KB4072698: Windows Server e orientação Azure Stack HCI para proteção contra vulnerabilidades do canal lateral de execução especulativa e microarquitetônica baseada em silício

Este artigo aborda as seguintes vulnerabilidades de execução especulativa:

• CVE-2017-5715 | Injeção de Alvo do Ramo
• CVE-2017-5753 | Desvio de verificação de limites
• CVE-2017-5754 | Carregamento da Cache de Dados Não Autorizados
• CVE-2018-3639 | Speculative Store Bypass

Windows Update também fornecerá mitigações para o Internet Explorer e o Edge. Continuaremos a melhorar estas mitigações contra esta classe de vulnerabilidades.

Para saber mais sobre esta classe de vulnerabilidades, consulte

• ADV180002 | Orientação para mitigar vulnerabilidades do canal lateral de execução especulativa
• ADV180012 | Orientação da Microsoft para Speculative Store Bypass

Em 14 de maio de 2019, a Intel publicou informações sobre uma nova subclasse de vulnerabilidades de canal lateral de execução especulativa conhecidas como Microarchitectural Data Sampling e documentadas em ADV190013 | Amostragem de dados microarquitetónicos. Foram-lhes atribuídas as seguintes CVEs:

• CVE-2019-11091 | Memória não cache de amostragem de dados microarquiteturais (MDSUM)
• CVE-2018-12126 | MSBDS (Microarchitectural Store Buffer Data Sample)
• CVE-2018-12127 | Amostragem de dados de buffer de preenchimento microarquitetônico (MFBDS)
• CVE-2018-12130 | MLPDS (Microarchitectural Load Port Data Sample)

A Microsoft disponibilizou atualizações para ajudar a mitigar estas vulnerabilidades. Para obter todas as proteções disponíveis, são necessárias atualizações de firmware (microcódigo) e software. Isto pode incluir microcódigo de OEMs de dispositivos. Em alguns casos, a instalação destas atualizações terá um impacto no desempenho. Também atuámos para proteger os nossos serviços na nuvem. Recomendamos vivamente a implementação destas atualizações.

Para obter mais informações sobre este problema, consulte o seguinte Aviso de Segurança e orientações baseadas em cenários para determinar as ações necessárias para mitigar a ameaça:

• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades de amostragem de dados microarquiteturais
• Orientação do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa

Em 6 de agosto de 2019, a Intel divulgou detalhes sobre uma vulnerabilidade de divulgação de informações do kernel do Windows. Esta vulnerabilidade é uma variante da vulnerabilidade do canal lateral de execução especulativa Spectre, Variante 1 e recebeu CVE-2019-1125.

A 9 de julho de 2019, lançámos atualizações de segurança para o sistema operativo Windows para ajudar a mitigar este problema. Tenha em atenção que não documentámos publicamente esta mitigação até à divulgação coordenada do setor na terça-feira, 6 de agosto de 2019.

Os clientes que tenham Windows Update ativado e aplicado as atualizações de segurança disponibilizadas a 9 de julho de 2019 estão protegidos automaticamente. Não é necessária mais configuração.

Para obter mais informações sobre esta vulnerabilidade e atualizações aplicáveis, consulte o Guia de Atualização de Segurança da Microsoft:

• CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows

A 12 de novembro de 2019, a Intel publicou um aviso técnico sobre a vulnerabilidade Abortar Transação Assíncrona das Extensões de Sincronização Transacional Intel® (Intel TSX) com atribuição CVE-2019-11135. A Microsoft disponibilizou atualizações para ajudar a mitigar esta vulnerabilidade e as proteções do SO estão ativadas por predefinição para o Windows Server 2019, mas desativadas por predefinição para edições Windows Server 2016 e anteriores do SO Windows Server.

Em 14 de junho de 2022, publicamos ADV220002 | Orientação da Microsoft sobre as vulnerabilidades de dados obsoletos MMIO do processador Intel e atribuiu estas CVEs:

• CVE-2022-21123 | Leitura de dados de buffer compartilhado (SBDR)
• CVE-2022-21125 | Amostragem de dados de buffer compartilhado (SBDS)
• CVE-2022-21127 | Atualização de amostragem de dados de buffer de registro especial (atualização SRBDS)
• CVE-2022-21166 | Gravação parcial de registro de dispositivo (DRPW)

Ações recomendadas

Deve tomar as seguintes medidas para ajudar a proteger contra as vulnerabilidades:

1. Aplique todas as atualizações disponíveis do sistema operativo Windows, incluindo as atualizações de segurança mensais do Windows.
2. Aplique a atualização de firmware (microcódigo) aplicável fornecida pelo fabricante do dispositivo.
3. Avalie o risco para o seu ambiente com base nas informações fornecidas nos Avisos de Segurança da Microsoft: ADV180002, ADV180012, ADV190013 e ADV220002, além das informações fornecidas neste artigo base de dados de conhecimento.
4. Tome as medidas conforme necessário utilizando os avisos e informações da chave do registo fornecidos neste artigo base de dados de conhecimento.

