KB4073757: Proteja os dispositivos Windows contra vulnerabilidades do canal lateral de execução especulativa e microarquitetónica baseada em silício

Poderá ter de atualizar tanto o firmware (microcódigo) como o software para resolver estas vulnerabilidades. Consulte os Avisos de Segurança da Microsoft para obter ações recomendadas. Isto inclui atualizações de firmware (microcódigo) aplicáveis de fabricantes do dispositivo e, em alguns casos, atualizações ao seu software antivírus. Recomendamos que mantenha os seus dispositivos atualizados ao instalar as atualizações de segurança mensais.

Para receber todas as proteções disponíveis, siga estes passos para obter as atualizações mais recentes para o software e hardware.

1. Mantenha o seu dispositivo Windows atualizado ativando as atualizações automáticas.

2. Verifique se instalou a atualização de segurança do sistema operativo Windows mais recente da Microsoft. Se as atualizações automáticas estiverem ativadas, as atualizações serão fornecidas automaticamente. No entanto, você ainda deve verificar se eles estão instalados. Para obter instruções, consulte Windows Update: FAQ.

3. Instale as atualizações de firmware (microcódigo) disponíveis do fabricante do dispositivo. Todos os clientes terão de contactar o fabricante do dispositivo para transferir e instalar a atualização de hardware específica do mesmo. Consulte a secção "Recursos adicionais" para obter uma lista de sites de fabricantes de dispositivos.

   Nota

   Os clientes devem instalar as atualizações de segurança de sistema operativo Windows mais recentes disponibilizadas pela Microsoft para tirarem partido das proteções disponíveis. As atualizações do software antivírus devem ser instaladas primeiro. Em seguida, devem ser instaladas as atualizações do firmware e do sistema operativo. Recomendamos que mantenha os seus dispositivos atualizados ao instalar as atualizações de segurança mensais.

Os chips afetados incluem os fabricados pela Intel, AMD e ARM. Isto significa que todos os dispositivos com sistemas operativos Windows estão potencialmente vulneráveis. Isso inclui desktops, laptops, servidores de nuvem e smartphones. Dispositivos com outros sistemas operativos, como Android, Chrome, iOS e macOS, também são afetados. Aconselhamos os clientes que executam estes sistemas operativos a procurar orientação junto dos respetivos fornecedores.

Até ao momento da publicação, não tínhamos recebido quaisquer informações que indicassem que estas vulnerabilidades tinham sido utilizadas atacar os clientes.

A partir de janeiro de 2018, a Microsoft lançou atualizações para os sistemas operativos Windows e para os browsers Internet Explorer e Edge para ajudar a mitigar estas vulnerabilidades e a proteger os clientes. Também lançámos atualizações para proteger os nossos serviços na nuvem.  Continuamos a estreita colaboração com os parceiros da indústria, incluindo fabricantes de chips e OEMs de hardware e fornecedores de aplicações, para proteger os clientes contra esta classe de vulnerabilidade.

Recomendamos que instale sempre as atualizações mensais para manter os seus dispositivos atualizados e seguros.

Atualizaremos esta documentação quando novas mitigações estiverem disponíveis e recomendamos que volte a consultar regularmente esta página.

Atualizações do sistema operativo Windows de julho de 2019

Em 6 de agosto de 2019, a Intel divulgou detalhes sobre a vulnerabilidade de segurança CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows. As atualizações de segurança para esta vulnerabilidade foram lançadas como parte do lançamento da atualização mensal de julho em 9 de julho de 2019.

A Microsoft disponibilizou uma atualização de segurança para o sistema operativo Windows a 9 de julho de 2019 para ajudar a mitigar este problema. Adiámos a documentação pública desta mitigação até à divulgação coordenada do setor na terça-feira, 6 de agosto de 2019.

Os clientes que tenham Windows Update ativado e aplicado as atualizações de segurança disponibilizadas a 9 de julho de 2019 estão protegidos automaticamente. Observe que esta vulnerabilidade não requer uma atualização de microcódigo do fabricante do dispositivo (OEM).

Atualizações do sistema operativo Windows de maio de 2019

Em 14 de maio de 2019, a Intel publicou informações sobre uma nova subclasse de vulnerabilidades do canal lateral de execução especulativa conhecidas como Microarchitectural Data Sampling e recebeu as seguintes CVEs:

• CVE-2018-11091 – "Memória não cacheável de amostragem de dados microarquiteturais (MDSUM)"
• CVE-2018-12126 – "Amostragem de dados de buffer de armazenamento microarquitetônico (MSBDS)"
• CVE-2018-12127 – "Amostragem de dados de buffer de preenchimento microarquitetônico (MFBDS)"
• CVE-2018-12130 – "Amostragem de dados de porta de carga microarquitetônica (MLPDS)"

Para obter mais informações sobre este problema, consulte o seguinte Aviso de Segurança e orientações baseadas em cenários de utilização descritas nos artigos de orientação do Windows para Clientes e Servidores para determinar as ações necessárias para mitigar a ameaça:

• ADV 190013 | Orientação da Microsoft para mitigar vulnerabilidades de amostragem de dados microarquiteturais
• KB 4073119 | Orientação para o Cliente do Windows IT Pro para proteção contra vulnerabilidades do canal lateral de execução especulativa
• KB 4457951 | Windows Server Orientação para proteção contra vulnerabilidades do canal lateral de execução especulativa

A Microsoft lançou proteções contra uma nova subclasse de vulnerabilidades de canal lateral de execução especulativa conhecidas como Microarchitectural Data Sampling para versões de 64 bits (x64) do Windows (CVE-2018-11091,CVE-2018-12126, CVE-2018-12127, CVE-2018-12130).

