KB4073119: Diretrizes do cliente Windows para profissionais de TI para proteger contra vulnerabilidades de canal lateral de execução especulativa e microarquitetura baseada em silício

Em 14 de maio de 2019, a Intel publicou informações sobre uma nova subclasse de vulnerabilidades de canal lateral de execução especulativa conhecida como Microarchitectural Data Sampling. Essas vulnerabilidades são abordadas nas seguintes CVEs:

• CVE-2019-11091 | MDSUM (Microarchitectural Data Sampling Uncacheable Memory)
• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
• CVE-2018-12127 | MFBDS (Microarchitectural Fill Buffer Data Sampling)
• CVE-2018-12130 | MLPDS (Microarchitectural Load Port Data Sampling)

Lançamos atualizações para ajudar a mitigar essas vulnerabilidades. Para obter todas as proteções disponíveis, são necessárias atualizações de firmware (microcódigo) e software. Isso pode incluir o microcódigo de OEMs de dispositivos. Em alguns casos, a instalação dessas atualizações terá um impacto no desempenho. Também agimos para proteger nossos serviços de nuvem. É altamente recomendável implantar essas atualizações.

Para obter mais informações sobre esse problema, consulte o seguinte Comunicado de Segurança e use a orientação baseada em cenário para determinar as ações necessárias para mitigar a ameaça:

• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling
• Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa

Em 6 de agosto de 2019, a Intel divulgou detalhes sobre uma vulnerabilidade de divulgação de informações do kernel do Windows. Esta vulnerabilidade é uma variante da vulnerabilidade de canal paralelo de execução especulativa Spectre Variante 1 e foi atribuída à CVE-2019-1125.

Em 9 de julho de 2019, lançamos atualizações de segurança para o sistema operacional Windows para ajudar a mitigar esse problema. Observe que aguardamos para documentar essa mitigação publicamente até a revelação coordenada do setor na terça-feira, 6 de agosto de 2019.

Os clientes que têm o Windows Update habilitado e aplicaram as atualizações de segurança lançadas em 9 de julho de 2019 estão protegidos automaticamente. Nenhuma outra configuração é necessária.

Para obter mais informações sobre essa vulnerabilidade e as atualizações aplicáveis, consulte o Guia de Atualização de Segurança da Microsoft:

• CVE-2019-1125 | Vulnerabilidade de Divulgação de Informações do Kernel do Windows

Em 12 de novembro de 2019, a Intel publicou um comunicado técnico sobre a vulnerabilidade Transaction Asynchronous Abort do Intel Transactional Synchronization Extensions (Intel TSX) atribuída à CVE-2019-11135. Lançamos atualizações para ajudar a mitigar essa vulnerabilidade. Por padrão, as proteções do sistema operacional são habilitadas para as edições do SO do Cliente do Windows.

Em 14 de junho de 2022, publicamos o ADV220002 | Diretrizes da Microsoft sobre vulnerabilidades de dados obsoletas do MMIO do Processador Intel. Essas vulnerabilidades estão atribuídas às CVEs a seguir:

• CVE-2022-21123 | Shared Buffer Data Read (SBDR)
• CVE-2022-21125 | Shared Buffer Data Sampling (SBDS)
• CVE-2022-21127 | Special Register Buffer Data Sampling Update (SRBDS Update)
• CVE-2022-21166 | Device Register Partial Write (DRPW)

Ações recomendadas

Você deve tomar as seguintes medidas para se proteger contra essas vulnerabilidades:

1. Aplica as atualizações disponíveis do sistema operacional Windows, incluindo as atualizações de segurança do Windows mensais.
2. Aplica a atualização de firmware (microcódigo) aplicável fornecida pelo fabricante do dispositivo.
3. Avalie o risco para o seu ambiente com base nas informações fornecidas nos Comunicados de Segurança da Microsoft ADV180002, ADV180012, ADV190013 e ADV220002, além das informações fornecidas neste artigo.
4. Tome as medidas necessárias usando os avisos e as informações da chave do Registro fornecidas neste artigo.