Em 12 de julho de 2022, publicamos CVE-2022-23825 | Confusão de Tipo de Ramo da CPU AMD que descreve que os aliases no preditor de ramo podem fazer com que determinados processadores AMD prevejam o tipo de ramo errado. Este problema pode potencialmente levar à divulgação de informações.

Para ajudar a proteger contra esta vulnerabilidade, recomendamos a instalação de atualizações do Windows com data de julho de 2022 ou posterior a julho de 2022 e, em seguida, tome as medidas exigidas pelo CVE-2022-23825 e pelas informações da chave de registo fornecidas neste artigo base de dados de conhecimento.

Para obter mais informações, consulte o boletim de segurança AMD-SB-1037 .

Em 8 de agosto de 2023, publicámos CVE-2023-20569 | Return Address Predictor (também conhecido como Inception) que descreve um novo ataque de canal lateral especulativo que pode resultar em execução especulativa em um endereço controlado pelo invasor. Este problema afeta determinados processadores AMD e pode potencialmente levar à divulgação de informações.

Para ajudar a proteger contra esta vulnerabilidade, recomendamos a instalação de atualizações do Windows com data de ou após agosto de 2023 e, em seguida, tomar as medidas exigidas pelo CVE-2023-20569 e pelas informações da chave de registo fornecidas neste artigo base de dados de conhecimento.

Para obter mais informações, consulte o boletim de segurança AMD-SB-7005 .

Em 9 de abril de 2024, publicamos CVE-2022-0001 | Intel Branch History Injection que descreve a Branch History Injection (BHI), que é uma forma específica de BTI intramodo. Esta vulnerabilidade ocorre quando um invasor pode manipular o histórico de ramificações antes de fazer a transição do modo de usuário para o modo supervisor (ou do modo não-root/convidado do VMX para o modo raiz). Essa manipulação pode fazer com que um preditor de ramo indireto selecione uma entrada de preditor específica para um ramo indireto, e um gadget de divulgação no alvo previsto será executado transitoriamente. Isto pode ser possível porque o histórico de sucursais relevante pode conter ramificações realizadas em contextos de segurança anteriores e, em particular, outros modos de predição.

Por predefinição, a proteção de utilizador para kernel para CVE-2017-5715 está desativada para CPUs AMD. Os clientes devem habilitar a mitigação para receber proteções adicionais para CVE-2017-5715.  Para obter mais informações, consulte FAQ #15 em ADV180002.

Por padrão, a proteção de usuário para kernel para CVE-2017-5715 está desabilitada para processadores AMD. Os clientes devem habilitar a mitigação para receber proteções adicionais para CVE-2017-5715.  Para obter mais informações, consulte FAQ #15 em ADV180002.

Para ativar a mitigação para CVE-2022-23825 em processadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para ficarem totalmente protegidos, os clientes também podem precisar desativar Hyper-Threading (também conhecido como Multi Threading Simultâneo (SMT)). Consulte KB4073757 para obter orientações sobre a proteção de dispositivos Windows.

Para ativar a mitigação para CVE-2023-20569 em processadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Para ativar a mitigação para CVE-2022-0001 em processadores Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Para obter uma explicação detalhada da saída do script do PowerShell, consulte KB4074629 .

Para evitar afetar negativamente os dispositivos dos clientes, as atualizações de segurança do Windows que foram lançadas em janeiro e fevereiro de 2018 não foram disponibilizadas a todos os clientes. Para obter detalhes, consulte KB407269 .

O microcódigo é fornecido através de uma atualização de firmware. Consulte o seu OEM sobre a versão de firmware que tem a atualização apropriada para o seu computador.

Existem várias variáveis que afetam o desempenho, desde a versão do sistema até às cargas de trabalho em execução. Para alguns sistemas, o efeito de desempenho será negligenciável. Para outros, será considerável.

