KB4073757: Proteja dispositivos Windows contra vulnerabilidades de segurança baseadas em microarquitetura de silício e execução especulativa de canal lateral.

Talvez você precise atualizar seu firmware (microcódigo) e seu software para solucionar essas vulnerabilidades. Consulte os comunicados de segurança da Microsoft para conhecer as ações recomendadas. Isso inclui atualizações de firmware (microcódigo) aplicáveis dos fabricantes de dispositivos e, em alguns casos, atualizações do seu software antivírus. Encorajamos você a manter seus dispositivos atualizados ao instalar mensalmente as atualizações de segurança.

Para receber todas as proteções disponíveis, siga estas etapas para obter as últimas atualizações de software e hardware.

1. Mantenha seu dispositivo Windows atualizado ativando atualizações automáticas.

2. Verifique se você instalou a última atualização de segurança do sistema operacional Windows da Microsoft. Se as atualizações automáticas estiverem ativadas, as atualizações deverão ser entregues automaticamente para você. No entanto, você ainda deve verificar se elas foram instaladas. Para obter instruções, consulte Windows Update: perguntas frequentes.

3. Instale as atualizações de firmware (microcódigo) disponíveis do fabricante do seu dispositivo. Todos os clientes precisarão verificar com o fabricante do dispositivo para baixar e instalar a atualização de hardware específica do dispositivo. Consulte a seção "Recursos adicionais" para uma lista de sites de fabricantes de dispositivos

   Observação

   Os clientes devem instalar as últimas atualizações de segurança do sistema operacional Windows da Microsoft para usufruírem das proteções disponíveis. Atualizações de software antivírus devem ser instaladas primeiro. As atualizações de sistema operacional e de firmware deverão ser instaladas em seguida. Encorajamos você a manter seus dispositivos atualizados ao instalar mensalmente as atualizações de segurança.

Os chips afetados incluem aqueles que são fabricados pela Intel, AMD e ARM. Isto significa que todos os dispositivos que estão executando sistemas operacionais Windows são potencialmente vulneráveis. Isso inclui desktops, laptops, servidores de nuvem e smartphones. Dispositivos que executam outros sistemas operacionais, como o Android, o Chrome, o iOS e o macOS, também são afetados. Aconselhamos os clientes que executam esses sistemas operacionais a buscar orientação desses fornecedores.

Na ocasião desta publicação, ainda não recebemos nenhuma informação que indicasse que essas vulnerabilidades foram usadas para atacar os clientes.

A partir de janeiro de 2018, a Microsoft lançou atualizações para sistemas operacionais Windows e os navegadores da Web  Internet Explorer  e Edge, para ajudar a mitigar essas vulnerabilidades e ajudar a proteger os clientes. Também disponibilizamos atualizações para garantir nossos serviços de nuvem.  Continuamos a trabalhar em estreita colaboração com os parceiros da indústria, incluindo fabricantes de chips, OEMs de hardware e fornecedores de aplicativos, para proteger os clientes contra essa classe de vulnerabilidade.

Recomendamos que instale sempre as atualizações mensais para manter seus dispositivos atualizados e seguros.

Atualizaremos essa documentação quando novas mitigações tornam-se disponíveis e recomendamos que você verificar este canal regularmente.

Atualizações de sistema operacional do Windows de julho de 2019

Em 6 de agosto de 2019, a Intel divulgou detalhes da vulnerabilidade de segurança CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows. Atualizações de segurança para essa vulnerabilidade foram lançadas como parte da versão de atualização mensal de julho em 9 de julho de 2019.

A Microsoft lançou uma atualização de segurança para o sistema operacional Windows em 9 de julho de 2019 para ajudar a mitigar esse problema. Aguardamos para documentar essa mitigação publicamente até a revelação coordenada do setor na terça-feira, 6 de agosto de 2019.

Os clientes que têm o Windows Update habilitado e aplicaram as atualizações de segurança lançadas em 9 de julho de 2019 estão protegidos automaticamente. Observe que essa vulnerabilidade não exige uma atualização de microcódigo de seu OEM (fabricante de dispositivo).

Atualizações de sistema operacional do Windows de maio de 2019

Em 14 de maio de 2019, a Intel publicou informações sobre uma nova subclasse de vulnerabilidades de canal lateral de execução especulativa conhecida como Microarchitectural Data Sampling e recebeu as seguintes CVEs:

• CVE-2018-11091 – "Microarchitectural Data Sampling Uncacheable Memory (MDSUM)"
• CVE-2018-12126 – "Microarchitectural Store Buffer Data Sampling (MSBDS)"
• CVE-2018-12127 – “Microarchitectural Fill Buffer Data Sampling (MFBDS)”
• CVE-2018-12130 – “Microarchitectural Load Port Data Sampling (MLPDS)”

Para obter mais informações sobre esse problema, consulte o seguinte Comunicado de Segurança e use as orientações baseadas em cenário descritas nos artigos de Diretrizes do Windows para clientes e servidores a fim de determinar as ações necessárias para mitigar a ameaça:

• ADV 190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling
• KB 4073119 | Orientação do Cliente Windows IT Pro para proteção contra vulnerabilidades de canal lateral de execução especulativa
• KB 4457951 | Orientação de servidores Windows para proteção contra vulnerabilidades de canal paralelo de execução especulativa

A Microsoft lançou proteções contra uma nova subclasse de vulnerabilidades de canal lateral de execução especulativa conhecidas como Microarchitectural Data Sampling para versões de 64 bits (x64) do Windows (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130).

