Registo de alterações
| Data | Descrição da alteração |
|---|---|
| 27 de outubro de 2023 | Referências adicionadas à Mitigação B |
| 17 de julho de 2023 | Informações MMIO adicionadas |
Resumo
A Microsoft está ciente das novas variantes da classe de ataque conhecidas como vulnerabilidades do canal lateral de execução especulativa. As variantes são denominadas L1 Terminal Fault (L1TF) e Microarchitectural Data Sampling (MDS). Um invasor que possa explorar com êxito o L1TF ou o MDS poderá ler dados privilegiados além dos limites de confiança.
ATUALIZADO EM 14 de maio de 2019: Em 14 de maio de 2019, a Intel publicou informações sobre uma nova subclasse de vulnerabilidades do canal lateral de execução especulativa conhecida como Microarchitectural Data Sampling. Foram-lhes atribuídas as seguintes CVEs:
- CVE-2018-11091 | Memória não cache de amostragem de dados microarquiteturais (MDSUM)
- CVE-2018-12126 | MSBDS (Microarchitectural Store Buffer Data Sample)
- CVE-2018-12127 | Amostragem de dados de buffer de preenchimento microarquitetônico (MFBDS)
- CVE-2018-12130 | MLPDS (Microarchitectural Load Port Data Sample)
ATUALIZADO A 12 DE NOVEMBRO DE 2019: A 12 de novembro de 2019, a Intel publicou um aviso técnico sobre a vulnerabilidade Abortar Transação Assíncrona das Extensões de Sincronização Transacional Intel® (Intel® TSX) com atribuição CVE-2019-11135. A Microsoft disponibilizou atualizações para ajudar a mitigar esta vulnerabilidade. Tenha em atenção o seguinte:
- Por predefinição, as proteções dos sistemas operativos estão ativadas para algumas edições do SO Windows Server. Consulte o artigo 4072698 da Base de Dados de Conhecimento Microsoft para obter mais informações.
- Por predefinição, as proteções dos sistemas operativos estão ativadas para todas as Edições do SO do Cliente Windows. Consulte o artigo 4073119 da Base de Dados de Conhecimento Microsoft para obter mais informações.
Visão geral da vulnerabilidade
Em ambientes nos quais os recursos são compartilhados, como hosts de virtualização, um invasor que possa executar código arbitrário em uma máquina virtual poderá acessar informações de outra máquina virtual ou do próprio host de virtualização.
As cargas de trabalho do servidor, como Windows Server Serviços de Ambiente de Trabalho Remoto (RDS) e funções mais dedicadas, como controladores de domínio do Active Directory, também estão em risco. Os atacantes que podem executar código arbitrário (independentemente do seu nível de privilégio) poderão aceder a segredos do sistema operativo ou da carga de trabalho, como chaves de encriptação, palavras-passe e outros dados confidenciais.
Os sistemas operativos cliente Windows também estão em risco, especialmente se executarem código não fidedigno, tirarem partido de funcionalidades de Segurança Baseada em Virtualização, como o Windows Defender Credential Guard, ou utilizarem o Hyper-V para executar máquinas virtuais.
Observação: Estas vulnerabilidades afetam apenas os processadores Intel Core e Intel Xeon.
Visão geral da mitigação
Para resolver estes problemas, a Microsoft está a trabalhar em conjunto com a Intel para desenvolver mitigações e orientações de software. Foram lançadas atualizações de software para ajudar a mitigar as vulnerabilidades. Para obter todas as proteções disponíveis, podem ser necessárias atualizações que também podem incluir microcódigo de OEMs de dispositivos.
Este artigo descreve como mitigar as seguintes vulnerabilidades:
- CVE-2018-3620 | Falha de terminal L1 – SO, SMM
- CVE-2018-3646 | Falha de terminal L1 – VMM
- CVE-2018-11091 | Memória não cache de amostragem de dados microarquiteturais (MDSUM)
- CVE-2018-12126 | MSBDS (Microarchitectural Store Buffer Data Sample)
- CVE-2018-12127 | MLPDS (Microarchitectural Load Port Data Sample)
- CVE-2018-12130 | Amostragem de dados de buffer de preenchimento microarquitetônico (MFBDS)
- CVE-2019-11135 | Vulnerabilidade de divulgação de informações do kernel do Windows
- CVE-2022-21123 | Leitura de dados de buffer compartilhado (SBDR)
- CVE-2022-21125 | Amostragem de dados de buffer compartilhado (SBDS)
- CVE-2022-21127 | Atualização de amostragem de dados de buffer de registro especial (atualização SRBDS)
- CVE-2022-21166 | Gravação parcial de registro de dispositivo (DRPW)
Para saber mais sobre as vulnerabilidades, consulte os seguintes avisos de segurança:
L1TF:ADV180018 | Orientações da Microsoft para mitigar a variante L1TF
Vulnerabilidade de divulgação de informações do kernel do Windows:CVE-2019-11135 | Vulnerabilidade de divulgação de informações do kernel do Windows
Determinar as ações necessárias para mitigar a ameaça
As seções a seguir podem ajudá-lo a identificar os sistemas afetados pelas vulnerabilidades L1TF e/ou MDS, além de ajudá-lo a entender e mitigar os riscos.