Recomendamos que avalie os efeitos no desempenho dos seus sistemas e faça os ajustes necessários.

Além das orientações neste artigo sobre máquinas virtuais, deve contactar o seu fornecedor de serviços para se certificar de que os anfitriões que estão a executar as máquinas virtuais estão adequadamente protegidos.

Para Windows Server máquinas virtuais em execução no Azure, consulte Orientações para mitigar vulnerabilidades do canal lateral de execução especulativa no Azure . Para obter orientações sobre como usar o Azure Update Management para mitigar esse problema em VMs convidadas, consulte KB4077467.

As atualizações lançadas para imagens de contentor Windows Server para Windows Server 2016 e Windows 10, versão 1709, incluem as mitigações para este conjunto de vulnerabilidades. Não é necessária qualquer configuração adicional.

Observação Ainda assim, você deve verificar se o host no qual esses contêineres estão sendo executados está configurado para habilitar as mitigações apropriadas.

Não, a ordem de instalação é irrelevante.

Sim, tem de reiniciar após a atualização do firmware (microcódigo) e novamente após a atualização do sistema.

Eis os detalhes das chaves de registo:

FeatureSettingsOverride representa um bitmap que substitui a configuração padrão e controla quais mitigações serão desabilitadas. O bit 0 controla a mitigação que corresponde ao CVE-2017-5715. O bit 1 controla a mitigação correspondente ao CVE-2017-5754. Os bits são definidos como 0 para ativar a mitigação e como 1 para desativar a mitigação.

FeatureSettingsOverrideMask representa uma máscara de mapa de bits utilizada em conjunto com FeatureSettingsOverride. Nesta situação, usamos o valor 3 (representado como 11 no sistema numérico binário ou base 2) para indicar os dois primeiros bits que correspondem às mitigações disponíveis. Esta chave de registo está definida como 3 para ativar ou desativar as mitigações.

MinVmVersionForCpuBasedMitigations destina-se a anfitriões Hyper-V. Esta chave de registo define a versão mínima da VM necessária para utilizar as capacidades de firmware atualizadas (CVE-2017-5715). Defina isso como 1.0 para abranger todas as versões de VM. Observe que esse valor do Registro será ignorado (benigno) em hosts não-Hyper-V. Para obter mais detalhes, consulte Proteção de máquinas virtuais convidadas contra CVE-2017-5715 (injeção de destino do ramo).

Sim, não existem efeitos secundários se estas definições do registo forem aplicadas antes de instalar as correções relacionadas com janeiro de 2018.

Veja uma descrição detalhada da saída do script em KB4074629: Understanding SpeculationControl PowerShell script output .

Sim, para Windows Server 2016 anfitriões Hyper-V que ainda não têm a atualização de firmware disponível, publicámos orientações alternativas que podem ajudar a mitigar os ataques de VM para VM ou VM para anfitrião. Consulte Proteções alternativas para Windows Server 2016 Hyper-V Hosts contra as vulnerabilidades do canal lateral de execução especulativa .

As atualizações apenas de segurança não são cumulativas. Dependendo da versão do seu sistema operativo, poderá ter de instalar várias atualizações de segurança para proteção total. Em geral, os clientes precisarão instalar as atualizações de janeiro, fevereiro, março e abril de 2018. Os sistemas com processadores AMD precisam de uma atualização adicional, conforme mostrado na tabela a seguir:

Recomendamos que instale as atualizações Apenas de segurança pela ordem de lançamento.

Não. A atualização de segurança KB4078130 foi uma correção específica para evitar comportamentos imprevisíveis do sistema, problemas de desempenho e reinícios inesperados após a instalação do microcódigo. A aplicação das atualizações de segurança nos sistemas operativos cliente Windows ativa as três mitigações. Em Windows Server sistemas operativos, ainda tem de ativar as mitigações depois de efetuar os testes adequados. Para obter mais informações, consulte KB4072698.

Este problema foi resolvido em KB4093118.

Em fevereiro de 2018, a Intel anunciou que havia concluído suas validações e começou a lançar microcódigo para plataformas de CPU mais recentes. A Microsoft está disponibilizando atualizações de microcódigo validadas da Intel relacionadas ao Spectre Variant 2, Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection).  KB4093836 lista artigos base de dados de conhecimento específicos por versão do Windows. Cada artigo específico da KB contém as atualizações de microcódigo da Intel disponíveis por CPU.