Use as configurações do Registro conforme descrito nos artigos do Windows Client (KB4073119) e Windows Server (KB4457951). Essas configurações de registro são habilitadas por padrão para edições do Sistema Operacional Windows Client e edições do Sistema Operacional Windows Server.

Recomendamos que você instale todas as atualizações mais recentes do Windows Update antes de instalar qualquer atualização de microcódigo.

Para obter mais informações sobre esse problema e ações recomendadas, consulte o seguinte Comunicado de Segurança:

• ADV 190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling

A Intel lançou uma atualização de microcódigo para plataformas de CPU recentes para ajudar a mitigar as CVE-2018-11091, CVE-2018-12126, CVE-2018-12127 e CVE-2018-12130. O KB 4093836 do Windows de 14 de maio de 2019 lista artigos específicos da Base de Dados de Conhecimento por versão do sistema operacional Windows.  Esse artigo também contém links para as atualizações de microcódigo da Intel disponíveis por CPU. Essas atualizações estão disponíveis no Catálogo da Microsoft.

Observação: recomendamos que você instale todas as atualizações mais recentes do Windows Update antes de instalar qualquer atualização de microcódigo.

É com satisfação que anunciamos que o Retpoline está habilitado por padrão em dispositivos Windows 10, versão 1809 (para cliente e servidor) quando a Spectre Variante 2 (CVE-2017-5715) está habilitada. Habilitando o Retpoline na última versão do Windows 10, por meio da atualização de 14 de maio de 2019 (KB 4494441), antecipamos um desempenho aprimorado, principalmente em processadores mais antigos.

Os clientes devem garantir que as proteções anteriores do SO contra a vulnerabilidade Spectre Variante 2 estejam habilitadas usando as configurações do Registro descritas nos artigos do Windows Client e do Windows Server. (Essas configurações do Registro estão habilitadas por padrão para as edições do SO Windows Client, mas desabilitadas por padrão para as edições do SO Windows Server). Para obter mais informações sobre o Retpoline, consulte Mitigar o Spectre Variante 2 com o Retpoline no Windows.

Atualizações de sistema operacional do Windows de novembro de 2018

A Microsoft lançou proteções do sistema operacional para Speculative Store Bypass (CVE-2018-3639) para processadores AMD (CPUs).

A Microsoft lançou proteções adicionais ao sistema operacional para clientes que usam processadores ARM de 64 bits. Verifique com o fabricante do seu dispositivo OEM para obter suporte de firmware, pois as proteções de sistema operacional do ARM64 que mitigam a CVE-2018-3639, Speculative Store Bypass, exigem a atualização de firmware mais recente do seu dispositivo de OEM.

Atualizações de sistema operacional do Windows de setembro de 2018

Em 11 de setembro de 2018, a Microsoft lançou o Pacote cumulativo mensal 4458010 do Windows Server 2008 SP2 e o Pacote Apenas segurança 4457984 para o Windows Server 2008, que fornecem proteções contra uma nova vulnerabilidade de canal lateral de execução especulativa conhecida como L1 Terminal Fault (L1TF), que afeta processadores Intel® Core® e Intel® Xeon® (CVE-2018-3620 e CVE-2018-3646).

Esta versão completa as proteções adicionais em todas as versões do sistema Windows com suporte pelo Windows Update. Para mais informações e uma lista de produtos afetados, consulte ADV180018 | Orientação para mitigar a variante L1TF.

Observação: O Windows Server 2008 SP2 agora segue o modelo cumulativo padrão de serviço do Windows. Para obter mais informações sobre essas alterações, consulte nosso blog Alterações de serviços do Windows Server 2008 SP2. Os clientes que executam o Windows Server 2008 devem instalar o pacote 4458010 ou o 4457984, além da Atualização de segurança 4341832, lançada em 14 de agosto de 2018. Os clientes também devem garantir que as proteções anteriores do SO contra as vulnerabilidades Spectre Variante 2 e Meltdown estejam habilitadas, usando as configurações do Registro descritas nos artigos da base de dados de orientações para o Windows Client e o Windows Server. Essas configurações do Registro estão habilitadas por padrão para as edições do SO Windows Client, mas desabilitadas por padrão para as edições do SO Windows Server.

A Microsoft lançou proteções adicionais ao sistema operacional para clientes que usam processadores ARM de 64 bits. Verifique com o fabricante do seu dispositivo OEM para obter suporte de firmware pois as proteções de sistema operacional do ARM64 que mitigam a CVE-2017-5715 - Branch target injection (Spectre, Variante 2) exigem a atualização mais recente do firmware dos OEMs dos dispositivos para terem efeito.