Potencial impacto no desempenho
Nos testes, a Microsoft detetou algum impacto no desempenho destas mitigações, dependendo da configuração do sistema e das mitigações necessárias.
Alguns clientes podem ter que desativar o hyper-threading (também conhecido como multithreading simultâneo ou SMT) para lidar totalmente com o risco de L1TF e MDS. Lembre-se de que desativar o hyper-threading pode causar degradação do desempenho. Esta situação aplica-se a clientes que utilizem o seguinte:
- Versões do Hyper-V anteriores à Windows Server 2016 ou Windows 10 versão 1607 (Atualização de Aniversário)
- Funcionalidades de segurança baseada em virtualização (VBS), como o Credential Guard e o Device Guard
- Software que permite a execução de código não fidedigno (por exemplo, um servidor de automatização de compilação ou um ambiente de alojamento IIS partilhado)
O impacto pode variar consoante o hardware e as cargas de trabalho em execução no sistema. A configuração mais comum do sistema é ter o hyper-threading ativado. Portanto, o impacto no desempenho é limitado ao usuário ou administrador que está tomando a ação para desabilitar o hyper-threading no sistema.
Observação: Para determinar se o seu sistema está a utilizar funcionalidades de segurança protegidas por VBS, siga estes passos:
No menu Iniciar , escreva MSINFO32.
Observação: A janela Informações do Sistema é aberta.
Na caixa Localizar , escreva segurança.
No painel direito, localize as duas linhas selecionadas na captura de tela e verifique a coluna Valor para ver se a Segurança baseada em virtualização está habilitada e quais serviços de segurança baseados em virtualização estão em execução.
O agendador principal do Hyper-V mitiga os vetores de ataque L1TF e MDS contra máquinas virtuais Hyper-V, permitindo que o hyper-threading permaneça habilitado. O agendador principal está disponível a partir do Windows Server 2016 e Windows 10 versão 1607. Isso proporciona um impacto mínimo no desempenho das máquinas virtuais.
O agendador principal não mitiga os vetores de ataque L1TF ou MDS contra recursos de segurança protegidos por VBS. Para obter mais informações, consulte Mitigation C e o seguinte artigo do Blog sobre virtualização:
Para obter informações detalhadas da Intel sobre o impacto no desempenho, vá para o seguinte site da Intel:
Identificação dos sistemas afetados e das mitigações necessárias
O fluxograma na figura 1 pode ajudá-lo a identificar os sistemas afetados e determinar o conjunto correto de ações.
Importante: Se estiver a utilizar máquinas virtuais, tem de considerar e aplicar o fluxograma aos anfitriões Hyper-V e a cada convidado de VM afetado individualmente, uma vez que as mitigações podem aplicar-se a ambos. Especificamente, para um host Hyper-V, as etapas de fluxograma fornecem proteções entre VMs e dentro do host. No entanto, aplicar essas mitigações apenas ao host Hyper-V não é suficiente para fornecer proteção intra-VM. Para fornecer proteção intra-VM, você deve aplicar o fluxograma a cada VM do Windows. Na maioria dos casos, isto significa certificar-se de que as chaves do registo estão definidas na VM.
Ao navegar pelo fluxograma, você encontrará círculos azuis com letras que mapeiam para uma ação ou uma série de ações necessárias para mitigar vetores de ataque L1TF específicos para as configurações do sistema. Cada ação que encontrar tem de ser aplicada. Quando encontra uma linha verde, esta indica um caminho direto para o fim e não existem passos de mitigação adicionais.
Uma explicação breve de cada mitigação com letras é incluída na legenda à direita. Explicações detalhadas para cada mitigação, que incluem instruções passo a passo de instalação e configuração, são fornecidas na seção "Mitigações".
Mitigações
Importante: A seção a seguir descreve as mitigações que devem ser aplicadas SOMENTE nas condições específicas determinadas pelo fluxograma na Figura 1 na seção anterior. NÃO aplique estas mitigações, a menos que o fluxograma indique que a mitigação específica é necessária.
