o podstawie 2), aby wskazać pierwsze dwa bity, które odpowiadają dostępnym ograniczeniom ryzyka. Ten klucz rejestru ma ustawioną wartość 3 , zarówno w celu włączenia, jak i wyłączenia ograniczeń ryzyka.

MinVmVersionForCpuBasedMitigations jest przeznaczony dla hostów Hyper-V. Ten klucz rejestru definiuje minimalną wersję maszyny wirtualnej wymaganą do korzystania ze zaktualizowanego oprogramowania układowego (CVE-2017-5715). Ustaw ją na 1.0 , aby uwzględnić wszystkie wersje maszyn wirtualnych. Zwróć uwagę, że ta wartość rejestru będzie ignorowana (łagodna) na hostach innych niż Hyper-V. Aby uzyskać więcej informacji, zobacz Ochrona maszyn wirtualnych gości przed iniekcją celu rozgałęzienia CVE-2017-5715.

Tak, nie ma żadnych skutków ubocznych, jeśli te ustawienia rejestru zostaną zastosowane przed zainstalowaniem poprawek związanych ze styczniem 2018 r.

Zobacz szczegółowy opis danych wyjściowych skryptu w temacie KB4074629: Opis danych wyjściowych skryptu SpeculationControl programu PowerShell .

Tak, dla hostów Hyper-V w systemie Windows Server 2016, które nie mają jeszcze dostępnej aktualizacji oprogramowania układowego, opublikowaliśmy alternatywne wskazówki, które mogą pomóc w ograniczeniu ataków typu maszyna wirtualna lub maszyna wirtualna na hosta. Zobacz Alternatywne zabezpieczenia hostów Hyper-V w systemie Windows Server 2016 przed lukami Spectra Execution Side-Channel Vulnerabilities.

Aktualizacje samych zabezpieczeń nie są skumulowane. W zależności od wersji systemu operacyjnego w celu zapewnienia pełnej ochrony może być konieczne zainstalowanie kilku aktualizacji zabezpieczeń. Na ogół klienci będą musieli zainstalować aktualizacje ze stycznia, lutego, marca i kwietnia 2018 r. Komputery z procesorami AMD wymagają dodatkowej aktualizacji, jak pokazano w poniższej tabeli:

Zalecamy instalowanie samych aktualizacji zabezpieczeń w kolejności ich publikowania.

Nie. Aktualizacja zabezpieczeń KB4078130 była specjalną poprawką zapobiegającą nieprzewidywalnemu zachowaniu systemu, problemom z wydajnością i nieoczekiwanym ponownym uruchamianiem po zainstalowaniu mikrokodu. Stosowanie aktualizacji zabezpieczeń w klienckich systemach operacyjnych Windows włącza wszystkie trzy środki zaradcze. W systemach operacyjnych Windows Server nadal musisz włączyć środki zaradcze po przeprowadzeniu właściwego testowania. Aby uzyskać więcej informacji, zobacz KB4072698.

Ten problem został rozwiązany w KB4093118.

W lutym 2018 r. firma Intel ogłosiła , że zakończyła walidację i rozpoczęła wydawanie mikrokodu dla nowszych platform CPU. Firma Microsoft udostępnia zatwierdzone przez Intel aktualizacje mikrokodu dotyczące Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | iniekcja celu rozgałęzienia).  KB4093836 lista konkretnych artykułów baza wiedzy według wersji systemu Windows. Każdy artykuł z bazy wiedzy zawiera dostępne aktualizacje mikrokodu Intel według CPU.

