KB4073119: Orientação para o cliente Windows destinada a profissionais de TI para proteção contra vulnerabilidades do canal lateral de execução especulativa e microarquiteta baseada em silício

Em 14 de maio de 2019, a Intel publicou informações sobre uma nova subclasse de vulnerabilidades do canal lateral de execução especulativa conhecida como Microarchitectural Data Sampling. Estas vulnerabilidades são abordadas nas seguintes CVEs:

• CVE-2019-11091 | Memória não cache de amostragem de dados microarquiteturais (MDSUM)
• CVE-2018-12126 | MSBDS (Microarchitectural Store Buffer Data Sample)
• CVE-2018-12127 | Amostragem de dados de buffer de preenchimento microarquitetônico (MFBDS)
• CVE-2018-12130 | MLPDS (Microarchitectural Load Port Data Sample)

Lançámos atualizações para ajudar a mitigar estas vulnerabilidades. Para obter todas as proteções disponíveis, são necessárias atualizações de firmware (microcódigo) e software. Isto pode incluir microcódigo de OEMs de dispositivos. Em alguns casos, a instalação destas atualizações terá um impacto no desempenho. Também atuámos para proteger os nossos serviços na nuvem. Recomendamos vivamente a implementação destas atualizações.

Para obter mais informações sobre este problema, consulte o seguinte Aviso de Segurança e orientações baseadas em cenários para determinar as ações necessárias para mitigar a ameaça:

• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades de amostragem de dados microarquiteturais
• Orientação do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa

Em 6 de agosto de 2019, a Intel divulgou detalhes sobre uma vulnerabilidade de divulgação de informações do kernel do Windows. Esta vulnerabilidade é uma variante da vulnerabilidade do canal lateral de execução especulativa Spectre Variant 1 e recebeu CVE-2019-1125.

A 9 de julho de 2019, lançámos atualizações de segurança para o sistema operativo Windows para ajudar a mitigar este problema. Tenha em atenção que não documentámos publicamente esta mitigação até à divulgação coordenada do setor na terça-feira, 6 de agosto de 2019.

Os clientes que tenham Windows Update ativado e aplicado as atualizações de segurança disponibilizadas a 9 de julho de 2019 estão protegidos automaticamente. Não é necessária mais configuração.

Para obter mais informações sobre esta vulnerabilidade e atualizações aplicáveis, consulte o Guia de Atualização de Segurança da Microsoft:

• CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows

A 12 de novembro de 2019, a Intel publicou um aviso técnico sobre a vulnerabilidade Abortar Transação Assíncrona das Extensões de Sincronização Transacional Intel (Intel TSX) com atribuição CVE-2019-11135. Lançámos atualizações para ajudar a mitigar esta vulnerabilidade. Por predefinição, as proteções do SO estão ativadas para as edições do SO do Cliente Windows.

Em 14 de junho de 2022, publicamos ADV220002 | Orientação da Microsoft sobre vulnerabilidades de dados obsoletos do MMIO do processador Intel. As vulnerabilidades são atribuídas nos seguintes CVEs:

• CVE-2022-21123 | Leitura de dados de buffer compartilhado (SBDR)
• CVE-2022-21125 | Amostragem de dados de buffer compartilhado (SBDS)
• CVE-2022-21127 | Atualização de amostragem de dados de buffer de registro especial (atualização SRBDS)
• CVE-2022-21166 | Gravação parcial de registro de dispositivo (DRPW)

Ações recomendadas

Deve tomar as seguintes medidas para ajudar a proteger-se contra estas vulnerabilidades:

1. Aplique todas as atualizações disponíveis do sistema operativo Windows, incluindo as atualizações de segurança mensais do Windows.
2. Aplique a atualização de firmware (microcódigo) aplicável fornecida pelo fabricante do dispositivo.
3. Avalie o risco para o seu ambiente com base nas informações fornecidas nos Avisos de Segurança da Microsoft ADV180002, ADV180012, ADV190013 e ADV220002, além das informações fornecidas neste artigo.
4. Tome as medidas conforme exigido utilizando os avisos e informações da chave do registo fornecidos neste artigo.