Utilize as definições do registo conforme descrito nos artigos do Cliente Windows (KB4073119) e Windows Server (KB4457951). Estas definições de registo estão ativadas por predefinição nas edições do SO do Cliente Windows e edições do SO Windows Server.

Recomendamos que instale todas as atualizações mais recentes a partir do Windows Update primeiro, antes de instalar quaisquer atualizações de microcódigo.

Para obter mais informações sobre este problema e ações recomendadas, consulte o seguinte Aviso de Segurança:

• ADV 190013 | Orientação da Microsoft para mitigar vulnerabilidades de amostragem de dados microarquiteturais

A Intel lançou uma atualização de microcódigo para plataformas de CPU recentes para ajudar a mitigar CVE-2018-11091,CVE-2018-12126, CVE-2018-12127, CVE-2018-12130. O 4093836 BDC do Windows de 14 de maio de 2019 lista os artigos específicos da Base de Dados de Conhecimento por versão do SO Windows.  O artigo também contém links para as atualizações de microcódigo Intel disponíveis por CPU. Estas atualizações estão disponíveis através do Catálogo Microsoft.

Nota: Recomendamos que instale todas as atualizações mais recentes a partir do Windows Update antes de instalar quaisquer atualizações de microcódigo.

Temos o prazer de anunciar que a Retpoline está ativada por predefinição em dispositivos Windows 10, versão 1809 (para cliente e servidor) se o Spectre Variant 2 (CVE-2017-5715) estiver ativado. Ao ativar o Retpoline na versão mais recente do Windows 10, através da atualização de 14 de maio de 2019 (KB 4494441), prevemos um desempenho melhorado, especialmente em processadores mais antigos.

Os clientes devem certificar-se de que as proteções anteriores do SO contra a vulnerabilidade Spectre Variant 2 estão ativadas utilizando as definições de registo descritas nos artigos do Cliente Windows e Windows Server. (Estas definições de registo estão ativadas por predefinição nas edições do SO do Cliente Windows, mas desativadas por predefinição nas edições do SO Windows Server). Para obter mais informações sobre "Retpoline", consulte Mitigando a variante 2 do Spectre com Retpoline no Windows.

Atualizações do sistema operativo Windows de novembro de 2018

A Microsoft lançou proteções do sistema operacional para Speculative Store Bypass (CVE-2018-3639) para processadores AMD (CPUs).

A Microsoft lançou proteções adicionais do sistema operacional para clientes que usam processadores ARM de 64 bits. Consulte o fabricante OEM do seu dispositivo para obter suporte de firmware, uma vez que as proteções do sistema operativo ARM64 que mitigam o CVE-2018-3639, Speculative Store Bypass, necessitam da atualização de firmware mais recente do OEM do dispositivo.

Atualizações do sistema operativo Windows de setembro de 2018

Em 11 de setembro de 2018, a Microsoft lançou o Windows Server 2008 SP2 Monthly Rollup 4458010 e Security Only 4457984 para Windows Server 2008 que fornecem proteções contra uma nova vulnerabilidade de canal lateral de execução especulativa conhecida como L1 Terminal Fault (L1TF) que afeta processadores Intel® Core® e processadores Intel® Xeon® (CVE-2018-3620 e CVE-2018-3646).

Esta versão completa as proteções adicionais em todas as versões de sistema Windows suportadas através do Windows Update. Para obter mais informações e uma lista dos produtos afetados, consulte ADV180018 | Orientação da Microsoft para mitigar a variante L1TF.

Nota: Windows Server 2008 SP2 segue agora o modelo padrão de rollup de atualizações de manutenção do Windows. Para obter mais informações sobre essas alterações, consulte nosso blog Windows Server alterações de manutenção do 2008 SP2. Os clientes que executam o Windows Server 2008 devem instalar o 4458010 ou o 4457984 além da Atualização de Segurança 4341832, que foi lançada em 14 de agosto de 2018. Os clientes também devem garantir que as proteções anteriores do SO contra as vulnerabilidades do Spectre Variante 2 e do Meltdown são ativadas utilizando as definições de registo descritas nos artigos da Base de Dados de Conhecimento de orientação do Windows Client e Windows Server. Estas definições de registo estão ativadas por predefinição nas edições do SO do Cliente Windows, mas estão desativadas por predefinição nas edições do SO Windows Server.

A Microsoft lançou proteções adicionais do sistema operacional para clientes que usam processadores ARM de 64 bits. Contacte o fabricante OEM do seu dispositivo para obter suporte de firmware, uma vez que as proteções do sistema operativo ARM64 que mitigam as CVE-2017-5715 - Injeção de destino do ramo (Spectre, Variante 2) exigem a atualização de firmware mais recente dos OEMs dos dispositivos para entrarem em vigor.