Atualizações de sistema operacional do Windows de agosto de 2018

Em 14 de agosto de 2018, a L1TF (L1 Terminal Fault) foi anunciada e atribuída a várias CVEs. Essas novas vulnerabilidades de canal paralelo de execução especulativa podem ser usadas para ler o conteúdo da memória em um limite confiável e, se exploradas, poderão resultar na divulgação não autorizada de informações. Existem vários vetores pelos quais um invasor pode desencadear as vulnerabilidades, dependendo do ambiente configurado. A L1TF afeta processadores Intel® Core® e Intel® Xeon®.

Para obter mais informações sobre a L1TF e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para atenuar a L1TF, consulte os seguintes recursos:

• ADV180018 | Diretrizes da Microsoft para mitigar a variante L1TF
• Comunicado de Segurança - Blog de Pesquisa de Segurança
• Orientação para Servidores sobre a L1 Terminal Fault

Atualizações de sistema operacional do Windows de julho de 2018

Temos o prazer de anunciar que a Microsoft concluiu o lançamento de proteções adicionais em todas as versões do sistema operacional Windows com suporte por meio do Windows Update para as seguintes vulnerabilidades:

• Spectre Variante 2 para processadores AMD
• Speculative Store Bypass para processadores Intel

Em 13 de junho de 2018, uma vulnerabilidade adicional envolvendo execução especulativa de canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída à CVE-2018-3665. Não há definições de configuração (Registro) necessárias para a Lazy Restore FP Restore.

Para obter mais informações sobre esta vulnerabilidade, os produtos afetados e as ações recomendadas, consulte o seguinte comunicado de segurança:

• ADV180016 | Orientação da Microsoft para a Lazy FP State Restore

No dia 12 de junho, a Microsoft anunciou o suporte do Windows para a Speculative Store Bypass Disable (SSBD) em processadores Intel. As atualizações exigem atualizações de firmware (microcódigo) e do Registro correspondentes para a funcionalidade. Para obter informações sobre as atualizações e as etapas a serem aplicadas para ativar o SSBD, consulte a seção "Ações recomendadas" em ADV180012 | Orientação da Microsoft para o Speculative Store Bypass.

Atualizações de sistema operacional do Windows de maio de 2018

Em janeiro de 2018, a Microsoft divulgou informações sobre uma classe recém-descoberta de vulnerabilidades de hardware (conhecidas como Specter e Meltdown) que envolvem canais paralelos de execução especulativa que afetam os processadores AMD, ARM e Intel em graus variados. Em 21 de maio de 2018, a Google Project Zero (GPZ), a Microsoft e a Intel divulgaram duas novas vulnerabilidades de chip relacionadas aos problemas da Spectre e Meltdown, conhecidas como Speculative Store Bypass (SSB) e Rogue System Registry Read.

O risco para o cliente de ambas as divulgações é baixo.

Para obter mais informações sobre essas vulnerabilidades, consulte os seguintes recursos:

• Comunicado de Segurança da Microsoft para Speculative Store Bypass:MSRC ADV180012 e CVE-2018-3639
• Comunicado de Segurança da Microsoft para Leitura de Registro de Sistema não Autorizado:MSRC ADV180013 e CVE-2018-3640
• Security Research and Defense:Análise e mitigação da Speculative Store Bypass (CVE-2018-3639)

Aplica-se a: Windows 10, versão 1607, Windows Server 2016, Windows Server 2016 (instalação Server Core) e Windows Server, versão 1709 (instalação Server Core)

Fornecemos suporte para controlar o uso da IBPB (Indirect Branch Prediction Barrier) em alguns processadores (CPUs) da AMD para mitigar a CVE-2017-5715, Spectre Variant 2, ao mudar do contexto do usuário para o contexto do kernel. (Para obter mais informações, consulte as Diretrizes de arquitetura da AMD para controle de ramificação indireto e as Atualizações de segurança da AMD).

Os clientes que executam o Windows 10, versão 1607, Windows Server 2016, Windows Server 2016 (instalação Server Core) e Windows Server, versão 1709 (instalação Server Core) devem instalar a atualização de segurança 4103723 para mitigações adicionais para processadores AMD para CVE-2017-5715, injeção de alvo de branch. Esta atualização também está disponível pelo Windows Update.

Siga as instruções descritas em KB 4073119 para a orientação do Windows Client (IT Pro) e o KB 4072698 para a orientação do Windows Server, para habilitar o uso do IBPB em alguns processadores (CPUs) AMD para mitigar a Spectre Grade 2 ao alternar do contexto do usuário para o contexto do kernel.

A Microsoft está disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection**"**). Para obterem as últimas atualizações de microcódigo da Intel no Windows Update, os clientes devem ter instalado o microcódigo da Intel em dispositivos com um sistema operacional Windows 10 anterior à Atualização do Windows 10 de abril de 2018 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo, caso não tenha sido instalada no dispositivo antes da atualização do sistema operacional. O microcódigo da Intel está disponível no Windows Update, no WSUS ou no Catálogo do Microsoft Update. Para obter mais informações e instruções de download, consulte KB 4100347.

Ofereceremos atualizações de microcódigo adicionais da Intel para o sistema operacional Windows à medida que elas forem disponibilizadas para a Microsoft.