Além das atualizações de software e microcódigo, alterações manuais de configuração também podem ser necessárias para habilitar determinadas proteções. Recomendamos ainda que os clientes empresariais se registem no mailer de notificações de segurança para receberem alertas sobre alterações de conteúdo. (Consulte Notificações de Segurança Técnica da Microsoft.)
Mitigação A
Obter e aplicar as atualizações mais recentes do Windows
Aplique todas as atualizações disponíveis do sistema operativo Windows, incluindo as atualizações de segurança mensais do Windows. Pode consultar a tabela de produtos afetados no Aviso de Segurança da Microsoft | ADV 180018 para L1TF, Aviso de Segurança | ADV 190013 para MDS, Assessoria de Segurança | ADV220002 para MMIO e vulnerabilidade de segurança | CVE-2019-11135 para a vulnerabilidade de divulgação de informações do kernel do Windows.
Mitigação B
Obter e aplicar as atualizações mais recentes de microcódigo ou firmware
Além de instalar as atualizações de segurança mais recentes do Windows, também pode ser necessária uma atualização de firmware, microcódigo ou processador. Recomendamos que obtenha e aplique a atualização de microcódigo mais recente conforme adequado para o seu dispositivo a partir do OEM do dispositivo. Para obter mais informações sobre atualizações de microcódigo ou firmware, consulte as seguintes referências:
- KB4093836: Resumo do Atualizações Intel Microcode
- Desmistificando o Atualizações de microcódigo para processadores Intel e AMD artigo da comunidade
- Avisos do Centro de Segurança de Produtos Intel
- Segurança do produto AMD
Observação: Se você estiver usando a virtualização aninhada (incluindo a execução de contêineres Hyper-V em uma VM convidada), deverá expor as novas iluminações de microcódigo à VM convidada. Isso pode exigir a atualização da configuração da VM para a versão 8. A versão 8 inclui as iluminações do microcódigo por padrão. Para obter mais informações e os passos necessários, consulte o seguinte artigo Microsoft Docs artigo:
Executar o Hyper-V numa Máquina Virtual com Virtualização Aninhada
Mitigação C
Devo desativar o hyper-threading (HT)?
As vulnerabilidades L1TF e MDS introduzem o risco de que a confidencialidade das máquinas virtuais Hyper-V e os segredos mantidos pelo Microsoft Virtualization Based Security (VBS) possam ser comprometidos pelo uso de um ataque de canal lateral. Quando o Hyper-Threading (HT) está ativado, os limites de segurança fornecidos pelo Hyper-V e VBS são enfraquecidos.
O agendador principal do Hyper-V (disponível a partir do Windows Server 2016 e Windows 10 versão 1607) mitiga os vetores de ataque L1TF e MDS em máquinas virtuais Hyper-V, permitindo que Hyper-Threading permaneçam habilitadas. Isso proporciona um impacto mínimo no desempenho.
O agendador principal do Hyper-V não atenua os vetores de ataque L1TF ou MDS contra recursos de segurança protegidos por VBS. As vulnerabilidades L1TF e MDS introduzem o risco de que a confidencialidade dos segredos do VBS possa ser comprometida através de um ataque de canal lateral quando o Hyper-Threading (HT) está ativado, enfraquecendo o limite de segurança fornecido pelo VBS. Mesmo com esse risco aumentado, o VBS ainda oferece benefícios de segurança valiosos e mitiga uma série de ataques com HT habilitado. Assim, recomendamos que o VBS continue a ser usado em sistemas habilitados para HT. Os clientes que desejam eliminar o risco potencial das vulnerabilidades L1TF e MDS sobre a confidencialidade do VBS devem considerar desativar o HT para mitigar esse risco adicional.
Os clientes que desejam eliminar o risco que as vulnerabilidades L1TF e MDS representam, seja para a confidencialidade de versões do Hyper-V anteriores ao Windows Server 2016 ou para os recursos de segurança VBS, devem ponderar a decisão e considerar a desativação do HT para mitigar o risco. Em geral, esta decisão pode basear-se nas seguintes orientações:
- Para Windows 10 versão 1607, Windows Server 2016 e sistemas mais recentes que não estejam executando o Hyper-V e não estejam usando recursos de segurança protegidos pelo VBS, os clientes não devem desabilitar o HT.
- Para Windows 10 versão 1607, Windows Server 2016 e sistemas mais recentes que executam o Hyper-V com o Agendador Central, mas não estão usando recursos de segurança protegidos por VBS, os clientes não devem desabilitar o HT.
