KB4073225-instrucțiuni SQL Server pentru a proteja împotriva spectrului, căderii de date și a vulnerabilităților micro-arhitecturale de eșantionare

Rezumat

Microsoft cunoaște o nouă clasă publică de vulnerabilități, denumită "atacuri speculative ale canalelor de execuție" care afectează multe procesoare și sisteme de operare moderne. Aceasta include Intel, AMD și ARM. Notă Această problemă afectează și alte sisteme, cum ar fi Android, Chrome, iOS și MacOS. Prin urmare, recomandăm clienților să caute instrucțiuni de la acei furnizori.

Microsoft a lansat mai multe actualizări pentru a ajuta la atenuarea acestor vulnerabilități. De asemenea, am luat măsuri pentru a securiza serviciile noastre în cloud. Pentru mai multe informații, consultați secțiunile următoare.

Microsoft nu a primit nicio informație pentru a indica faptul că aceste vulnerabilități au fost utilizate pentru a ataca clienții în acest moment. Microsoft continuă să colaboreze îndeaproape cu partenerii din industrie, inclusiv factorii de decizie, producătorii OEM hardware și furnizorii de aplicații, pentru a proteja clienții. Pentru a obține toate protecțiile, hardware-ul sau firmware-ul și actualizările software sunt necesare. Aceasta include microcod de la OEM-urile de dispozitiv și, în unele cazuri, actualizări ale software-ului antivirus. Pentru mai multe informații despre vulnerabilități, consultați Microsoft Security consultativ ADV180002. Pentru instrucțiuni generale pentru a atenua această categorie de vulnerabilitate, consultați instrucțiuni pentru atenuarea vulnerabilităților cu canal secundar de execuție speculativă

Microsoft a publicat ADV190013-orientare Microsoft pentru a atenua vulnerabilitățile de eșantionare a datelor microarhitecturale din mai 2019. SQL Server nu are corecții de securitate specifice pentru problema descrisă în ADV190013. Puteți găsi îndrumări pentru mediile afectate de ADV190013 în secțiunea recomandări din acest articol. Vă rugăm să rețineți că această recomandare se aplică doar pentru procesoare Intel.

Cum se obține și se instalează actualizarea

Această actualizare este disponibilă și prin Windows Server Update Services (WSUS) sau pe site-ul webCatalog Microsoft Update.Notă: această actualizare nu va fi descărcată și instalată automat prin Windows Update.

Corecții SQL disponibile

În momentul publicării, următoarele versiuni SQL Server actualizate sunt disponibile pentru descărcare:

Lansare servicii

Acest document va fi actualizat atunci când sunt disponibile compilări suplimentare actualizate.

Note

Am lansat toate actualizările necesare pentru SQL Server pentru a atenua vulnerabilitățile de canal "Spectre" și "topire" ale execuției speculative. Microsoft nu este conștient de nicio expunere suplimentară la "Spectre" și "topire" a vulnerabilităților de canal secundar de execuție speculativă pentru componentele care nu sunt listate în secțiunea "corecții SQL disponibile".
Toate pachetele de servicii SQL Server 2014, SQL Server 2016 și SQL Server 2017 și actualizările cumulative vor conține remedierile. De exemplu, SQL Server 2016 SP2 conține deja remedierile Spectre și topire.
Pentru versiunile Windows, consultați următoarele instrucțiuni pentru cele mai recente informații despre versiunile Windows disponibile:

Orientare Windows Server pentru vulnerabilitățile canal secundar Spectre/topire

Ghidul Windows Server pentru vulnerabilitățile de eșantionare a datelor microarhitecturale

Pentru versiunile Linux, contactați furnizorul Linux pentru a găsi cele mai recente compilări actualizate pentru distribuția Linux specifică.
Pentru a aborda vulnerabilitățile Spectre și topire cât mai curând posibil, livrarea acestor actualizări SQL Server a fost efectuată inițial la centrul de descărcare Microsoft ca model de livrare principală. Deși aceste actualizări vor fi livrate prin Microsoft Update în luna martie, se recomandă ca clienții afectați să instaleze actualizarea acum fără a le aștepta să devină disponibili prin Microsoft Update.

Versiunile SQL Server acceptate care sunt afectate

Microsoft recomandă ca toți clienții să instaleze actualizările SQL Server (listate mai jos), ca parte a ciclului de corecție obișnuit. Clienții care rulează SQL Server într-un mediu securizat în care punctele de extensibilitate sunt blocate și toate codurile de la terți care rulează pe același server sunt de încredere și aprobate trebuie să fie neafectate de această problemă.