Aplica-se a: Windows 10, versão 1709

Fornecemos suporte para controlar o uso da IBPB (Indirect Branch Prediction Barrier) em alguns processadores (CPUs) da AMD para mitigar a CVE-2017-5715, Spectre Variant 2, ao mudar do contexto do usuário para o contexto do kernel. (Para obter mais informações, consulte as Diretrizes de arquitetura da AMD para controle de ramificação indireto e as Atualizações de segurança da AMD).

Siga as instruções descritas no KB 4073119 referentes à orientação do Windows Client (IT Pro) para habilitar o uso do IBPB em alguns processadores (CPUs) AMD para mitigar a Spectre Variant 2 ao alternar do contexto do usuário para o contexto do kernel.

A Microsoft está disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection"). A KB4093836 lista artigos específicos da Base de Dados de Conhecimento por versão do Windows. Cada KB específico contém as atualizações de microcódigo da Intel mais recentes disponíveis por CPU.

Ofereceremos atualizações de microcódigo adicionais da Intel para o sistema operacional Windows à medida que elas forem disponibilizadas para a Microsoft.

Atualizações do sistema operacional Windows de março de 2018 e posteriores

23 de março, TechNet Security Research & Defense: KVA Shadow: Mitigando o Meltdown no Windows

14 de março, Security Tech Center: Canal Lateral de Execução Especulativa Programa de Recompensas Termos

13 de março, blog: Atualização de Segurança do Windows de março de 2018 – Expandindo nossos esforços para proteger os clientes

1º de março, blog: Atualização nas atualizações de segurança Spectre e Meltdown para dispositivos Windows

A partir de março de 2018, a Microsoft lançou atualizações de segurança para fornecer mitigações para dispositivos que executam os sistemas operacionais Windows com base em x86 a seguir. Os clientes devem instalar as últimas atualizações de segurança do sistema operacional Windows para usufruírem das proteções disponíveis. Estamos trabalhando para fornecer proteções para outras versões com suporte do Windows, mas não temos um cronograma de lançamento no momento. Verifique atualizações aqui. Para obter mais informações, consulte o artigo da Base de Dados de Conhecimento relacionado para obter detalhes técnicos e a seção "Perguntas frequentes".

A partir de março de 2018, a Microsoft lançou atualizações de segurança para fornecer mitigações para dispositivos que executam os sistemas operacionais Windows com base em x64 a seguir. Os clientes devem instalar as últimas atualizações de segurança do sistema operacional Windows para usufruírem das proteções disponíveis. Estamos trabalhando para fornecer proteções para outras versões com suporte do Windows, mas não temos um cronograma de lançamento no momento. Verifique atualizações aqui. Para obter mais informações, consulte o artigo da base de dados de conhecimento relacionado para obter detalhes técnicos e a seção "Perguntas frequentes".

Esta atualização resolve uma vulnerabilidade de elevação de privilégios no kernel do Windows na versão de 64 bits (x64) do Windows. Essa vulnerabilidade está documentada na CVE-2018-1038. Os usuários devem aplicar essa atualização para ficarem totalmente protegidos contra essa vulnerabilidade caso seus computadores tenham sido atualizados em ou depois de janeiro de 2018, aplicando qualquer uma das atualizações listadas no seguinte artigo da Base de Dados de Conhecimento:.

Atualização do kernel do Windows para a CVE-2018-1038

Esta atualização de segurança resolve várias vulnerabilidades reportadas no Internet Explorer. Para saber mais sobre essas vulnerabilidades, consulte Vulnerabilidades e Exposições Comuns da Microsoft.

Atualizações de sistema operacional do Windows de fevereiro 2018

Blogue: O Windows Analytics ajuda agora a avaliar as proteções Spectre e Meltdown

As seguintes atualizações de segurança fornecem proteções adicionais para dispositivos com sistemas operativos Windows de 32 bits (x86). A Microsoft recomenda aos clientes que instalem a atualização assim que elas estiverem disponíveis. Continuamos a trabalhar para fornecer proteções para outras versões com suporte do Windows, mas não temos um cronograma de lançamento no momento. Verifique atualizações aqui.

Observação As atualizações mensais de segurança do Windows 10 são cumulativas mês a mês e serão baixadas e instaladas automaticamente do Windows Update. Se você tiver instalado atualizações anteriores, somente as novas porções serão baixadas e instaladas no seu dispositivo. Para obter mais informações, consulte o artigo da Base de Dados de Conhecimento relacionado para obter detalhes técnicos e a seção "Perguntas frequentes".

Atualizações de sistema operacional do Windows de janeiro de 2018

Blogue: Compreender o Impacto das Mitigações do Spectre e do Meltdown em Sistemas Windows

A partir de janeiro de 2018, a Microsoft lançou atualizações de segurança para fornecer mitigações para dispositivos que executam os seguintes sistemas operacionais Windows com base em x64. Os clientes devem instalar as últimas atualizações de segurança do sistema operacional Windows para usufruírem das proteções disponíveis. Estamos trabalhando para fornecer proteções para outras versões com suporte do Windows, mas não temos um cronograma de lançamento no momento. Verifique atualizações aqui. Para obter mais informações, consulte o artigo da Base de Dados de Conhecimento relacionado para obter detalhes técnicos e a seção "Perguntas frequentes".