- Para Windows 10 versão 1511, Windows Server 2012 R2 e sistemas anteriores que executam o Hyper-V, os clientes devem considerar a desativação do HT para reduzir o risco.
Os passos necessários para desativar HT diferem de OEM para OEM. No entanto, geralmente fazem parte do BIOS ou das ferramentas de configuração e configuração do firmware.
A Microsoft também introduziu a capacidade de desativar Hyper-Threading tecnologia através de uma configuração de software, se for difícil ou impossível desativar HT em suas ferramentas de configuração e configuração de BIOS ou firmware. A configuração do software para desativar o HT é secundária à configuração do BIOS ou firmware e é desativada por padrão (o que significa que o HT seguirá a configuração do BIOS ou do firmware). Para saber mais sobre esta definição e como desativar a utilização HT, consulte o seguinte artigo:
4072698 Windows Server orientação para proteção contra vulnerabilidades do canal lateral de execução especulativa
Sempre que possível, recomenda-se desativar o HT no seu BIOS ou firmware para a garantia mais forte de que o HT está desativado.
Observação: Desativar o hyperthreading reduzirá os núcleos da CPU. Isto pode afetar as funcionalidades que exigem um mínimo de núcleos de CPU para funcionarem. Por exemplo, Windows Defender Application Guard (WDAG).
Mitigação D
Habilite o agendador de núcleo do Hyper-V e defina a contagem de threads de hardware da VM por núcleo como 2
Observação: Estes passos de mitigação aplicam-se apenas a versões Windows Server 2016 e Windows 10 anteriores à versão 1809. O agendador principal está ativado por padrão no Windows Server 2019 e Windows 10 versão 1809.
O uso do agendador central é um processo de dois estágios que requer que você primeiro habilite o agendador no host Hyper-V e, em seguida, configure cada VM para aproveitá-lo definindo sua contagem de threads de hardware por núcleo como dois (2).
O agendador central do Hyper-V que foi introduzido no Windows Server 2016 e Windows 10 versão 1607 é uma nova alternativa à lógica clássica do agendador. O agendador principal oferece variabilidade de desempenho reduzida para cargas de trabalho dentro de VMs que estão sendo executadas em um host Hyper-V habilitado para HT.
Para obter uma explicação detalhada do agendador principal do Hyper-V e as etapas para habilitá-lo, consulte o seguinte artigo do Windows IT Pro Center:
Compreender e utilizar tipos de agendador do hipervisor Hyper-V
Para habilitar o agendador principal do Hyper-V no Windows Server 2016 ou Windows 10, digite o seguinte comando:
bcdedit /set HypervisorSchedulerType core
Em seguida, decida se deseja configurar a contagem de threads de hardware por núcleo de uma determinada VM para dois (2). Se você expor o fato de que os processadores virtuais são hyper-threaded para uma máquina virtual convidada, você habilita o agendador no sistema operacional VM, e também as cargas de trabalho VM, para usar HT em seu próprio agendamento de trabalho. Para tal, introduza o seguinte comando do PowerShell, em que <VMName> é o nome da máquina virtual:
Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2
Mitigação E
Ativar mitigações para avisos CVE-2017-5715, CVE-2017-5754 e CVE-2019-11135
Observação: Estas mitigações estão ativadas por predefinição nos sistemas operativos cliente Windows Server 2019 e Windows.
Para ativar as mitigações para avisos CVE-2017-5715, CVE-2017-5754 e CVE-2019-11135, utilize as orientações nos seguintes artigos:
Observação: Estas mitigações incluem e ativam automaticamente a mitigação de bits de quadro de página segura para o kernel do Windows e também para as mitigações descritas em CVE-2018-3620. Para obter uma explicação detalhada da mitigação de bits de quadro de página segura, consulte o seguinte artigo do Blog de Pesquisa & Defesa de Segurança:
Análise e mitigação de L1 Terminal Fault (L1TF)
Referências
Orientação para mitigar vulnerabilidades do canal lateral de execução especulativa no Azure
Informações sobre a exclusão de responsabilidade de terceiros
Os produtos de terceiros que este artigo aborda são fabricados por empresas que são independentes da Microsoft. Não estabelecemos garantias, implícitas ou de outro tipo, relativamente ao desempenho ou fiabilidade destes produtos.
Fornecemos informações de contacto de terceiros para o ajudar a obter suporte técnico. Estas informações de contacto poderão ser alteradas sem aviso prévio. Não garantimos a exatidão destas informações de contacto de terceiros.