Em 12 de julho de 2022, publicamos CVE-2022-23825 | Confusão de Tipo de Ramificação da CPU AMD , que descreve que aliases no preditor de ramificação podem fazer com que certos processadores AMD prevejam o tipo de ramificação errado. Esse problema pode potencialmente levar à divulgação de informações confidenciais.

Para ajudar a se proteger contra essa vulnerabilidade, recomendamos instalar atualizações do Windows datadas de julho de 2022 ou posteriores e, em seguida, tomar as medidas exigidas pelo CVE-2022-23825 e pelas informações da chave do Registro fornecidas neste artigo da base de dados de conhecimento.

Para obter mais informações, consulte o boletim de segurança AMD-SB-1037 .

Em 8 de agosto de 2023, publicamos CVE-2023-20569 | Previsor de Endereço do Remetente da CPU AMD (também conhecido como Inception), que descreve um novo ataque de canal lateral especulativo que pode resultar em execução especulativa em um endereço controlado pelo invasor. Esse problema afeta determinados processadores AMD e pode levar à divulgação de informações confidenciais.

Para ajudar a se proteger contra essa vulnerabilidade, recomendamos instalar as atualizações do Windows com data de agosto de 2023 ou posteriores e, em seguida, tomar as medidas exigidas pela CVE-2023-20569 e pelas informações da chave do Registro fornecidas neste artigo da base de dados de conhecimento.

Para obter mais informações, consulte o boletim de segurança AMD-SB-7005 .

Em 9 de abril de 2024, publicamos CVE-2022-0001 | Injeção do Histórico de Branch da Intel , que descreve a BHI (Injeção do Histórico de Branch), que é uma forma específica de BTI intra-modo. Essa vulnerabilidade ocorre quando um invasor pode manipular o histórico de ramificações antes de fazer a transição do modo usuário para o modo supervisor (ou do modo VMX não raiz/convidado para o modo raiz). Essa manipulação pode fazer com que um preditor de ramificação indireta selecione uma entrada específica do preditor para uma ramificação indireta, e um gadget de divulgação no destino previsto será executado transitoriamente. Isso pode ser possível porque o histórico de ramificação relevante pode conter ramificações feitas em contextos de segurança anteriores e, em particular, em outros modos de previsão.

Por padrão, a proteção do usuário ao kernel para o CVE-2017-5715 está desabilitada para CPUs AMD e ARM. Você deve habilitar a mitigação para receber proteções adicionais para CVE-2017-5715. Para obter mais informações, consulte as Perguntas frequentes #15 em ADV180002 para processadores AMD e Perguntas frequentes #20 em ADV180002 para processadores ARM.

Por padrão, a proteção do usuário ao kernel para o CVE-2017-5715 está desabilitada para processadores AMD. Os clientes devem habilitar a mitigação para receber proteções adicionais para CVE-2017-5715.  Para obter mais informações, consulte o número 15 das Perguntas Frequentes em ADV180002.

Para habilitar a mitigação para CVE-2022-23825 em processadores AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para serem totalmente protegidos, os clientes também podem precisar desabilitar o Hyper-Threading (também conhecido como SMT (Multi-Threading Simultâneo)). Consulte KB4073757 para obter orientação sobre como proteger dispositivos Windows.

Para habilitar a mitigação para CVE-2023-20569 em processadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para habilitar a mitigação da CVE-2022-0001 em processadores Intel:

adicionar registro "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Para obter uma explicação detalhada sobre a saída do script do PowerShell, consulte KB4074629.

O microcódigo é fornecido através de uma atualização de firmware. Você deve marcar com seus fabricantes de dispositivos e CPU (chipset) sobre a disponibilidade de atualizações de segurança de firmware aplicáveis ao dispositivo específico, incluindo a Orientação de revisão de microcódigo da Intel.

A resolução de uma vulnerabilidade de hardware por meio de uma atualização de software apresenta desafios significativos. Além disso, as mitigações para sistemas operacionais mais antigos exigem alterações arquitetônicas extensas. Estamos trabalhando com fabricantes de chips afetados para determinar a melhor maneira de proporcionar mitigações, que podem ser disponibilizadas em atualizações futuras.