Em 9 de abril de 2024, publicamos CVE-2022-0001 | Injeção do Histórico de Branch da Intel , que descreve a BHI (Injeção do Histórico de Branch), que é uma forma específica de BTI intra-modo. Essa vulnerabilidade ocorre quando um invasor pode manipular o histórico de ramificações antes de fazer a transição do modo usuário para o modo supervisor (ou do modo VMX não raiz/convidado para o modo raiz). Essa manipulação pode fazer com que um preditor de ramificação indireta selecione uma entrada específica do preditor para uma ramificação indireta, e um gadget de divulgação no destino previsto será executado transitoriamente. Isso pode ser possível porque o histórico de ramificação relevante pode conter ramificações feitas em contextos de segurança anteriores e, em particular, em outros modos de previsão.

Siga as instruções descritas em KB4073119 para obter orientações e KB4072698 do Windows Client (IT Pro) para obter orientações Windows Server para mitigar as vulnerabilidades descritas em CVE-2022-0001 | Injeção do Histórico de Branch da Intel.

Comunicado de Segurança da Microsoft para L1 Terminal Fault (L1TF):MSRC ADV180018, CVE-2018-3615, CVE-2018-3620 e CVE-2018-3646

Security Research and Defense:Análise e mitigação da Speculative Store Bypass (CVE-2018-3639)

Comunicado de Segurança da Microsoft para Speculative Store Bypass:MSRC ADV180012 e CVE-2018-3639

Comunicado de Segurança da Microsoft para a Rogue System Register Read | Guia de atualização de segurança para o Surface: MSRC ADV180013 e CVE-2018-3640

Security Research and Defense:Análise e mitigação da Speculative Store Bypass (CVE-2018-3639)

TechNet Security Research & Defense:KVA Shadow: Mitigando a vulnerabilidade Meltdown no Windows

Central de Tecnologia de Segurança:Canal Lateral de Execução Especulativa Programa de Recompensas Termos

Blog Microsoft Experience:Atualização nas atualizações de segurança Spectre e Meltdown para dispositivos Windows

Blog do Windows for Business: O Windows Analytics agora ajuda a avaliar as proteções Spectre e Meltdown

Blog Microsoft Secure: Noções básicas sobre o impacto no desempenho de atenuações de Spectre e Meltdown em sistemas Windows

Blog para desenvolvedores de Edge: Como atenuar ataques de canal lateral de execução especulativa no Microsoft Edge e no Internet Explorer

Blog do Azure: Como proteger clientes do Azure contra vulnerabilidade de CPU

Diretrizes do SCCM: Diretrizes adicionais para atenuar as vulnerabilidades de canal de execução especulativa

Comunicados da Microsoft:

• ADV180002 | Orientação para mitigar as vulnerabilidades de canal paralelo de execução especulativa.
• ADV180012 | Orientação da Microsoft para a Speculative Store Bypass
• ADV180013 | Orientação da Microsoft para a Rogue System Register Read
• ADV180016 | Orientação da Microsoft para a Lazy FP State Restore
• ADV180018 | Diretrizes da Microsoft para mitigar a variante L1TF

Intel: Comunicado de Segurança

ARM: Comunicado de Segurança

AMD: Comunicado de Segurança

NVIDIA:Comunicado de Segurança

Diretrizes para o Cliente: Como proteger seu dispositivo contra vulnerabilidades de segurança relacionadas ao processador

Diretrizes de Antivírus: As atualizações de segurança do Windows lançadas em 3 de janeiro de 2018 e o software antivírus

Diretrizes para bloco de atualizações de segurança do sistema operacional Windows em AMD: KB4073707: Bloco de atualização de segurança do sistema operacional Windows para alguns dispositivos baseados em AMD

Atualização para desabilitar a redução de riscos contra a variante 2 do Spectre: KB4078130: a Intel identificou problemas de reinicialização com o microcódigo em alguns processadores mais antigos

Diretrizes do Surface: Diretrizes do Surface para proteção contra vulnerabilidades de canal lateral de execução especulativa

Verifique o status de mitigações de canal lateral execução especulativa: Noções básicas sobre Get-SpeculationControlSettings saída de script do PowerShell

Diretrizes para Profissionais de TI: Diretrizes de clientes do Windows para Profissionais de TI para proteção contra vulnerabilidades de canal lateral de execução especulativa

Diretrizes de servidor: Diretrizes do Windows Server para proteção contra vulnerabilidades de canal lateral de execução especulativa

Diretrizes do servidor para falha de terminal L1: diretrizes do Windows Server para proteção contra falha de terminal L1

Diretrizes para Desenvolvedores:Orientação para Desenvolvedores para a Speculative Store Bypass

Diretrizes de servidor do Hyper-V

• Controles de recursos de máquinas virtuais
• Gerenciamento de recursos de CPU de Host do Hyper-V

KB do Azure: KB4073235: Proteções do Microsoft Cloud contra vulnerabilidades de canal de execução especulativa

Diretrizes do Azure Stack: KB4073418: Diretrizes do Azure Stack para proteção contra as vulnerabilidades de canal lateral de execução especulativa

Confiabilidade do Azure: Portal de Confiabilidade do Azure

Diretrizes do SQL Server: KB4073225: Diretrizes do SQL Server para proteção contra vulnerabilidades de canal lateral de execução especulativa

Links para fabricantes de dispositivos de Servidor e OEM para atualizações para proteger contra as vulnerabilidades Spectre e Meltdown

Para ajudar a resolver essas vulnerabilidades, você deve atualizar seu hardware e software. Use os seguintes links para consultar o fabricante do dispositivo para obter atualizações de firmware (microcódigo) aplicáveis.