Em 12 de julho de 2022, publicamos CVE-2022-23825 | Confusão de Tipo de Ramo da CPU AMD que descreve que os aliases no preditor de ramo podem fazer com que determinados processadores AMD prevejam o tipo de ramo errado. Este problema pode potencialmente levar à divulgação de informações.

Para ajudar a proteger contra esta vulnerabilidade, recomendamos a instalação de atualizações do Windows datadas de julho de 2022 ou posteriores e, em seguida, tomar as medidas exigidas pelo CVE-2022-23825 e pelas informações da chave de registo fornecidas neste artigo base de dados de conhecimento.

Para obter mais informações, consulte o boletim de segurança AMD-SB-1037 .

Em 8 de agosto de 2023, publicámos CVE-2023-20569 | AMD CPU Return Address Predictor (também conhecido como Inception) que descreve um novo ataque de canal lateral especulativo que pode resultar em execução especulativa em um endereço controlado pelo invasor. Este problema afeta determinados processadores AMD e pode potencialmente levar à divulgação de informações.

Para ajudar a proteger contra esta vulnerabilidade, recomendamos a instalação de atualizações do Windows com data de ou após agosto de 2023 e, em seguida, tomar as medidas exigidas pelo CVE-2023-20569 e pelas informações da chave de registo fornecidas neste artigo base de dados de conhecimento.

Para obter mais informações, consulte o boletim de segurança AMD-SB-7005 .

Em 9 de abril de 2024, publicamos CVE-2022-0001 | Intel Branch History Injection que descreve a Branch History Injection (BHI), que é uma forma específica de BTI intramodo. Esta vulnerabilidade ocorre quando um invasor pode manipular o histórico de ramificações antes de fazer a transição do modo de usuário para o modo supervisor (ou do modo não-root/convidado do VMX para o modo raiz). Essa manipulação pode fazer com que um preditor de ramo indireto selecione uma entrada de preditor específica para um ramo indireto, e um gadget de divulgação no alvo previsto será executado transitoriamente. Isto pode ser possível porque o histórico de sucursais relevante pode conter ramificações realizadas em contextos de segurança anteriores e, em particular, outros modos de predição.

Por padrão, a proteção de usuário para kernel para CVE-2017-5715 está desabilitada para CPUs AMD e ARM. Tem de ativar a mitigação para receber proteções adicionais para CVE-2017-5715. Para obter mais informações, consulte a FAQ #15 em ADV180002 para processadores AMD e a FAQ #20 em ADV180002 para processadores ARM.

Por padrão, a proteção de usuário para kernel para CVE-2017-5715 está desabilitada para processadores AMD. Os clientes devem habilitar a mitigação para receber proteções adicionais para CVE-2017-5715.  Para obter mais informações, consulte FAQ #15 em ADV180002.

Para ativar a mitigação para CVE-2022-23825 em processadores AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para ficarem totalmente protegidos, os clientes também podem precisar desativar Hyper-Threading (também conhecido como Multi Threading Simultâneo (SMT)). Consulte KB4073757 para obter orientações sobre a proteção de dispositivos Windows.

Para ativar a mitigação para CVE-2023-20569 em processadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para ativar a mitigação para CVE-2022-0001 em processadores Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Para obter uma explicação detalhada da saída do script do PowerShell, consulte KB4074629.

O microcódigo é fornecido através de uma atualização de firmware. Você deve verificar com seus fabricantes de CPU (chipset) e dispositivos a disponibilidade de atualizações de segurança de firmware aplicáveis para seu dispositivo específico, incluindo a Orientação de revisão de microcódigo Intels.

A resolução de uma vulnerabilidade de hardware através de uma atualização de software apresenta desafios significativos. Além disso, as mitigações para sistemas operacionais mais antigos exigem grandes alterações na arquitetura. Estamos a trabalhar com os fabricantes de chip afetados para determinar a melhor forma de proporcionar mitigações, que podem ser fornecidas em atualizações futuras.

Atualizações para dispositivos Microsoft Surface serão entregues aos clientes através de Windows Update juntamente com as atualizações para o sistema operativo Windows. Para obter uma lista das atualizações disponíveis do firmware (microcódigo) do dispositivo Surface, consulte KB4073065.