As atualizações para dispositivos Microsoft Surface serão entregues aos clientes por meio do Windows Update, juntamente com as atualizações para o sistema operacional Windows. Para obter uma lista das atualizações disponíveis do firmware (microcódigo) do dispositivo Surface, consulte KB4073065.

Se seu dispositivo não for da Microsoft, aplique o firmware do fabricante do dispositivo. Para obter mais informações, contacte o fabricante do dispositivo OEM.

Em fevereiro e março de 2018, a Microsoft lançou uma proteção reforçada para alguns sistemas com base em x86. Para obter mais informações, consulte KB4073757 e o ADV180002 do Comunicado de Segurança da Microsoft.

Atualizações no Windows 10 para o HoloLens estão disponíveis para os clientes do HoloLens por meio do Windows Update.

Depois de aplicar a Atualização de Segurança do Windows de fevereiro de 2018, os clientes do HoloLens não deverão tomar nenhuma ação adicional para atualizar o firmware do dispositivo. Essas atenuações também serão incluídas em todos os lançamentos futuros do Windows 10 para HoloLens.

Não. As atualizações Apenas segurança não são cumulativas. Dependendo da versão do sistema operacional que você está executando, você deverá instalar cada atualização Apenas segurança mensal para ficar protegido contra essas vulnerabilidades. Por exemplo, se você estiver executando o Windows 7 para sistemas de 32 bits em uma CPU Intel afetada, deverá instalar todas as atualizações Apenas segurança. Recomendamos a instalação dessas atualizações Apenas segurança na ordem de lançamento.

Observação Uma versão anterior desta pergunta frequente afirmou incorretamente que a atualização Apenas segurança de fevereiro incluía apenas as correções de segurança lançadas em janeiro. Na verdade, isso não ocorre.

Não. A atualização de segurança 4078130 foi uma correção específica para evitar comportamentos imprevisíveis do sistema, problemas de desempenho e/ou reinicializações inesperadas após a instalação do microcódigo. A aplicação das atualizações de segurança de fevereiro nos sistemas operacionais Windows Client habilita todas as três mitigações.

A Intel recentemente anunciou que concluiu as validações e começou a lançar o microcódigo para plataformas de CPU mais recentes. A Microsoft está disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection"). A KB4093836 lista artigos específicos da Base de Dados de Conhecimento por versão do Windows. Cada KB específico contém as atualizações de microcódigo da Intel disponíveis por CPU.

Esse problema foi resolvido no KB4093118.

A AMD anunciou recentemente que começou a lançar o microcódigo para plataformas de CPU mais recentes para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection"). Para obter mais informações, consulte as Atualizações de Segurança da AMD e o Whitepaper da AMD: Diretrizes de arquitetura para controle de ramificação indireto. Elas estão disponíveis no canal de firmware do OEM.

Estamos disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 “Branch Target Injection ”). Para obterem as últimas atualizações de microcódigo da Intel no Windows Update, os clientes devem ter instalado o microcódigo da Intel em dispositivos com um sistema operacional Windows 10 anterior à Atualização do Windows 10 de abril de 2018 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo, caso não tenha sido instalada no dispositivo antes da atualização do sistema operacional. O microcódigo da Intel está disponível no Windows Update, no WSUS ou no Catálogo do Microsoft Update. Para obter mais informações e instruções de download, consulte KB4100347.

Para saber mais, consulte os seguintes recursos:

• ADV180012 | Orientação da Microsoft para a Speculative Store Bypass para a CVE-2018-3639
• ADV180013 | Orientação da Microsoft para a Rogue System Register Read para CVE-2018-3640 e KB4073065
• Blog Security Research and Defense da Microsoft
• Orientação a Desenvolvedores para a Speculative Store Bypass

Para mais detalhes, consulte as seções “Ações recomendadas” e “Perguntas frequentes” em ADV180012 | Orientação da Microsoft para a Speculative Store Bypass.

Para verificar o status do SSBD, o script PowerShell Get-SpeculationControlSettings foi atualizado para detectar processadores afetados, status das atualizações do sistema operacional SSBD e estado do microcódigo do processador, se aplicável. Para obter mais informações e obter o script do PowerShell, consulte KB4074629.