W dniu 11 stycznia 2018 r. firma Intel zgłosiła problemy z niedawno wydanym mikrokodem, który miał wyeliminować lukę Spectre variant 2 (CVE-2017-5715 | iniekcja celu rozgałęzienia). W szczególności Intel zauważył, że ten mikrokod może spowodować "większą niż oczekiwano liczbę ponownych uruchomień i inne nieprzewidywalne zachowanie systemu" i że te scenariusze mogą spowodować "utratę lub uszkodzenie danych". Z naszego doświadczenia wynika, że niestabilność systemu może w pewnych okolicznościach doprowadzić do utraty lub uszkodzenia danych. 22 stycznia Intel zalecił, aby klienci zaprzestali wdrażania obecnej wersji mikrokodu na procesorach, których dotyczy problem, podczas gdy Intel przeprowadzi dodatkowe testy zaktualizowanego rozwiązania. Rozumiemy, że Intel nadal bada potencjalne skutki obecnej wersji mikrokodu. Zachęcamy klientów, aby na bieżąco sprawdzali swoje wskazówki, aby podejmować lepsze decyzje.

Podczas gdy Intel testuje, aktualizuje i wdraża nowy mikrokod, udostępniamy aktualizację poza pasmem (OOB) KB4078130, która wyłącza tylko środek zaradczy przeciw luce CVE-2017-5715. Nasze testy wykazały, że ta aktualizacja zapobiega występowaniu opisanego zachowania. Aby zapoznać się z pełną listą urządzeń, zapoznaj się ze wskazówkami dotyczącymi aktualizacji mikrokodu firmy Intel. Ta aktualizacja obejmuje system Windows 7 z dodatkiem Service Pack 1 (SP1), system Windows 8.1 i wszystkie wersje systemu Windows 10, zarówno klienckie, jak i serwerowe. Jeśli korzystasz z urządzenia, którego dotyczy problem, tę aktualizację możesz zastosować, pobierając ją z witryny internetowej wykazu usługi Microsoft Update. Zastosowanie tego ładunku wyłącza tylko środek zaradczy przeciw luce CVE-2017-5715.

Na chwilę obecną nie ma żadnych znanych przypadków zgłaszania, że Spectre Variant 2 (CVE-2017-5715 | iniekcji celu rozgałęzienia) został użyty do ataku na klientów. W razie potrzeby użytkownicy systemu Windows powinni ponownie włączyć środek zaradczy przeciw luce w iniekcji CVE-2017-5715, gdy Intel zgłosi, że problem nieprzewidywalnego zachowania systemu został rozwiązany dla danego urządzenia.

W lutym 2018 r. firma Intel ogłosiła , że zakończyła walidację i rozpoczęła wydawanie mikrokodu dla nowszych platform CPU. Firma Microsoft udostępnia zweryfikowane przez firmę Intel aktualizacje mikrokodu związane z luką Spectre Variant 2: Spectre Variant 2 (CVE-2017-5715 | iniekcja celu rozgałęzienia). KB4093836 lista konkretnych artykułów baza wiedzy według wersji systemu Windows. Bazy wiedzy zawierają listę dostępnych aktualizacji mikrokodu Intel według CPU.

Aby uzyskać więcej informacji, zobacz Aktualizacje zabezpieczeń AMD i AMD Whitepaper: Wytyczne dotyczące architektury wokół pośredniej kontroli gałęzi . Są one dostępne w kanale oprogramowania sprzętowego OEM.

Udostępniamy zatwierdzone przez firmę Intel aktualizacje mikrokodu dotyczące luki Spectre Variant 2 (CVE-2017-5715 | iniekcja celu rozgałęzienia). Aby uzyskać najnowsze aktualizacje mikrokodu Intel za pośrednictwem usługi Windows Update, klienci muszą mieć zainstalowany mikrokod Intel na urządzeniach z systemem operacyjnym Windows 10 przed uaktualnieniem do aktualizacji systemu Windows 10 z kwietnia 2018 (wersja 1803).

Aktualizacja mikrokodu jest również dostępna bezpośrednio w wykazie usługi Microsoft Update, jeśli została zainstalowana na urządzeniu przed uaktualnieniem systemu. Mikrokod Intel jest dostępny za pośrednictwem usług Windows Update, Windows Server Update Services (WSUS) i wykazu usługi Microsoft Update. Aby uzyskać więcej informacji i instrukcje pobierania, zobacz KB4100347.