Atualizações do sistema operativo Windows de agosto de 2018

Em 14 de agosto de 2018, a L1 Terminal Fault (L1TF) foi anunciada e atribuída várias CVEs. Essas novas vulnerabilidades do canal lateral de execução especulativa podem ser usadas para ler o conteúdo da memória através de um limite confiável e, se exploradas, podem levar à divulgação de informações. Existem vários vetores pelos quais um invasor pode desencadear as vulnerabilidades, dependendo do ambiente configurado. L1TF afeta processadores Intel® Core® e processadores Intel® Xeon®.

Para obter mais informações sobre o L1TF e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para mitigar o L1TF, consulte os seguintes recursos:

• ADV180018 | Orientações da Microsoft para mitigar a variante L1TF
• Consultoria de segurança Blog de pesquisa de segurança
• Orientação para o servidor para falha de terminal L1

Atualizações do sistema operativo Windows de julho de 2018

Temos o prazer de anunciar que a Microsoft concluiu o lançamento de proteções adicionais em todas as versões de sistema Windows suportadas através do Windows Update para as seguintes vulnerabilidades:

• Spectre Variant 2 para processadores AMD
• Speculative Store Bypass para processadores Intel

Em 13 de junho de 2018, uma vulnerabilidade adicional envolvendo a execução especulativa do canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída CVE-2018-3665. Não são necessárias definições de configuração (registo) para o Lazy Restore FP Restore.

Para obter mais informações sobre esta vulnerabilidade, produtos afetados e ações recomendadas, consulte o seguinte Comunicado de Segurança:

• ADV180016 | Orientação da Microsoft para o Restauro Preguiçoso do Estado do FP

Em 12 de junho, a Microsoft anunciou o suporte do Windows para Speculative Store Bypass Disable (SSBD) em processadores Intel. As atualizações requerem firmware (microcódigo) correspondente e atualizações do registo para funcionalidade. Para obter informações sobre as atualizações e os passos a aplicar para ativar o SSBD, consulte a secção "Ações recomendadas" no ADV180012 | Orientação da Microsoft para Desvio de Arquivo Especulativo.

Atualizações do sistema operativo Windows de maio de 2018

Em janeiro de 2018, a Microsoft divulgou informações sobre uma classe recém-descoberta de vulnerabilidades de hardware (conhecidas como Spectre e Meltdown) que envolve canais laterais de execução especulativa que afetam CPUs AMD, ARM e Intel em diferentes graus. Em 21 de maio de 2018, o Google Project Zero (GPZ), a Microsoft e a Intel divulgaram duas novas vulnerabilidades de chip relacionadas aos problemas Spectre e Meltdown conhecidos como Speculative Store Bypass (SSB) e Rogue System Registry Read.

O risco para o cliente de ambas as divulgações é baixo.

Para obter mais informações sobre estas vulnerabilidades, consulte os seguintes recursos:

• Comunicado de Segurança da Microsoft paraSpeculative Store Bypass:MSRC ADV180012 e CVE-2018-3639
• Aviso de Segurança da Microsoft para Registo de Sistema Não Autorizado Leitura: MSRC ADV180013 e CVE-2018-3640
• Security Research and Defense:Analysis and mitigation of speculative store bypass (CVE-2018-3639)

Aplica-se a: Windows 10, versão 1607, Windows Server 2016, Windows Server 2016 (instalação Server Core) e Windows Server, versão 1709 (instalação Server Core)

Fornecemos suporte para controlar a utilização do IBPB (Indirect Branch Prediction Barrier) em alguns processadores AMD (CPUs) para mitigação do CVE-2017-5715, Spectre Variant 2, quando muda de contexto de utilizador para contexto de kernel. (Para obter mais informações, consulte Diretrizes da arquitetura AMD sobre controle de ramificação indireta e AMD Security Atualizações).

Os clientes que estiverem executando Windows 10, versão 1607, Windows Server 2016, Windows Server 2016 (instalação Server Core) e Windows Server, versão 1709 (instalação Server Core) devem instalar a atualização de segurança 4103723 para mitigações adicionais para processadores AMD para CVE-2017-5715, Injeção de destino do ramo. Esta atualização também está disponível através do Windows Update.

Siga as instruções descritas na orientação do KB 4073119 for Windows Client (IT Pro) e no KB 4072698 for Windows Server guidance to enable the IBPB within some AMD processors (CPUs) for mitigating Spectre Variant 2 when you switch from user context to kernel.

A Microsoft vai disponibilizar as atualizações de microcódigo validadas da Intel para o Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection**"**). Para obterem as atualizações mais recentes do microcódigo Intel através do Windows Update, os clientes têm de ter instalado o microcódigo Intel em dispositivos com um sistema operativo Windows 10 antes da instalarem a Atualização de abril de 2018 do Windows 10 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo, se não tiver sido instalada no dispositivo antes da atualização do SO. O microcódigo Intel está disponível através do Windows Update, WSUS ou Catálogo Microsoft Update. Para obter mais informações e instruções de download, consulte KB 4100347.

Disponibilizaremos atualizações adicionais de microcódigo da Intel para o sistema operativo Windows à medida que forem disponibilizadas à Microsoft.