Use os seguintes links para consultar o fabricante do dispositivo para obter atualizações de firmware (microcódigo). Você terá que instalar tanto o sistema operacional quanto as atualizações de firmware (microcódigo) para todas as proteções disponíveis.

Você terá que verificar com o fabricante do dispositivo para atualizações de firmware (microcódigo). Se o fabricante do seu dispositivo não estiver listado na tabela, entre em contato com seu OEM diretamente.

Atualizações para dispositivos Microsoft Surface estão disponíveis aos clientes através do Windows Update. Para obter uma lista das atualizações disponíveis do firmware (microcódigo) do dispositivo Surface, consulte KB 4073065.

Se seu dispositivo não for da Microsoft, aplique as atualizações de firmware do fabricante do dispositivo. Entre em contato com o fabricante do dispositivo para obter mais informações.

Resolver uma vulnerabilidade de hardware usando uma atualização de software apresenta desafios significativos, e as mitigações para sistemas operacionais mais antigos podem exigir extensas mudanças na arquitetura. Continuamos a trabalhar com os fabricantes de chips afetados para investigar a melhor maneira de fornecer a mitigação. Elas poderão ser fonecidas em uma atualização futura. O risco restante será solucionado ao substituir dispositivos mais antigos que estão executando esses sistemas operacionais mais antigos e também atualizar o software antivírus.

Embora os sistemas baseados no Windows XP sejam produtos afetados, a Microsoft não está fornecendo uma atualização para eles, pois as abrangentes mudanças arquitetônicas necessárias prejudicariam a estabilidade do sistema e causariam problemas de compatibilidade de aplicativos. Recomendamos que os clientes preocupados com a segurança atualizem para um sistema operacional mais recente com suporte para acompanharem o ritmo do panorama de ameaças de segurança em constante transformação e se beneficiarem das proteções mais robustas que os sistemas operacionais mais recentes fornecem.

Atualizações no Windows 10 para o HoloLens estão disponíveis para os clientes do HoloLens por meio do Windows Update.

Depois de aplicar a Atualização de Segurança do Windows de fevereiro de 2018, os clientes do HoloLens não deverão tomar nenhuma ação adicional para atualizar o firmware do dispositivo. Essas atenuações também serão incluídas em todos os lançamentos futuros do Windows 10 para HoloLens.

Entre em contato com seu OEM para obter mais informações.

Para que o seu dispositivo fique totalmente protegido, você deve instalar as atualizações de segurança do sistema operacional mais recentes do Windows para o seu dispositivo e as atualizações de firmware (microcódigo) aplicáveis do fabricante do seu dispositivo. Essas atualizações devem estar disponíveis no site do fabricante do seu dispositivo. Atualizações de software antivírus devem ser instaladas primeiro. As atualizações do sistema operacional e do firmware podem ser instaladas em qualquer ordem.

Você deverá atualizar tanto o seu hardware quanto o seu software para resolver essa vulnerabilidade. Você também precisará instalar as atualizações de firmware aplicáveis do fabricante do seu dispositivo para garantir uma proteção mais abrangente. Encorajamos você a manter seus dispositivos atualizados ao instalar mensalmente as atualizações de segurança.

Em cada atualização de recurso do Windows 10, desenvolvemos tecnologia de segurança a mais recente profundamente no sistema operacional, fornecendo recursos de defesa abrangente que impedem que classes inteiras de malware afetem seu dispositivo. Versões de atualização de recursos são lançadas duas vezes por ano. Em cada atualização de qualidade mensal, adicionamos outra camada de segurança, que rastreia tendências de malware emergentes e em constante transformação, para tornar os sistemas atualizados mais seguros em face a ameaças mutáveis e em evolução.

A Microsoft suspendeu a verificação de compatibilidade de antivírus para atualizações de segurança do Windows para versões com suporte dos dispositivos Windows 10, Windows 8.1 e Windows 7 SP1 por meio do Windows Update. 

Recomendações:

• Certifique-se de que seus dispositivos estejam com as atualizações de segurança mais recentes da Microsoft e do seu fabricante de hardware. Para obter mais informações sobre como manter o seu dispositivo atualizado, consulte Windows Update: FAQ.
• Continuar a ter precaução na hora de visitar sites de origem desconhecida e não permaneça em sites em que você não confia. A Microsoft recomenda que todos os clientes protejam seus dispositivos executando um programa antivírus com suporte. Os clientes também podem usufruir da proteção antivírus interna: Windows Defender para dispositivos Windows 10 ou Segurança da Microsoft Essentials para dispositivos Windows 7. Essas soluções são compatíveis em casos em que os clientes não conseguem instalar ou executar softwares antivírus.