Aby uzyskać więcej informacji, zobacz następujące zasoby:

• ADV180012 | Wskazówki firmy Microsoft dotyczące spekulacyjnego obejścia sklepów w związku z CVE-2018-3639
• ADV180013 | Wskazówki firmy Microsoft dotyczące nieuczciwych systemów — przeczytana informacja o CVE-2018-3640 i KB 4073065 | Wskazówki dla klientów korzystających z urządzeń Surface
• Blog dotyczący badań nad zabezpieczeniami firmy Microsoft i obrony
• Wskazówki dla deweloperów dotyczące Speculative Store Bypass

Zobacz sekcje "Zalecane działania" i "Często zadawane pytania" w ADV180012 | Wskazówki firmy Microsoft dotyczące spekulacyjnego obejścia sklepu.

Aby zweryfikować stan SSBD, zaktualizowano skrypt Get-SpeculationControlSettings programu PowerShell w celu wykrycia procesorów, których dotyczy problem, stanu aktualizacji systemu operacyjnego SSBD i stanu mikrokodu procesora, jeśli dotyczy. Aby uzyskać więcej informacji i uzyskać skrypt programu PowerShell, zobacz KB4074629.

W dniu 13 czerwca 2018 r. ogłoszono dodatkową lukę w zabezpieczeniach polegającą na wykonywaniu spekulacyjnym w kanałach bocznych, znaną jako Lazy FP State Restore, której przypisano CVE-2018-3665 . Aby uzyskać informacje na temat tej luki w zabezpieczeniach i zalecanych działań, zobacz ADV180016 porad dotyczących bezpieczeństwa | Wskazówki firmy Microsoft dotyczące leniwego przywracania stanu FP .

Wskazówka Nie ma wymaganych ustawień konfiguracyjnych (rejestru) dla Lazy Restore FP Restore.

Bounds Check Bypass Store (BCBS) został ujawniony 10 lipca 2018 r. i przydzielono mu CVE-2018-3693. Uważamy, że BCBS należy do tej samej klasy podatności, co Bounds Check Bypass (wariant 1). Obecnie nie są nam znane żadne wystąpienia BCBS w naszym oprogramowaniu. Jednak nadal badamy tę klasę luk w zabezpieczeniach i będziemy współpracować z partnerami branżowymi w celu opublikowania środków zaradczych zgodnie z wymaganiami. Firma Microsoft zachęca badaczy do przesyłania wszelkich istotnych ustaleń do programu nagród Microsoft Speculative Execution Side Channel bounty, w tym wszelkich możliwych do wykorzystania wystąpień BCBS. Programiści powinni zapoznać się ze wskazówkami dla deweloperów, które zostały zaktualizowane dla BCBS na stronie C++ Wskazówki dla deweloperów dotyczące spekulacyjnych kanałów bocznych wykonywania

W dniu 14 sierpnia 2018 r. ogłoszono błąd terminala L1 (L1TF) i przypisano mu wiele CVE. Te nowe luki w zabezpieczeniach umożliwiające spekulatywne wykonywanie kodu bocznego mogą być wykorzystywane do odczytywania zawartości pamięci przez zaufaną granicę, a jeśli zostaną wykorzystane, mogą doprowadzić do ujawnienia informacji. Istnieje wiele wektorów, za pomocą których atakujący może wywołać luki w zabezpieczeniach, w zależności od skonfigurowanego środowiska. L1TF dotyczy procesorów Intel® Core® i procesorów Intel® Xeon®.

Aby uzyskać więcej informacji na temat tej luki oraz szczegółowy widok dotkniętych nią scenariuszy, w tym podejście firmy Microsoft do łagodzenia skutków L1TF, zobacz następujące zasoby:

• ADV180018 | Wskazówki firmy Microsoft dotyczące łagodzenia wariantu L1TF
• Poradnik zabezpieczeń Blog dotyczący badań nad zabezpieczeniami
• Wskazówki dotyczące serwera dotyczące błędu terminalu L1

Kroki wyłączania Hyper-Threading różnią się w zależności od producenta OEM, ale zazwyczaj są częścią narzędzi konfiguracji i konfiguracji systemu BIOS lub oprogramowania układowego.