Em 11 de janeiro de 2018, a Intel relatou problemas no microcódigo recém-lançado destinado a abordar a variante 2 do Spectre (CVE-2017-5715 | Branch Target Injection). Especificamente, a Intel observou que esse microcódigo pode causar "reinicializações mais altas do que o esperado e outros comportamentos imprevisíveis do sistema" e que esses cenários podem causar "perda ou corrupção de dados". A nossa experiência é que a instabilidade do sistema pode causar perda ou corrupção de dados em algumas circunstâncias. Em 22 de janeiro, a Intel recomendou que os clientes parassem de implantar a versão atual do microcódigo nos processadores afetados, enquanto a Intel realizava testes adicionais na solução atualizada. Sabemos que a Intel continua a investigar o efeito potencial da versão atual do microcódigo. Incentivamos os clientes a rever continuamente as suas orientações para tomarem decisões informadas.

Enquanto a Intel testa, atualiza e implanta o novo microcódigo, estamos disponibilizando uma atualização fora de banda (OOB), KB4078130, que desabilita especificamente apenas a mitigação contra CVE-2017-5715. Nos nossos testes, verificou-se que esta atualização impede o comportamento descrito. Para obter a lista completa de dispositivos, consulte a orientação para revisão do microcódigo da Intel. Esta atualização destina-se ao Windows 7 Service Pack 1 (SP1), Windows 8.1 e a todas as versões do Windows 10, cliente e servidor. Se estiver a utilizar um dispositivo afetado, esta atualização pode ser aplicada ao descarregá-la a partir do site do Catálogo Microsoft Update. A aplicação desta payload desativa especificamente apenas a mitigação contra CVE-2017-5715.

Até ao momento, não existem relatórios conhecidos que indiquem que esta Variante 2 do Spectre (CVE-2017-5715 | Branch Target Injection) tem sido utilizado para atacar clientes. Sempre que apropriado, recomendamos que os utilizadores do Windows reativem a mitigação contra o CVE-2017-5715 quando a Intel reportar ter resolvido este comportamento de sistema imprevisível para o seu dispositivo.

Em fevereiro de 2018, a Intel anunciou que concluiu suas validações e começou a liberar microcódigo para plataformas de CPU mais recentes. A Microsoft vai disponibilizar as atualizações de microcódigo validadas pela Intel relacionadas com o Spectre Variant 2, o Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection). KB4093836 lista artigos base de dados de conhecimento específicos por versão do Windows. As KBs listam as atualizações de microcódigo Intel disponíveis por CPU.

Para obter mais informações, consulte AMD Security Atualizações e AMD Whitepaper: Architecture Guidelines around Indirect Branch Control . Estes estão disponíveis a partir do canal de firmware OEM.

Estamos a disponibilizar atualizações de microcódigo validadas pela Intel relacionadas com o Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection). Para obterem as atualizações mais recentes do microcódigo Intel através do Windows Update, os clientes têm de ter instalado o microcódigo Intel em dispositivos com um sistema operativo Windows 10 antes da instalarem a Atualização de abril de 2018 do Windows 10 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo Microsoft Update, se não tiver sido instalada no dispositivo antes da atualização do sistema. O microcódigo Intel está disponível através do Windows Update, Windows Server Update Services (WSUS) ou do Catálogo Microsoft Update. Para obter mais informações e instruções de transferência, consulte KB4100347.

Para mais informações, consulte os seguintes recursos:

• ADV180012 | Orientações da Microsoft para o Speculative Store Bypass para CVE-2018-3639
• ADV180013 | Documentação de Orientação da Microsoft para Leitura de Registo de Sistema Não Autorizado para CVE-2018-3640 e 4073065 KB | Orientações para clientes do Surface
• Blogue de Defesa e Investigação sobre Segurança da Microsoft
• Orientação para Programadores para Speculative Store Bypass

Consulte as secções "Ações recomendadas" e "FAQ" do ADV180012 | Orientação da Microsoft para Desvio de Arquivo Especulativo.

Para verificar o estado do SSBD, o script do PowerShell Get-SpeculationControlSettings foi atualizado para detetar os processadores afetados, o estado das atualizações do sistema operativo SSBD e o estado do microcódigo do processador, se aplicável. Para obter mais informações e obter o script do PowerShell, consulte KB4074629.

