Diretrizes do Exchange Server para proteção contra as vulnerabilidades de canal paralelo de execução especulativa

Resumo

A Microsoft está ciente de uma nova classe de vulnerabilidades publicamente divulgada conhecida como “ataques de canal paralelo de execução especulativa.” Essas vulnerabilidades afetam muitos processadores e sistemas operacionais modernos. Isso inclui chipsets da Intel, da AMD e da ARM.

Ainda não recebemos informações que indiquem que essas vulnerabilidades foram usadas para atacar clientes. Continuamos trabalhando em estreita colaboração com os parceiros do setor para proteger os clientes. Isso inclui fabricantes de chips, OEMs de hardware e fornecedores de aplicativos. Para obter toda a proteção disponível, são necessárias atualizações de hardware ou firmware e software. Isso inclui microcódigo de OEMs de dispositivos e, em alguns casos, atualizações de software antivírus. Lançamos várias atualizações para ajudar a mitigar essas vulnerabilidades. Mais informações sobre as vulnerabilidades podem ser encontradas no Comunicado de Segurança da Microsoft ADV180002. Para obter diretrizes gerais, consulte também Diretrizes para mitigar vulnerabilidades de canal lateral de execução especulativa. Também tomamos medidas para ajudar a proteger nossos serviços de nuvem. Consulte as seções a seguir para obter mais detalhes.

Versões afetadas do Exchange Server

Como esses são ataques de nível de hardware que direcionam sistemas de processador baseados em x64 e x86, todas as versões com suporte do Microsoft Exchange Server são afetadas por esse problema.

Recomendações

A tabela a seguir descreve as ações recomendadas para os clientes do Exchange Server. Não há atualizações específicas do Exchange necessárias no momento. No entanto, recomendamos que os clientes sempre executem a última atualização cumulativa do Exchange Server e quaisquer atualizações de segurança necessárias. Recomendamos que você implante correções usando os procedimentos normais para validar novos binários antes de implantá-los em ambientes de produção.

Comunicado de Desempenho

Recomendamos que todos os clientes avaliem o desempenho de seu ambiente específico ao aplicar atualizações.

As soluções fornecidas pela Microsoft para os tipos de vulnerabilidades que são discutidos aqui usarão mecanismos baseados em software para proteção contra acesso de processos cruzados a dados. Aconselhamos todos os clientes a instalar versões atualizadas do Exchange Server e do Windows. Isso deve ter um efeito mínimo sobre o desempenho, com base nos testes da Microsoft em relação às cargas de trabalho do Exchange.

Medimos o efeito do KVAS (Kernel Virtual Address Shadowing) em relação a várias cargas de trabalho. Descobrimos que algumas cargas de trabalho apresentam uma diminuição significativa no desempenho. O Exchange Server é uma das cargas de trabalho que poderão sofrer uma diminuição significativa se o KVAS for habilitado. Espera-se que servidores que mostram alto uso de CPU ou altos padrões de uso de E/S apresentem o maior efeito. Recomendamos que primeiro você avalie o efeito sobre o desempenho ao habilitar o KVAS executando testes em um laboratório que represente suas necessidades de produção, antes de implantar em um ambiente de produção. Se o efeito sobre o desempenho devido à habilitação do KVAS for muito alto, considere se o isolamento do Exchange Server do código não confiável que está sendo executado no mesmo sistema é uma mitigação melhor para o aplicativo.

Além do KVAS, informações sobre o efeito sobre o desempenho causado pelo suporte de hardware de mitigação de IBC (Branch Target Injection) são detalhadas aqui. Um servidor que esteja executando o Exchange Server e que tenha uma solução de IBC implantada poderá sofrer uma diminuição significativa no desempenho se o IBC for habilitado.

Antecipamos que os fornecedores de hardware oferecerão atualizações para seus produtos na forma de atualizações de microcódigo. Nossa experiência com o Exchange indica que as atualizações de microcódigo acentuarão a queda de desempenho. A extensão em que isso ocorrerá é altamente dependente dos componentes e do design do sistema em que elas forem aplicadas. Acreditamos que nenhuma solução única, baseada em software ou em hardware, é suficiente para resolver esse tipo de vulnerabilidade por si só. Encorajamos você a avaliar o desempenho de todas as atualizações para explicar a variabilidade no design e no desempenho do sistema antes de colocá-las em produção. A equipe do Exchange não planeja atualizar a calculadora de dimensionamento usada pelos clientes para explicar as diferenças de desempenho no momento. Os cálculos fornecidos por essa ferramenta não levarão em consideração quaisquer alterações no desempenho relacionadas a correções para esses problemas. Continuaremos a avaliar essa ferramenta e os ajustes que acreditamos que possam ser necessários, com base em nosso próprio uso e no dos clientes.

Atualizaremos esta seção à medida que informações adicionais forem disponibilizadas.

Habilitar o Kernel Virtual Address Shadowing

O Exchange Server é executado em muitos ambientes, inclusive sistemas físicos, VMs em ambientes de nuvem pública e privada e sistemas operacionais Windows. Independentemente do ambiente, o programa está localizado em um sistema físico ou uma VM.  Esse ambiente, seja físico ou virtual, é conhecido como limite de segurança.

Se todo o código dentro do limite tiver acesso a todos os dados nesse limite, nenhuma ação será necessária. Se esse não for o caso, o limite será chamado multilocatário.As vulnerabilidades que tenham sido encontradas tornam possível que qualquer código em execução em qualquer processo nesse limite leia quaisquer outros dados dentro desse limite. Isso ocorre mesmo quando há permissões reduzidas. Se algum processo no limite estiver executando código não confiável, esse processo poderá usar essas vulnerabilidades para ler dados de outros processos.

Para se proteger contra código não confiável em um limite multilocatário, execute um destes procedimentos:

• Remova o código não confiável.

• Ative o KVAS para se proteger contra leituras de processo a processo. Isso terá um efeito sobre o desempenho. Consulte as seções anteriores deste artigo para obter informações detalhadas.

Para obter mais informações sobre como habilitar o KVAS para Windows, consulte o KB 4072698.

Habilitar o Suporte de Hardware de Mitigação de IBC (Branch Target Injection)

O IBC mitiga contra o CVE 2017-5715, também conhecido como metade do Spectre ou “variante 2” na divulgação do GPZ.

As instruções acima para habilitar o KVAS no Windows também podem habilitar o IBC. No entanto, o IBC também requer uma atualização de firmware do fabricante do hardware. Além das instruções no KB4072698 para habilitar a proteção no Windows, os clientes precisam obter e instalar atualizações do fabricante do hardware.

Mecanismos de extensibilidade não confiáveis do Exchange Server

O Exchange Server inclui recursos e mecanismos de extensibilidade. Muitos deles são baseados em APIs que não permitem que código não confiável seja executado no servidor que está executando o Exchange Server. Os Agentes de Transporte e o Shell de Gerenciamento do Exchange podem permitir que código não confiável seja executado em um servidor que esteja executando o Exchange Server em determinadas situações. Em todos os casos, com exceção dos Agentes de Transporte, os recursos de extensibilidade exigem autenticação para serem usados. Recomendamos que você use recursos de extensibilidade que sejam restritos ao conjunto mínimo de binários, quando aplicável. Também recomendamos que os clientes restrinjam o acesso do servidor para evitar que código arbitrário seja executado nos mesmos sistemas que o Exchange Server. Recomendamos que você determine se deve confiar em cada binário. Você deve desabilitar ou remover binários não confiáveis. Você também deve garantir que as interfaces de gerenciamento não sejam expostas na Internet.