Aplica-se a: Windows 10, versão 1709

Fornecemos suporte para controlar a utilização do IBPB (Indirect Branch Prediction Barrier) em alguns processadores AMD (CPUs) para mitigação do CVE-2017-5715, Spectre Variant 2, quando muda de contexto de utilizador para contexto de kernel. (Para obter mais informações, consulte Diretrizes da arquitetura AMD sobre controle de ramificação indireta e AMD Security Atualizações).

Siga as instruções descritas na documentação de orientação da 4073119 KB para o Cliente Windows (IT Pro) para ativar a utilização do IBPB em alguns processadores AMD (CPUs) para mitigação do Spectre Variant 2 quando muda do contexto de utilizador para o contexto de kernel.

A Microsoft vai disponibilizar as atualizações de microcódigo validadas da Intel para o Spectre Variant 2 (CVE-2017-5715 ("Branch Target Injection"). KB4093836 lista artigos específicos da Base de Dados de Conhecimento por versão do Windows. Cada KB específica contém as atualizações de microcódigo Intel mais recentes disponíveis por CPU.

Disponibilizaremos atualizações adicionais de microcódigo da Intel para o sistema operativo Windows à medida que forem disponibilizadas à Microsoft.

Atualizações do sistema operativo Windows de março de 2018 e posteriores

23 de março, TechNet Security Research & Defense: KVA Shadow: Mitigando o colapso no Windows

14 de março, Security Tech Center: Termos do Programa Bounty do Canal Lateral de Execução Especulativa

13 de março, blog: Atualização de Segurança do Windows de março de 2018 – expandindo nossos esforços para proteger os clientes

1 de março, blogue: Atualização sobre as atualizações de segurança Spectre e Meltdown para dispositivos Windows

A partir de março de 2018, a Microsoft lançou atualizações de segurança para fornecer mitigações para dispositivos com os seguintes sistemas operativos Windows baseados em x86. Os clientes devem instalar as atualizações de segurança mais recentes do sistema operativo Windows para tirarem partido das proteções disponíveis. Estamos a trabalhar no sentido de fornecer proteções para outras versões do Windows suportadas, mas não temos uma data de lançamento agendada de momento. Volte a verificar aqui para ver atualizações. Para obter mais informações, consulte o artigo relacionado da Base de Dados de Conhecimento para obter detalhes técnicos e a seção "FAQ".

A partir de março de 2018, a Microsoft lançou atualizações de segurança para fornecer mitigações para dispositivos com os seguintes sistemas operativos Windows baseados em x64. Os clientes devem instalar as atualizações de segurança mais recentes do sistema operativo Windows para tirarem partido das proteções disponíveis. Estamos a trabalhar no sentido de fornecer proteções para outras versões do Windows suportadas, mas não temos uma data de lançamento agendada de momento. Volte a verificar aqui para ver atualizações. Para mais informações, consulte o artigo relacionado base de dados de conhecimento para obter detalhes técnicos e a secção "FAQ".

Esta atualização elimina uma vulnerabilidade de elevação de privilégio no kernel do Windows na versão de 64 bits (x64) do Windows. Esta vulnerabilidade está documentada em CVE-2018-1038. Os utilizadores têm de aplicar esta atualização para estarem totalmente protegidos contra esta vulnerabilidade se os seus computadores tiverem sido atualizados em ou após janeiro de 2018 através da aplicação de qualquer uma das atualizações listadas no seguinte artigo da Base de Dados de Conhecimento:

Atualização do kernel do Windows para CVE-2018-1038

Esta atualização de segurança elimina várias vulnerabilidades relatadas no Internet Explorer. Para saber mais sobre essas vulnerabilidades, consulte Exposições e vulnerabilidades comuns da Microsoft.

Atualizações de fevereiro de 2018 do sistema operativo Windows

Blogue: O Windows Analytics ajuda agora a avaliar as proteções Spectre e Meltdown

As seguintes atualizações de segurança fornecem proteções adicionais para dispositivos com sistemas operativos Windows de 32 bits (x86). A Microsoft recomenda que os clientes instalem a atualização assim que estiver disponível. Continuamos a trabalhar no sentido de fornecer proteções para outras versões do Windows suportadas, mas não temos uma data de lançamento agendada no momento. Volte a verificar aqui para ver atualizações.

Tenha em atenção Windows 10 as atualizações de segurança mensais são cumulativas ao longo dos meses e serão transferidas e instaladas automaticamente a partir do Windows Update. Se tiver instalado atualizações anteriores, apenas as novas porções serão transferidas e instaladas no seu dispositivo. Para obter mais informações, consulte o artigo relacionado da Base de Dados de Conhecimento para obter detalhes técnicos e a seção "FAQ".

Atualizações do sistema operativo Windows de janeiro de 2018

Blogue: Compreender o Impacto das Mitigações do Spectre e do Meltdown em Sistemas Windows

A partir de janeiro de 2018, a Microsoft lançou atualizações de segurança para fornecer mitigações para dispositivos com os seguintes sistemas operativos Windows baseados em x64. Os clientes devem instalar as atualizações de segurança mais recentes do sistema operativo Windows para tirarem partido das proteções disponíveis. Estamos a trabalhar no sentido de fornecer proteções para outras versões do Windows suportadas, mas não temos uma data de lançamento agendada de momento. Volte a verificar aqui para ver atualizações. Para obter mais informações, consulte o artigo relacionado da Base de Dados de Conhecimento para obter detalhes técnicos e a seção "FAQ".