Următoarele versiuni de SQL Server au actualizări disponibile atunci când rulează pe sisteme de procesoare x86 și x64:

SQL Server 2008
SQL Server 2008R2
SQL Server 2012
SQL Server 2014
SQL Server 2016
SQL Server 2017

Nu credem că IA64 (Microsoft SQL Server 2008) este afectat. Microsoft analitic Platform Service (APS) se bazează pe Microsoft SQL Server 2014 sau Microsoft SQL Server 2016, dar nu este afectat în mod specific. Câteva instrucțiuni generale pentru APS sunt listate mai jos în acest articol.

Recomandări

Următorul tabel prezintă ce trebuie să facă clienții, în funcție de mediul în care rulează SQL Server și ce funcționalitate se utilizează. Microsoft recomandă să implementați remedieri utilizând procedurile uzuale pentru a testa noile fișiere binare înainte de a le implementa în medii de producție.

Număr scenariu	Descrierea scenariului	Recomandări prioritare
1	Baza de date SQL Azure și depozitul de date	Nu este necesară nicio acțiune (consultați aici detalii).
2	SQL Server se execută pe un computer fizic sau pe o mașină virtuală ȘI niciuna dintre următoarele condiții nu este adevărată: O altă aplicație care execută codul potențial ostil este co-găzduită pe același computer Interfețele de extensibilitate SQL Server se utilizează cu cod de încredere (Vedeți mai jos pentru listă)	Microsoft recomandă să instalați toate actualizările sistemului de operare to pentru a proteja împotriva CVE 2017-5753. Microsoft recomandă să instalați toate actualizările sistemului de operare pentru a proteja împotriva vulnerabilităților de prelevare de date microarhitecturale (CVE-2018-12126, CVE-2018-12130, CVE-2018-12127 și CVE-2018-11091). Este necesar să activați umbrirea de adresă virtuală de nucleu (cvasi) și suportul de atenuare a suportului pentru componenta indirectă a hardware-ului (Pai) (Vedeți mai jos). Corecțiile SQL Server ar trebui să fie instalate ca parte din Politica de corecție normală la următoarea fereastră programată de actualizare. Aveți posibilitatea să continuați să utilizați o suprafiletare pentru o astfel de gazdă.
3	SQL Server se execută pe un computer fizic sau pe o mașină virtuală IAR o altă aplicație care execută codul potențial ostil este co-găzduită pe același computer ȘI/sau interfețele de extensibilitate SQL Server se utilizează cu cod de încredere (Vedeți mai jos pentru listă)	Microsoft recomandă să instalați toate actualizările sistemului de operare pentru a le proteja împotriva CVE 2017-5753. Microsoft recomandă să instalați toate actualizările sistemului de operare pentru a proteja împotriva vulnerabilităților de prelevare de date microarhitecturale (CVE-2018-12126, CVE-2018-12130, CVE-2018-12127 și CVE-2018-11091). Aplicați corecții SQL Server (Vedeți mai jos). Aceasta protejează împotriva CVE 2017-5753. Se recomandă insistent să activați umbrirea adresei virtuale de nucleu (CVASi) (Vedeți mai jos). Aceasta protejează împotriva CVE 2017-5754. Se recomandă insistent să activați suportul hardware de atenuare a predictiilor pentru ramura indirectă (Pai) (Vedeți mai jos). Aceasta protejează împotriva CVE 2017-5715 Vă recomandăm să dezactivați dacă sunt utilizate procesoare Intel pentru a-l dezactiva.
4	SQL Server se execută pe un computer fizic IAR o altă aplicație care execută codul potențial ostil nu este cogăzduită pe același computer ȘI interfețele de extensibilitate SQL Server sunt utilizate pentru a executa codul de încredere. Exemple Ansambluri CLR care au fost revizuite/aprobate pentru utilizare în producție Servere legate în care aveți încredere în execuția interogărilor verificate în care aveți încredere Non-exemple: Scripturi R/Python arbitrare descărcate de pe Internet Untrusted CLR binare de la o terță parte	Microsoft recomandă să instalați toate actualizările sistemului de operare to pentru a proteja împotriva CVE 2017-5753. Microsoft recomandă să instalați toate actualizările sistemului de operare pentru a proteja împotriva vulnerabilităților de prelevare de date microarhitecturale (CVE-2018-12126, CVE-2018-12130, Cve-2018-12127 și CVE-2018-11091). Se recomandă insistent să activați umbrirea adresei virtuale de nucleu (CVASi) (Vedeți mai jos). Aceasta protejează împotriva CVE 2017-5754. Se recomandă insistent să activați suportul hardware de atenuare a predictiilor pentru ramura indirectă (Pai) (Vedeți mai jos). Aceasta protejează împotriva CVE 2017-5715 Vă recomandăm să dezactivați defiletarea unui astfel de mediu dacă se utilizează procesoare Intel. Corecțiile SQL Server ar trebui să fie instalate ca parte din Politica de corecție normală la următoarea fereastră programată de actualizare.
5	SQL Server rulează pe sistemul de operare Linux.	Aplicați actualizările sistemului de operare Linux de la furnizorul de distribuție. Aplicați patch-uri Linux SQL Server (Vedeți mai jos). Aceasta protejează împotriva CVE 2017-5753. Consultați mai jos pentru instrucțiuni despre cum să activați kernel-ul Linux, tabelul de izolație (KPTI) și Pai (CVEs CVE 2017-5754 și CVE 2017-5715). Vă recomandăm să dezactivați defiletarea unui astfel de mediu dacă procesoare Intel sunt utilizate pentru scenariul #3 și #4 menționate mai sus.
6	Sistemul de analiză a platformelor (APS)	Deși APS nu acceptă caracteristicile de extensibilitate din SQL Server listate în acest buletin, se recomandă să instalați corecțiile Windows pe aparatul APS. Nu este necesară activarea CVAS/Pai.