Se o seu dispositivo não for Microsoft, aplique o firmware do fabricante do dispositivo. Para obter mais informações, contacte o fabricante OEM do dispositivo.

Em fevereiro e março de 2018, a Microsoft lançou proteção adicional para alguns sistemas baseados em x86. Para obter mais informações, consulte KB4073757 e o ADV180002 Consultivo de Segurança da Microsoft.

Atualizações ao Windows 10 para o HoloLens estão disponíveis para os clientes do HoloLens através do Windows Update.

Após aplicar a Atualização de Segurança do Windows de fevereiro de 2018, os clientes do HoloLens não têm de efetuar qualquer ação adicional para atualizar o firmware do dispositivo. Estas mitigações também serão incluídas em todas as versões futuras do Windows 10 para o HoloLens.

Não. As atualizações Apenas de Segurança não são cumulativas. Consoante a versão do sistema operativo que estiver a executar, terá de instalar todas as atualizações mensais Apenas de Segurança para estar protegido contra estas vulnerabilidades. Por exemplo, se estiver a executar o Windows 7 para sistemas de 32 bits numa CPU Intel afetada, tem de instalar todas as atualizações Apenas de Segurança. Recomendamos a instalação destas atualizações Apenas de Segurança pela ordem de lançamento.

Observação Uma versão anterior destas FAQ indicava incorretamente que a atualização Apenas de Segurança de fevereiro incluía as correções de segurança lançadas em janeiro. Na verdade, não.

Não. A atualização de segurança 4078130 foi uma correção específica para evitar comportamentos imprevisíveis do sistema, problemas de desempenho e/ou reinicializações inesperadas após a instalação do microcódigo. A aplicação das atualizações de segurança de fevereiro nos sistemas operativos cliente Windows permite as três mitigações.

A Intel anunciou recentemente ter concluído as validações e iniciado a disponibilização de microcódigo para plataformas de CPU mais recentes. A Microsoft vai disponibilizar as atualizações de microcódigo validadas da Intel para o Spectre Variant 2 (CVE-2017-5715 ("Branch Target Injection"). KB4093836 lista artigos específicos da Base de Dados de Conhecimento por versão do Windows. Cada artigo específico da KB contém as atualizações de microcódigo da Intel disponíveis por CPU.

Este problema foi resolvido em KB4093118.

A AMD anunciou recentemente que começou a lançar microcódigo para plataformas de CPU mais recentes em torno do Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Para obter mais informações, consulte o Atualizações de Segurança da AMD e o Whitepaper da AMD: Diretrizes de arquitetura em torno do controle de filial indireto. Estes estão disponíveis a partir do canal de firmware OEM.

Estamos a disponibilizar atualizações de microcódigo validadas da Intel para o Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection "). Para obterem as atualizações mais recentes do microcódigo Intel através do Windows Update, os clientes têm de ter instalado o microcódigo Intel em dispositivos com um sistema operativo Windows 10 antes da instalarem a Atualização de abril de 2018 do Windows 10 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo, se não tiver sido instalada no dispositivo antes da atualização do SO. O microcódigo Intel está disponível através do Windows Update, WSUS ou Catálogo Microsoft Update. Para obter mais informações e instruções de transferência, consulte KB4100347.

Para mais informações, consulte os seguintes recursos:

• ADV180012 | Orientações da Microsoft para o Speculative Store Bypass para CVE-2018-3639
• ADV180013 | Orientações da Microsoft para Leitura de Registo de Sistema Não Autorizado para CVE-2018-3640 e KB4073065
• Blogue de Defesa e Investigação sobre Segurança da Microsoft
• Orientação para Programadores para Speculative Store Bypass

Para obter detalhes, consulte as seções "Ações recomendadas" e "FAQ" no ADV180012 | Orientação da Microsoft para Desvio de Arquivo Especulativo.

Para verificar o estado do SSBD, o script do Get-SpeculationControlSettings PowerShell foi atualizado para detetar os processadores afetados, o estado das atualizações do sistema operativo SSBD e o estado do microcódigo do processador, se aplicável. Para obter mais informações e obter o script do PowerShell, consulte KB4074629.