Em 9 de abril de 2024, publicamos CVE-2022-0001 | Intel Branch History Injection que descreve a Branch History Injection (BHI), que é uma forma específica de BTI intramodo. Esta vulnerabilidade ocorre quando um invasor pode manipular o histórico de ramificações antes de fazer a transição do modo de usuário para o modo supervisor (ou do modo não-root/convidado do VMX para o modo raiz). Essa manipulação pode fazer com que um preditor de ramo indireto selecione uma entrada de preditor específica para um ramo indireto, e um gadget de divulgação no alvo previsto será executado transitoriamente. Isto pode ser possível porque o histórico de sucursais relevante pode conter ramificações realizadas em contextos de segurança anteriores e, em particular, outros modos de predição.

Siga as instruções descritas na orientação do KB4073119 for Windows Client (IT Pro) e KB4072698 for Windows Server guidance to mitigar the vulnerabilities described in CVE-2022-0001 | Injeção no histórico do ramo Intel.

Comunicado de Segurança da Microsoft para Falha de Terminal L1 (L1TF):MSRC ADV180018, CVE-2018-3615, CVE-2018-3620 e CVE-2018-3646

Security Research and Defense:Analysis and mitigation of speculative store bypass (CVE-2018-3639)

Comunicado de Segurança da Microsoft paraSpeculative Store Bypass:MSRC ADV180012 e CVE-2018-3639

Leitura de Aviso de Segurança da Microsoft para Registo de Sistema Não Autorizado | Guia de Atualização de Segurança para o Surface: MSRC ADV180013 e CVE-2018-3640

Security Research and Defense:Analysis and mitigation of speculative store bypass (CVE-2018-3639)

Pesquisa de Segurança TechNet & Defesa:KVA Shadow: Mitigando o colapso no Windows

Security Tech Center:Termos doPrograma Bounty do Canal Lateral de Execução Especulativa

Blogue da Experiência Microsoft:Atualização sobre as atualizações de segurança Spectre e Meltdown para dispositivos Windows

Blogue do Windows para Empresas: o Windows Analytics ajuda agora a avaliar as proteções Spectre e Meltdown

Blogue Microsoft Secure: Compreender o Impacto das Mitigações das Vulnerabilidades Spectre e Meltdown em Sistemas Windows

Blogue de Programadores do Edge: Mitigar ataques do canal de execução especulativa no Microsoft Edge e Internet Explorer

Blogue do Azure: Proteger clientes do Azure de vulnerabilidade para a CPU

Documentação de orientação para o SCCM: Orientação adicional para mitigar as vulnerabilidades do canal de execução especulativa

Avisos da Microsoft:

• ADV180002 | Orientação para mitigar vulnerabilidades do canal lateral de execução especulativa
• ADV180012 | Orientação da Microsoft para Speculative Store Bypass
• ADV180013 | Orientação da Microsoft para Leitura de Registo de Sistema Não Autorizado
• ADV180016 | Orientação da Microsoft para o Restauro Preguiçoso do Estado do FP
• ADV180018 | Orientações da Microsoft para mitigar a variante L1TF

Intel: Aviso de Segurança

ARM: Aviso de Segurança

AMD: Aviso de Segurança

NVIDIA:Aviso de Segurança

Documentação de Orientação para o Consumidor: Proteger o dispositivo contra vulnerabilidades de segurança relacionadas com chips

Documentação de Orientação para o Antivírus: Atualizações de segurança do Windows lançadas a 3 de janeiro de 2018 e software antivírus

Documentação de orientação para o bloco de atualizações de segurança do SO do Windows para AMD: KB4073707: Bloco de atualizações de segurança do sistema operativo Windows para dispositivos baseados em AMD

Atualização para Desativar a Mitigação contra o Spectre, Variante 2: KB4078130: a Intel identificou problemas de reinício com microcódigo em alguns processadores mais antigos

Documentação de Orientação para o Surface: Orientação para o Surface para proteção contra as vulnerabilidades do canal lateral de execução especulativa

Verifique o estado das mitigações do canal lateral de execução especulativa: Noções básicas sobre Get-SpeculationControlSettings saída de script do PowerShell

Documentação de Orientação para Profissionais de TI: Orientação para o Cliente Windows destinada a Profissionais de TI para proteção contra as vulnerabilidades do canal de execução especulativa

Documentação de Orientação para o Server: Orientação para o Windows Server para proteção contra as vulnerabilidades do canal de execução especulativa

Orientação para o servidor para falha de terminal L1: orientação Windows Server para proteger contra falha de terminal L1

Orientação para desenvolvedores:Orientação para desenvolvedores para desvio de armazenamento especulativo

Documentação de Orientação para o Hyper-V Server

• Controlos de Recursos de Máquina Virtual
• Gestão de Recursos de CPU de Anfitrião Hyper-V