Klienci korzystający z 64-bitowych procesorów ARM powinni skontaktować się z producentem OEM urządzenia w celu uzyskania pomocy dotyczącej oprogramowania układowego, ponieważ zabezpieczenia systemu operacyjnego ARM64 łagodzą CVE-2017-5715 | Iniekcja celu rozgałęzienia (Spectre, wariant 2) wymaga najnowszej aktualizacji oprogramowania układowego od producentów OEM urządzeń, aby zaczęła obowiązywać.

Aby uzyskać więcej informacji, zapoznaj się z następującymi poradami dotyczącymi zabezpieczeń.

• Poradnik zabezpieczeń firmy Intel
• ADV190013 | Wskazówki firmy Microsoft dotyczące ograniczania ryzyka związanego z lukami w zabezpieczeniach próbkowania danych na poziomie mikroarchitektury

Dalsze wskazówki można znaleźć w poradniku systemu Windows dotyczącym ochrony przed lukami Spectra wykonywanymi w kanałach bocznych

Zapoznaj się ze wskazówkami zawartymi w poradniku systemu Windows, aby uchronić się przed lukami w zabezpieczeniach umożliwiającymi spekulatywne wykonywanie kodu z wydobywaniem informacji bocznymi kanałami

Aby uzyskać wskazówki dotyczące platformy Azure, zapoznaj się z tym artykułem: Wskazówki dotyczące łagodzenia luk w zabezpieczeniach Spectra na platformie Azure.

Aby uzyskać więcej informacji na temat Retpoline enablement, zapoznaj się z naszym wpisem na blogu: Mitigating Spectre variant 2 with Retpoline on Windows .

Aby uzyskać szczegółowe informacje na temat tej luki, zobacz Przewodnik po zabezpieczeniach firmy Microsoft: CVE-2019-1125 | Luka w zabezpieczeniach jądra systemu Windows umożliwiająca ujawnienie informacji.

Nie są nam znane żadne przypadki takiej luki w zabezpieczeniach umożliwiającej ujawnienie informacji, które miałyby wpływ na naszą infrastrukturę usług w chmurze.

Gdy tylko dowiedzieliśmy się o tym problemie, szybko go naprawiliśmy i opublikowaliśmy aktualizację. Mocno wierzymy w ścisłą współpracę zarówno z badaczami, jak i partnerami branżowymi w celu zwiększenia bezpieczeństwa klientów, i nie opublikowaliśmy szczegółów aż do wtorku, 6 sierpnia, zgodnie ze skoordynowanymi praktykami ujawniania luk w zabezpieczeniach.

Dalsze wskazówki można znaleźć w poradniku systemu Windows dotyczącym ochrony przed lukami w zabezpieczeniach umożliwiającymi spekulatywne wykonywanie kodu z wydobywaniem informacji bocznymi kanałami.

Dalsze wskazówki można znaleźć w poradniku systemu Windows dotyczącym ochrony przed lukami w zabezpieczeniach umożliwiającymi spekulatywne wykonywanie kodu z wydobywaniem informacji bocznymi kanałami.

Dalsze wskazówki można znaleźć w Wskazówkach dotyczących wyłączania funkcji rozszerzeń synchronizacji transakcji firmy Intel (Intel TSX).

Produkty innych firm omawiane w tym artykule są tworzone przez firmy niezależne od firmy Microsoft. Nie udzielamy żadnych gwarancji, dorozumianych lub innych, dotyczących wydajności lub niezawodności tych produktów.

Udostępnimy informacje kontaktowe innych firm ułatwiające znajdowanie pomocy technicznej. Niniejsze informacje kontaktowe mogą ulec zmianie bez powiadomienia. Nie gwarantujemy, że podane informacje kontaktowe innych firm są dokładne.