Consultanță pentru performanță

Clienții sunt sfătuiți să evalueze performanța aplicației specifice atunci când aplică actualizări.

Microsoft recomandă tuturor clienților să instaleze versiuni actualizate de SQL Server și Windows. Acest lucru ar trebui să aibă un efect de performanță neglijabil-la-minim pentru aplicațiile existente, pe baza testării Microsoft a încărcărilor de lucru SQL. Cu toate acestea, vă recomandăm să testați toate actualizările înainte de a le implementa într-un mediu de producție.

Microsoft a măsurat efectul de umbrire a adresei virtuale de nucleu (CVASi), indirecționarea tabelelor de nucleu (KPTI) și atenuarea indirectă a predictiilor de ramură (Pai) în diverse încărcări de lucru SQL din medii diferite și a găsit unele încărcări de lucru cu o degradare semnificativă. Vă recomandăm să testați efectul de performanță pentru a activa aceste caracteristici înainte de a le implementa într-un mediu de producție. Dacă efectul de performanță pentru activarea acestor caracteristici este prea mare pentru o aplicație existentă, puteți să luați în considerare dacă izolarea SQL Server de la codul de încredere care rulează pe același computer este o atenuare mai bună pentru aplicația dvs.

Mai multe informații despre efectul de performanță din asistența hardware de atenuare a predicțiilor pentru ramura indirectă (Pai) sunt detaliate aici.

Microsoft va actualiza această secțiune cu mai multe informații atunci când este disponibilă.

Activarea dedirecționarii adresei virtuale de nucleu (CVAS în Windows) și a tabelului kernel Page (KPTI pe Linux)

CVAS și KPTI atenuează împotriva CVE 2017-5754, denumit și "topire" sau "varianta 3" în divulgarea GPZ.

SQL Server este rulat pe mai multe medii: computere fizice, VMs în medii cloud publice și private, pe sistemele Linux și Windows. Indiferent de mediu, programul rulează pe un computer sau VM. Apelați această limităde securitate.

Dacă tot codul din margine are acces la toate datele din acea limită, nu este necesară nicio acțiune. Dacă nu se întâmplă acest lucru, se spune că limita este de mai multe entități găzduite. Vulnerabilitățile găsite fac posibilă orice cod, chiar și cu permisiuni reduse, care se execută în orice proces din acea limită, pentru a citi orice alte date din acea limită. Dacă există un proces în limita care rulează cod de încredere , acesta poate utiliza aceste vulnerabilități pentru a citi date din alte procese. Acest cod care nu este de încredere poate fi cod de încredere utilizând mecanisme de extensibilitate SQL Server sau alte procese din limita care execută cod de încredere.