BDC do Azure: KB4073235: Proteções do Microsoft Cloud Contra Vulnerabilidades do Canal de Execução Especulativa (em inglês)

Documentação de orientação para o Azure Stack: KB4073418: Orientação para o Azure Stack para proteção contra as vulnerabilidades do canal de execução especulativa

Azure confiabilidade: Portal de Confiabilidade Azure

Documentação de Orientação para o SQL Server: KB4073225: Orientação par ao SQL Server para proteção contra as vulnerabilidades do canal de execução especulativa

Ligações para fabricantes de dispositivos de Servidor e OEM para obter atualizações para proteger contra as vulnerabilidades Spectre e Meltdown

Para ajudar a resolver estas vulnerabilidades, tem de atualizar tanto o hardware como o software. Utilize as seguintes ligações para contactar o fabricante do dispositivo para obter as atualizações de firmware (microcódigo) aplicáveis.

Utilize as seguintes ligações para contactar o fabricante do dispositivo para obter atualizações de firmware (microcódigo). Terá de instalar as atualizações do sistema operativo e do firmware (microcódigo) para todas as proteções disponíveis.

Terá de contactar o fabricante do dispositivo para obter atualizações de firmware (microcódigo). Se o fabricante do dispositivo não estiver listado na tabela, contacte o OEM diretamente.

Atualizações para dispositivos Microsoft Surface estão disponíveis para os clientes através do Windows Update. Para obter uma lista das atualizações disponíveis do firmware (microcódigo) do dispositivo Surface, consulte KB 4073065.

Se o seu dispositivo não for Microsoft, aplique as atualizações de firmware do fabricante do dispositivo. Contacte o fabricante do dispositivopara obter mais informações.

A resolução de uma vulnerabilidade de hardware utilizando uma atualização de software apresenta desafios significativos e as mitigações para sistemas operativos mais antigos podem necessitar de grandes alterações a nível da arquitetura. Continuamos a trabalhar com os fabricantes de chip afetados para investigar a melhor forma de proporcionar mitigações. Isso pode ser fornecido em uma atualização futura. A substituição de dispositivos mais antigos que estejam a executar estes sistemas operativos mais antigos e também a atualização do software antivírus devem resolver o risco restante.

Embora os sistemas baseados em Windows XP sejam produtos afetados, a Microsoft não irá disponibilizar uma atualização para os mesmos uma vez que as profundas alterações arquiteturais que seriam necessárias poriam em causa a estabilidade do sistema e causariam problemas de compatibilidade de aplicações. Recomendamos que os clientes atentos à segurança atualizem para um sistema operativo suportado mais recente para acompanharem o panorama de ameaças de segurança em constante evolução e beneficiarem das proteções mais robustas disponibilizadas pelos sistemas operativos mais recentes.

Atualizações ao Windows 10 para o HoloLens estão disponíveis para os clientes do HoloLens através do Windows Update.

Após a aplicação da Atualização de Segurança do Windows de fevereiro de 2018, os clientes do HoloLens não têm de efetuar qualquer ação adicional para atualizar o firmware do dispositivo. Estas mitigações também serão incluídas em todas as versões futuras do Windows 10 para o HoloLens.

Contacte o seu OEM para obter mais informações.

Para que o seu dispositivo fique totalmente protegido, deve instalar as atualizações de segurança mais recentes do sistema operativo Windows para o seu dispositivo e as atualizações de firmware (microcódigo) aplicáveis do fabricante do dispositivo. Estas atualizações devem estar disponíveis no site do fabricante do dispositivo. As atualizações do software antivírus devem ser instaladas primeiro. As atualizações do sistema operativo e do firmware podem ser instaladas por qualquer ordem.

Terá de atualizar tanto o hardware como o software para corrigir esta vulnerabilidade. Também terá de instalar as atualizações de firmware (microcódigo) aplicáveis do fabricante do dispositivo para obter proteção mais abrangente. Recomendamos que mantenha os seus dispositivos atualizados ao instalar as atualizações de segurança mensais.

Em cada atualização de funcionalidades do Windows 10, incorporamos a tecnologia de segurança mais recente no sistema operativo e fornecemos funcionalidades de proteção em profundidade que impedem que classes inteiras de malware afetem o seu dispositivo. As versões de atualização de funcionalidades são lançadas, por norma, duas vezes por ano. Em cada atualização de qualidade mensal, adicionamos outra camada de segurança que controla tendências emergentes no malware e mudanças para tornar os sistemas atualizados mais seguros no caso de desenvolvimentos em termos de ameaças.

A Microsoft levantou a verificação de compatibilidade AV para atualizações de segurança do Windows para versões suportadas de dispositivos Windows 10, Windows 8.1 e Windows 7 SP1 através de Windows Update. 

Recomendações:

• Certifique-se de que os dispositivos estão atualizados ao ter as atualizações de segurança mais recentes da Microsoft e do fabricante do hardware. Para obter mais informações sobre como manter o seu dispositivo atualizado, consulte Windows Update: FAQ.
• Continue a tomar precauções razoáveis quando visitar sites de origem desconhecida e não permaneça nos sites em que não confia. A Microsoft recomenda que todos os clientes protejam os seus dispositivos com a execução de um programa antivírus suportado. Os clientes também podem tirar partido da proteção antivírus incorporada: o Windows Defender para dispositivos Windows 10 ou o Microsoft Security Essentials para dispositivos Windows 7. Estas soluções são compatíveis caso os clientes não possam instalar ou executar o software antivírus.