Em 13 de junho de 2018, uma vulnerabilidade adicional envolvendo execução especulativa de canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída à CVE-2018-3665. Nenhuma configuração (registro) é necessária  para o Lazy Restore FP Restore.

Para obter mais informações sobre essa vulnerabilidade e as ações recomendadas, consulte o comunicado de segurança ADV180016 | Diretrizes da Microsoft para Lazy FP State Restore.

A "Bounds Check Bypass Store" (BCBS) foi divulgada em 10 de julho de 2018 e designada como CVE-2018-3693. Consideramos que a BCBS pertence à mesma classe de vulnerabilidades que a "Bounds Check Bypass" (Variante 1). No momento, não estamos cientes de nenhuma instância da BCBS em nosso software, mas continuamos a pesquisar essa classe de vulnerabilidade e trabalharemos com parceiros do setor para liberar as mitigações conforme necessário. Continuamos incentivando os pesquisadores a enviarem quaisquer conclusões relevantes ao Speculative Execution Side Channel bounty program da Microsoft, incluindo quaisquer instâncias exploráveis da BCBS. Os desenvolvedores de software devem examinar as diretrizes para desenvolvedores que foram atualizadas para a BCBS em https://aka.ms/sescdevguide.

Em 14 de agosto de 2018, a L1TF (L1 Terminal Fault) foi anunciada e atribuída a várias CVEs. Essas novas vulnerabilidades de canal paralelo de execução especulativa podem ser usadas para ler o conteúdo da memória em um limite confiável e, se exploradas, poderão resultar na divulgação não autorizada de informações. Um invasor pode disparar as vulnerabilidades por meio de vários vetores, dependendo do ambiente configurado. A L1TF afeta processadores Intel® Core® e Intel® Xeon®.

Para obter mais informações sobre essa vulnerabilidade e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para atenuar a L1TF, consulte os seguintes recursos:

• ADV180018 | Orientação para mitigar a variante L1TF
• Comunicado de Segurança - Blog de Pesquisa de Segurança
• Orientação para Servidores sobre a L1 Terminal Fault

Os clientes que usam processadores ARM de 64 bits devem marcar com o OEM do dispositivo para obter suporte de firmware, pois as proteções de sistema operacional do ARM64 que mitigam a CVE-2017-5715 | A injeção de destino de branch (Spectre, Variante 2) exige a atualização mais recente do firmware dos OEMs dos dispositivos para ter efeito.

Para obter mais informações, consulte os seguintes comunicados de segurança

• Comunicado de segurança da Intel
• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling

Para obter mais informações, consulte os seguintes comunicados de segurança

• Comunicado de segurança da Intel
• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling

Orientações adicionais podem ser encontradas em Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa

Consulte as orientações em Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa

Para obter diretrizes do Azure, consulte este artigo: Diretrizes para mitigar vulnerabilidades do canal lateral de execução especulativa no Azure.

Para obter mais informações sobre a ativação do Retpoline, consulte nossa postagem de blog: Mitigar a Spectre Variante 2 com o  Retpoline  no Windows.

Para obter detalhes sobre essa vulnerabilidade, consulte o Guia de Segurança da Microsoft: CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows.

Não estamos cientes de nenhuma instância dessa vulnerabilidade de divulgação de informações que afete nossa infraestrutura de serviços em nuvem.

Assim que tomamos conhecimento desse problema, trabalhamos rapidamente para solucioná-lo e lançar uma atualização. Acreditamos firmemente em parcerias estreitas com pesquisadores e parceiros do setor para tornar os clientes mais seguros, e não publicamos detalhes até terça-feira, 6 de agosto, de forma consistente com práticas coordenadas de divulgação de vulnerabilidades.

Orientações adicionais podem ser encontradas em Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa.

Orientações adicionais podem ser encontradas em Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa.

Outras orientações podem ser encontradas na Orientação para desabilitar a funcionalidade Intel® Transactional Synchronization Extensions (Intel® TSX).

Fornecemos informações de contato de terceiros para ajudá-lo a encontrar suporte técnico. Essas informações de contato podem ser alteradas sem aviso prévio. Não garantimos a precisão dessas informações para contato com outras empresas.