Em 13 de junho de 2018, uma vulnerabilidade adicional envolvendo a execução especulativa do canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída CVE-2018-3665. Não são necessárias definições de configuração (registo) para o Lazy Restore FP Restore.

Para obter mais informações sobre esta vulnerabilidade e ações recomendadas, consulte o ADV180016 consultivo de segurança | Orientações da Microsoft para o Lazy FP State Restore.

O Bounds Check Bypass Store (BCBS) foi divulgado a 10 de julho de 2018 e recebeu o CVE-2018-3693. Consideramos que o BCBS pertence à mesma classe de vulnerabilidades que o Bounds Check Bypass (Variante 1). Atualmente, não temos conhecimento de nenhuma instância de BCBS em nosso software, mas continuamos a pesquisar essa classe de vulnerabilidade e trabalharemos com parceiros do setor para lançar mitigações conforme necessário. Continuamos a incentivar os investigadores a submeter quaisquer conclusões relevantes ao programa de recompensas do Canal Paralelo de Execução Especulativa da Microsoft, incluindo quaisquer instâncias exploráveis do BCBS. Os programadores de software devem rever a orientação para programadores atualizada para o BCBS em https://aka.ms/sescdevguide.

Em 14 de agosto de 2018, a L1 Terminal Fault (L1TF) foi anunciada e atribuída várias CVEs. Essas novas vulnerabilidades do canal lateral de execução especulativa podem ser usadas para ler o conteúdo da memória através de um limite confiável e, se exploradas, podem levar à divulgação de informações. Um invasor pode desencadear as vulnerabilidades por meio de vários vetores, dependendo do ambiente configurado. L1TF afeta processadores Intel® Core® e processadores Intel® Xeon®.

Para obter mais informações sobre esta vulnerabilidade e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para mitigar o L1TF, consulte os seguintes recursos:

• ADV180018 | Orientações da Microsoft para mitigar a variante L1TF
• Consultoria de segurança Blog de pesquisa de segurança
• Orientação para o servidor para falha de terminal L1

Os clientes que utilizam processadores ARM de 64 bits devem contactar o OEM do dispositivo para obter suporte de firmware, uma vez que as proteções do sistema operativo ARM64 atenuam CVE-2017-5715 | A injeção de destino do ramo (Spectre, Variante 2) requer a atualização de firmware mais recente dos OEMs dos dispositivos para entrar em vigor.

Para obter mais informações, consulte os seguintes avisos de segurança

• Aviso de segurança da Intel
• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades de amostragem de dados microarquiteturais

Para obter mais informações, consulte os seguintes avisos de segurança

• Aviso de segurança da Intel
• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades de amostragem de dados microarquiteturais

Orientações adicionais podem ser encontradas na orientação do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa

Consulte as orientações na orientação do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa

Para obter Azure orientação, consulte este artigo: Orientação para mitigar vulnerabilidades do canal lateral de execução especulativa no Azure.

Para obter mais informações sobre a ativação de Retpolina, consulte nossa postagem no blog: Mitigando a variante 2 do Spectre com Retpoline no Windows.

Para obter detalhes sobre esta vulnerabilidade, consulte o Guia de Segurança da Microsoft: CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows.

Não temos conhecimento de qualquer instância desta vulnerabilidade de divulgação de informações que afete a nossa infraestrutura de serviços em nuvem.

Assim que tomámos conhecimento deste problema, trabalhámos rapidamente para o resolver e disponibilizar uma atualização. Acreditamos firmemente em parcerias estreitas com pesquisadores e parceiros do setor para tornar os clientes mais seguros, e não publicamos detalhes até terça-feira, 6 de agosto, consistente com práticas coordenadas de divulgação de vulnerabilidade.

Podem ser encontradas orientações adicionais nas orientações do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa.

Podem ser encontradas orientações adicionais nas orientações do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa.

Pode encontrar orientações adicionais em Documentação de orientação para desativar a capacidade Intel® TSX (Extensões® de Sincronização Transacional Intel).

Fornecemos informações de contacto de terceiros para o ajudar a obter suporte técnico. Estas informações de contacto poderão ser alteradas sem aviso prévio. Não garantimos a exatidão destas informações de contacto de terceiros.