Para evitar afetar negativamente os dispositivos dos clientes, as atualizações de segurança do Windows lançadas em janeiro ou fevereiro não foram disponibilizadas a todos os clientes. Para obter detalhes, consulte o artigo da Base de Dados de Conhecimento Microsoft 4072699.

A Intel comunicou problemas que afetam o microcódigo recentemente lançado que se destina a resolver o Spectre Variant 2 (CVE-2017-5715 – "Branch Target Injection"). Especificamente, a Intel observou que esse microcódigo pode causar "reinicializações mais altas do que o esperado e outros comportamentos imprevisíveis do sistema" e também que situações como essa podem causar "perda ou corrupção de dados".  A nossa própria experiência é que a instabilidade do sistema pode, em algumas circunstâncias, causar perda ou corrupção de dados. Em 22 de janeiro, a Intel recomendou que os clientes parassem de implantar a versão atual do microcódigo nos processadores afetados enquanto realizavam testes adicionais na solução atualizada. Sabemos que a Intel continua a investigar o impacto potencial da versão atual do microcódigo e incentivamos os clientes a rever continuamente a documentação de orientação para tomarem decisões informadas.

Enquanto a Intel testa, atualiza e implanta o novo microcódigo, estamos disponibilizando uma atualização fora de banda (OOB), KB 4078130, que desabilita especificamente apenas a mitigação contra CVE-2017-5715 – "Branch Target Injection". Nos nossos testes, esta atualização impede o comportamento descrito. Para obter uma lista completa de dispositivos, consulte a Documentação de orientação para a revisão do microcódigo da Intel. Esta atualização destina-se ao Windows 7 (SP1), ao Windows 8.1 e a todas as versões do Windows 10 para cliente e servidor. Se está a utilizar um dispositivo afetado, esta atualização pode ser aplicada ao descarregá-la a partir do site do Catálogo Microsoft Update. A aplicação desta payload desativa especificamente apenas a mitigação contra CVE-2017-5715 – "Branch Target Injection".

A partir de 25 de janeiro, não existem relatórios conhecidos a indicar que este Spectre Variant 2 (CVE-2017-5715) foi utilizado para atacar clientes. Sempre que apropriado, recomendamos que os clientes do Windows reativem a mitigação contra o CVE-2017-5715 quando a Intel reportar ter resolvido este comportamento de sistema imprevisível para o seu dispositivo.

Não. As atualizações Apenas de Segurança não são cumulativas. Consoante a versão do sistema operativo que está a executar, tem de instalar todas as actualizações Apenas de Segurança disponibilizadas para estar protegido contra estas vulnerabilidades. Por exemplo, se estiver a executar o Windows 7 para sistemas de 32 bits numa CPU Intel afetada, terá de instalar todas as atualizações Apenas de Segurança a partir de janeiro de 2018. Recomendamos a instalação destas atualizações Apenas de Segurança pela ordem de lançamento.
 
Observação Uma versão anterior destas FAQ indicava incorretamente que a atualização Apenas de Segurança de fevereiro incluía as correções de segurança lançadas em janeiro. Na verdade, não.

Não. A atualização de segurança 4078130 foi uma correção específica para evitar comportamentos imprevisíveis do sistema, problemas de desempenho e reinícios inesperados após a instalação do microcódigo. A aplicação das atualizações de segurança de fevereiro nos sistemas operativos cliente Windows permite as três mitigações. Nos sistemas operativos Windows Server, ainda tem de ativar as mitigações após a execução dos testes adequados. Consulte o artigo da Base de Dados de Conhecimento Microsoft 4072698 para obter mais informações.

A AMD anunciou recentemente que começou a lançar microcódigo para plataformas de CPU mais recentes em torno do Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Para obter mais informações, consulte o Atualizações de Segurança da AMD e o Whitepaper da AMD: Diretrizes de arquitetura em torno do controle de filial indireto. Estes estão disponíveis a partir do canal de firmware OEM.

A Intel anunciou recentemente ter concluído as validações e iniciado a disponibilização de microcódigo para plataformas de CPU mais recentes. A Microsoft vai disponibilizar as atualizações de microcódigo validadas da Intel para o Spectre Variant 2 (CVE-2017-5715 ("Branch Target Injection"). O 4093836 da Base de Dados de Conhecimento lista os artigos específicos da Base de Dados de Conhecimento por versão do Windows. Cada artigo específico da KB contém as atualizações de microcódigo da Intel disponíveis por CPU.

A Microsoft vai disponibilizar as atualizações de microcódigo validadas da Intel para o Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection**"**). Para obterem as atualizações mais recentes do microcódigo Intel através do Windows Update, os clientes têm de ter instalado o microcódigo Intel em dispositivos com um sistema operativo Windows 10 antes da instalarem a Atualização de abril de 2018 do Windows 10 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo de Atualizações, caso não tenha sido instalada no dispositivo antes da atualização do sistema. O microcódigo Intel está disponível através do Windows Update, WSUS ou Catálogo Microsoft Update. Para obter mais informações e instruções de download, consulte KB 4100347.