Para ajudar a evitar danos aos dispositivos dos clientes, as atualizações de segurança do Windows que foram lançadas em janeiro ou fevereiro não foram oferecidas a todos os clientes. Para obter detalhes, consulte o artigo 4072699 da Base de Dados de Conhecimento Microsoft.

A Intel comunicou problemas que afetam recentemente o microcódigo recém-lançado para solucionar a Variante 2 do Spectre (CVE -2017-5715 – “injeção de alvo de ramificação”). Especificamente, a Intel observou que esse microcódigo pode causar “reinicializações mais altas que o esperado e outros comportamentos imprevisíveis do sistema” e também que situações como essa podem resultar em “perda ou corrupção de dados.”  Nossa própria experiência é que a instabilidade do sistema pode, em algumas circunstâncias, causar perda de dados ou corrupção. Em 22 de Janeiro, a Intel recomendou que os clientes parassem de implantar a versão de microcódigo atual nos processadores afetados enquanto a empresa realizava testes adicionais na solução atualizada. Estamos cientes de que a Intel continua a investigar o impacto potencial da versão atual do microcódigo e incentivamos os clientes a rever suas orientações continuamente para informar suas decisões.

Enquanto a Intel testa, atualiza e implanta um novo microcódigo, estamos disponibilizando hoje uma atualização indireta (OOB), KB 4078130, que desabilita especificamente apenas a mitigação contra a CVE-2017-5715– “Vulnerabilidade de injeção de alvo de ramificação.” Em nossos testes, constatou-se que essa atualização evita o comportamento descrito. Para acessar a lista completa de dispositivos, consulte as diretrizes de revisão do microcódigo da Intel. Esta atualização abrange o Windows 7 (SP1), o Windows 8.1 e todas as versões do Windows 10, para cliente e servidor. Se você estiver executando um dispositivo afetado, essa atualização poderá ser aplicada via download no site do Catálogo do Microsoft Update. A aplicação desta carga desabilita especificamente apenas a mitigação contra a CVE-2017-5715 – “Vulnerabilidade de Injeção de Alvo de Ramificação.”

A partir de 25 de janeiro, não há relatórios conhecidos para indicar que a Spectre Variante 2 (CVE-2017-5715) tenha sido usada para atacar os clientes. Recomendamos que, quando apropriado, os clientes do Windows reabilitem a mitigação contra a CVE-2017-5715 quando a Intel informar que esse comportamento imprevisível do sistema foi resolvido para seu dispositivo.

Não. As atualizações Apenas segurança não são cumulativas. Dependendo da versão do sistema operacional em execução, você deverá instalar todas as atualizações Apenas segurança lançadas para ficar protegido contra essas vulnerabilidades. Por exemplo, se você estiver executando o Windows 7 para sistemas de 32 bits em uma CPU Intel afetada, deverá instalar todas as atualizações Apenas segurança a partir de janeiro de 2018. Recomendamos a instalação dessas atualizações Apenas segurança na ordem de lançamento.
 
Observação uma versão anterior desta pergunta frequente afirmou incorretamente que a atualização Apenas segurança de fevereiro incluía apenas as correções de segurança lançadas em janeiro. Na verdade, isso não ocorre.

Não. A atualização de segurança 4078130 foi uma correção específica para evitar comportamentos imprevisíveis do sistema, problemas de desempenho e reinicializações inesperadas após a instalação do microcódigo. A aplicação das atualizações de segurança de fevereiro nos sistemas operacionais Windows Client habilita todas as três mitigações. Em sistemas de operacionais Windows Server, você ainda deve habilitar as mitigações após a realização dos testes apropriados. Consulte o artigo 4072698 da Base de Dados de Conhecimento Microsoft para obter mais informações.

A AMD anunciou recentemente que começou a lançar o microcódigo para plataformas de CPU mais recentes para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection"). Para obter mais informações, consulte as Atualizações de Segurança da AMD e o Whitepaper da AMD: Diretrizes de arquitetura para controle de ramificação indireto. Elas estão disponíveis no canal de firmware do OEM.

A Intel recentemente anunciou que concluiu as validações e começou a lançar o microcódigo para plataformas de CPU mais recentes. A Microsoft está disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection"). A KB 4093836 lista artigos específicos da Base de Dados de Conhecimento por versão do Windows. Cada KB específico contém as atualizações de microcódigo da Intel disponíveis por CPU.

A Microsoft está disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection**"**). Para obterem as últimas atualizações de microcódigo da Intel no Windows Update, os clientes devem ter instalado o microcódigo da Intel em dispositivos com um sistema operacional Windows 10 anterior à Atualização do Windows 10 de abril de 2018 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo do Microsoft Update, caso não tenha sido instalada no dispositivo antes da atualização do sistema. O microcódigo da Intel está disponível no Windows Update, no WSUS ou no Catálogo do Microsoft Update. Para obter mais informações e instruções de download, consulte KB 4100347.