Em 13 de junho de 2018, uma vulnerabilidade adicional que envolve a execução especulativa do canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída CVE-2018-3665 . Para obter informações sobre esta vulnerabilidade e ações recomendadas, consulte o ADV180016 Consultivo de Segurança | Orientações da Microsoft para o Lazy FP State Restore .

Observação Não existem definições de configuração (registo) necessárias para o Lazy Restore FP Restore.

O Bounds Check Bypass Store (BCBS) foi divulgado em 10 de julho de 2018 e recebeu CVE-2018-3693. Consideramos que o BCBS pertence à mesma classe de vulnerabilidades que o Bounds Check Bypass (Variante 1). Atualmente, não temos conhecimento de quaisquer instâncias de BCBS no nosso software. No entanto, continuamos a pesquisar essa classe de vulnerabilidade e trabalharemos com parceiros do setor para lançar mitigações conforme necessário. Encorajamos os investigadores a submeter quaisquer descobertas relevantes ao programa de recompensas do Canal Lateral de Execução Especulativa da Microsoft, incluindo quaisquer instâncias exploráveis do BCBS. Os desenvolvedores de software devem revisar a orientação do desenvolvedor que foi atualizada para o BCBS em C++ Developer Guidance for Speculative Execution Side Channels

Em 14 de agosto de 2018, a L1 Terminal Fault (L1TF) foi anunciada e atribuída várias CVEs. Essas novas vulnerabilidades do canal lateral de execução especulativa podem ser usadas para ler o conteúdo da memória através de um limite confiável e, se exploradas, podem levar à divulgação de informações. Existem vários vetores pelos quais um invasor pode acionar as vulnerabilidades, dependendo do ambiente configurado. L1TF afeta processadores Intel® Core® e processadores Intel® Xeon®.

Para obter mais informações sobre esta vulnerabilidade e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para mitigar o L1TF, consulte os seguintes recursos:

• ADV180018 | Orientações da Microsoft para mitigar a variante L1TF
• Consultoria de segurança Blog de pesquisa de segurança
• Orientação para o servidor para falha de terminal L1

As etapas para desativar Hyper-Threading diferem de OEM para OEM, mas geralmente fazem parte das ferramentas de configuração e configuração do BIOS ou firmware.

Os clientes que usam processadores ARM de 64 bits devem entrar em contato com o OEM do dispositivo para obter suporte de firmware, pois as proteções do sistema operacional ARM64 que mitigam CVE-2017-5715 | A injeção de destino do ramo (Spectre, Variante 2) requer a atualização de firmware mais recente dos OEMs dos dispositivos para entrar em vigor.

Para obter mais informações, consulte os seguintes avisos de segurança

• Aviso de segurança da Intel
• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades de amostragem de dados microarquiteturais

Orientações adicionais podem ser encontradas na orientação do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa

Consulte a orientação na orientação do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa

Para obter Azure orientação, consulte este artigo: Orientação para mitigar vulnerabilidades do canal lateral de execução especulativa no Azure.

Para obter mais informações sobre a habilitação de Retpolina, consulte nossa postagem no blog: Mitigando a variante 2 do Spectre com Retpoline no Windows .

Para obter detalhes sobre esta vulnerabilidade, consulte o Guia de Segurança da Microsoft: CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows.

Não temos conhecimento de qualquer instância desta vulnerabilidade de divulgação de informações que afete a nossa infraestrutura de serviços em nuvem.

Assim que tomámos conhecimento deste problema, trabalhámos rapidamente para o resolver e disponibilizar uma atualização. Acreditamos firmemente em parcerias estreitas com pesquisadores e parceiros do setor para tornar os clientes mais seguros, e não publicamos detalhes até terça-feira, 6 de agosto, consistente com práticas coordenadas de divulgação de vulnerabilidade.

Podem ser encontradas orientações adicionais nas orientações do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa.

Podem ser encontradas orientações adicionais nas orientações do Windows para proteção contra vulnerabilidades do canal lateral de execução especulativa.

Pode encontrar orientações adicionais em Documentação de orientação para desativar a capacidade Intel TSX (Extensões de Sincronização Transacional Intel).

Os produtos de terceiros que este artigo aborda são fabricados por empresas que são independentes da Microsoft. Não estabelecemos garantias, implícitas ou de outro tipo, relativamente ao desempenho ou fiabilidade destes produtos.

Fornecemos informações de contacto de terceiros para o ajudar a obter suporte técnico. Estas informações de contacto poderão ser alteradas sem aviso prévio. Não garantimos a exatidão destas informações de contacto de terceiros.