Para mais informações, consulte os seguintes recursos:

• ADV180012 | Orientações da Microsoft para o Speculative Store Bypass para CVE-2018-3639
• ADV180013 | Documentação de Orientação da Microsoft para Leitura de Registo de Sistema Não Autorizado para CVE-2018-3640 e 4073065 KB | Orientações para clientes do Surface
• Blogue de Defesa e Investigação sobre Segurança da Microsoft
• Orientação para Programadores para Speculative Store Bypass

Para obter detalhes, consulte as seções "Ações recomendadas" e "FAQ" no ADV180012 | Orientação da Microsoft para Desvio de Arquivo Especulativo.

Para verificar o estado do SSBD, o script do Get-SpeculationControlSettings PowerShell foi atualizado para detetar os processadores afetados, o estado das atualizações do sistema operativo SSBD e o estado do microcódigo do processador, se aplicável. Para obter mais informações e obter o script do PowerShell, consulte KB4074629.

Em 13 de junho de 2018, uma vulnerabilidade adicional envolvendo a execução especulativa do canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída CVE-2018-3665. Não são necessárias definições de configuração (registo) para o Lazy Restore FP Restore.

Para obter mais informações sobre esta vulnerabilidade e ações recomendadas, consulte o Comunicado de Segurança: ADV180016 | Orientação da Microsoft para o Restauro Preguiçoso do Estado do FP

Observação Não são necessárias definições de configuração (registo) para o Lazy Restore FP Restore.

O Bounds Check Bypass Store (BCBS) foi divulgado a 10 de julho de 2018 e recebeu o CVE-2018-3693. Consideramos que o BCBS pertence à mesma classe de vulnerabilidades que o Bounds Check Bypass (Variante 1). Atualmente, não temos conhecimento de nenhuma instância de BCBS em nosso software, mas continuamos a pesquisar essa classe de vulnerabilidade e trabalharemos com parceiros do setor para lançar mitigações conforme necessário. Continuamos a incentivar os investigadores a submeter quaisquer conclusões relevantes ao programa de recompensas do Canal Paralelo de Execução Especulativa da Microsoft, incluindo quaisquer instâncias exploráveis do BCBS. Os programadores de software devem rever a orientação para programadores que foi atualizada para o BCBS em https://aka.ms/sescdevguide.

Em 14 de agosto de 2018, a L1 Terminal Fault (L1TF) foi anunciada e atribuída várias CVEs. Essas novas vulnerabilidades do canal lateral de execução especulativa podem ser usadas para ler o conteúdo da memória através de um limite confiável e, se exploradas, podem levar à divulgação de informações. Existem vários vetores pelos quais um invasor pode desencadear as vulnerabilidades, dependendo do ambiente configurado. L1TF afeta processadores Intel® Core® e processadores Intel® Xeon®.

Para obter mais informações sobre esta vulnerabilidade e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para mitigar o L1TF, consulte os seguintes recursos:

• ADV180018 | Orientações da Microsoft para mitigar a variante L1TF
• Consultoria de segurança Blog de pesquisa de segurança
• Orientação para o servidor para falha de terminal L1

Clientes do Microsoft Surface: Os clientes que utilizam produtos Microsoft Surface e Surface Book têm de seguir as orientações para o Cliente Windows descritas no Aviso de Segurança: ADV180018 | Orientação da Microsoft para mitigar a variante L1TF. Consulte também o Artigo 4073065 da Base de Dados de Conhecimento Microsoft para obter mais informações sobre os produtos Surface afetados e a disponibilidade das atualizações de microcódigo.

Clientes Microsoft Hololens: Microsoft HoloLens não é afetado pelo L1TF porque não utiliza um processador Intel afetado.

Os passos necessários para desativar Hyper-Threading serão diferentes de OEM para OEM, mas geralmente fazem parte do BIOS ou das ferramentas de configuração e configuração do firmware.

Os clientes que utilizam processadores ARM de 64 bits devem contactar o OEM do dispositivo para obter suporte de firmware, uma vez que as proteções do sistema operativo ARM64 que mitigam o CVE-2017-5715 - Branch target injection (Spectre, Variant 2) exigem a atualização de firmware mais recente dos OEMs dos dispositivos para entrarem em vigor.

Para obter detalhes sobre esta vulnerabilidade, consulte o Guia de Segurança da Microsoft: CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows.

Não temos conhecimento de qualquer instância desta vulnerabilidade de divulgação de informações que afete a nossa infraestrutura de serviços em nuvem.

Assim que tomámos conhecimento deste problema, trabalhámos rapidamente para o resolver e disponibilizar uma atualização. Acreditamos firmemente em parcerias estreitas com pesquisadores e parceiros do setor para tornar os clientes mais seguros, e não publicamos detalhes até terça-feira, 6 de agosto, consistente com práticas coordenadas de divulgação de vulnerabilidade.

A Microsoft fornece informações de contacto de terceiros para o ajudar a encontrar informações adicionais sobre este tópico. Estas informações de contacto poderão ser alteradas sem aviso prévio. A Microsoft não garante a exatidão de informações de contacto de terceiros.