Para saber mais, consulte os seguintes recursos:

• ADV180012 | Orientação da Microsoft para a Speculative Store Bypass para a CVE-2018-3639
• ADV180013 | Orientação da Microsoft para a Rogue System Register Read para CVE-2018-3640 e KB 4073065 | Orientação para clientes do Surface
• Blog Security Research and Defense da Microsoft
• Orientação a Desenvolvedores para a Speculative Store Bypass

Para mais detalhes, consulte as seções “Ações recomendadas” e “Perguntas frequentes” em ADV180012 | Orientação da Microsoft para a Speculative Store Bypass.

Para verificar o status do SSBD, o script PowerShell Get-SpeculationControlSettings foi atualizado para detectar processadores afetados, status das atualizações do sistema operacional SSBD e estado do microcódigo do processador, se aplicável. Para obter mais informações e obter o script do PowerShell, consulte KB4074629.

Em 13 de junho de 2018, uma vulnerabilidade adicional envolvendo execução especulativa de canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída à CVE-2018-3665. Não há definições de configuração (Registro) necessárias para a Lazy Restore FP Restore.

Para obter mais informações sobre essa vulnerabilidade e ações recomendadas, consulte o Comunicado de Segurança: ADV180016 | Orientação da Microsoft para a Lazy FP State Restore

Observação Não há definições de configuração (Registro) necessárias para a Lazy Restore FP Restore.

A "Bounds Check Bypass Store" (BCBS) foi divulgada em 10 de julho de 2018 e designada como CVE-2018-3693. Consideramos que a BCBS pertence à mesma classe de vulnerabilidades que a "Bounds Check Bypass" (Variante 1). No momento, não estamos cientes de nenhuma instância da BCBS em nosso software, mas continuamos a pesquisar essa classe de vulnerabilidade e trabalharemos com parceiros do setor para liberar as mitigações conforme necessário. Continuamos incentivando os pesquisadores a enviarem quaisquer conclusões relevantes ao Speculative Execution Side Channel bounty program da Microsoft, incluindo quaisquer instâncias exploráveis da BCBS. Os desenvolvedores de software devem examinar as diretrizes para desenvolvedores que foram atualizadas para a BCBS em https://aka.ms/sescdevguide.

Em 14 de agosto de 2018, a L1TF (L1 Terminal Fault) foi anunciada e atribuída a várias CVEs. Essas novas vulnerabilidades de canal paralelo de execução especulativa podem ser usadas para ler o conteúdo da memória em um limite confiável e, se exploradas, poderão resultar na divulgação não autorizada de informações. Existem vários vetores pelos quais um invasor pode desencadear as vulnerabilidades, dependendo do ambiente configurado. A L1TF afeta processadores Intel® Core® e Intel® Xeon®.

Para obter mais informações sobre essa vulnerabilidade e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para atenuar a L1TF, consulte os seguintes recursos:

• ADV180018 | Diretrizes da Microsoft para mitigar a variante L1TF
• Comunicado de Segurança - Blog de Pesquisa de Segurança
• Orientação para Servidores sobre a L1 Terminal Fault

Clientes do Microsoft Surface: Os clientes que usam produtos Microsoft Surface e Surface Book precisam seguir as orientações do Windows Client descritas no Comunicado de Segurança: ADV180018 | Diretrizes da Microsoft para mitigar a variante L1TF. Consulte também o Artigo 4073065 da Base de Dados de Conhecimento Microsoft para obter mais informações sobre produtos de superfície afetados e disponibilidade das atualizações de microcódigo.

Clientes do Microsoft HoloLens: O Microsoft HoloLens não é afetado pela L1TF porque não usa um processador Intel afetado.

As etapas necessárias para desabilitar o Hyper-Threading diferem de OEM para OEM, mas geralmente fazem parte das ferramentas de configuração e da configuração do BIOS ou firmware.

Os clientes que usam processadores ARM de 64 bits devem consultar o OEM do dispositivo para obter suporte de firmware, pois as proteções de sistema operacional do ARM64 que mitigam a CVE-2017-5715 - Branch target injection (Spectre, Variante 2) exigem a atualização mais recente do firmware dos OEMs dos dispositivos para terem efeito.

Para obter detalhes sobre essa vulnerabilidade, consulte o Guia de Segurança da Microsoft: CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows.

Não estamos cientes de nenhuma instância dessa vulnerabilidade de divulgação de informações que afete nossa infraestrutura de serviços em nuvem.

Assim que tomamos conhecimento desse problema, trabalhamos rapidamente para solucioná-lo e lançar uma atualização. Acreditamos firmemente em parcerias estreitas com pesquisadores e parceiros do setor para tornar os clientes mais seguros, e não publicamos detalhes até terça-feira, 6 de agosto, de forma consistente com práticas coordenadas de divulgação de vulnerabilidades.

A Microsoft fornece informações de contato de terceiros para ajudá-lo a encontrar informações adicionais sobre esse tópico. Essas informações de contato podem ser alteradas sem aviso prévio. A Microsoft não garante a precisão das informações de contato de terceiros.