Pentru a proteja împotriva codului de încredere într-o margine cu mai multe entități găzduite, utilizați una dintre metodele următoare

Eliminați codul de încredere. Pentru mai multe informații despre cum să faceți acest lucru pentru mecanismele de extensibilitate SQL Server, consultați mai jos. Pentru a elimina codul neîncredere din alte aplicații din aceeași margine, sunt necesare, de obicei, modificări specifice aplicațiilor. De exemplu, separarea în două VMs.
Activați CVAS sau KPTI. Acest lucru va avea un efect de performanță. Pentru mai multe informații, așa cum se descrie mai sus în acest articol.

Pentru mai multe informații despre cum să activați CVAS pentru Windows, consultați KB4072698. Pentru mai multe informații despre cum să activați KPTI pe Linux, consultați distribuitorul sistemului de operare.

Un exemplu de scenariu în care este recomandat CVAS sau KPTI

Un computer fizic local care găzduiește SQL Server ca un cont de administrator non-sistem le permite clienților să remită scripturi R arbitrare pentru a trece prin SQL Server (care utilizează procese secundare pentru a executa aceste scripturi în afara sqlservr. exe). Este necesar să activați CVAS și KPTI atât pentru a proteja împotriva divulgării de date în procesul sqlservr. exe, cât și pentru a proteja împotriva divulgării datelor din memoria kernelului sistemului. Notă Un mecanism de extensibilitate din SQL Server nu este considerat automat nesigur, doar pentru că este utilizat. Aceste mecanisme pot fi utilizate în siguranță în SQL Server, atât timp cât fiecare dependență este înțeleasă și de încredere de către client. De asemenea, există și alte produse care sunt construite în partea de sus a SQL, care pot necesita mecanisme de extensibilitate pentru a funcționa corect. De exemplu, o aplicație împachetată care este construită în partea de sus a SQL Server poate necesita un server legat sau o procedură stocată CLR pentru a funcționa corect. Microsoft nu recomandă să eliminați acestea ca parte a atenuării. În schimb, examinați fiecare utilizare pentru a determina dacă acest cod este înțeles și de încredere ca acțiunea inițială. Această orientare este furnizată pentru a-i ajuta pe clienți să afle dacă se află într-o situație în care trebuie să activeze CVAS. Acest lucru se întâmplă deoarece această acțiune are implicații semnificative ale performanței.

Activarea asistenței hardware de atenuare a ramurilor indirecte (Pai)

Pai atenuează împotriva CVE 2017-5715, cunoscut și ca jumătate din Spectre sau "varianta 2" în divulgarea GPZ.

Instrucțiunile din acest articol pentru a activa CVAS pe Windows activează, de asemenea, Pai. Cu toate acestea, Pai, de asemenea, necesită o actualizare de firmware de la producătorul de hardware. În plus față de instrucțiunile din KB4072698 pentru a activa protecția în Windows, clienții trebuie să obțină și să instaleze actualizări de la producătorul său hardware.

Un exemplu de scenariu în care se recomandă cu tărie Pai

Un computer fizic local găzduiește SQL Server alături de o aplicație care permite utilizatorilor neîncrezători să încarce și să execute cod JavaScript arbitrar. Presupunând că există date confidențiale în baza de date SQL, Pai este recomandat ferm ca măsură pentru a proteja împotriva divulgării informațiilor despre proces.

În situațiile în care suportul hardware Pai nu este prezent, Microsoft recomandă separarea proceselor neacreditate și a proceselor de încredere pe computere fizice sau mașini virtuale diferite.

Utilizatori Linux: contactați distribuitorul sistemului de operare pentru informații despre cum să vă protejați împotriva variantei 2 (CVE 2017-5715).

Un exemplu de scenariu în care se recomandă insistent remedierea vulnerabilităților de eșantionare a datelor cu microarhitectură

Luați în considerare un exemplu în care un server local rulează două instanțe de SQL Server care găzduiesc două aplicații de Business diferite pe două mașini virtuale diferite pe aceeași gazdă fizică. Să presupunem că aceste două aplicații de afaceri nu trebuie să poată citi datele stocate în instanțele SQL Server. Un atacator care a exploatat cu succes aceste vulnerabilități poate avea posibilitatea să citească date privilegiate în limitele de încredere, utilizând un cod de încredere care se execută pe computer ca proces separat sau cod de încredere executat utilizând un mecanism de extensibilitate SQL Server (consultați secțiunea de mai jos pentru opțiunile de extensibilitate din SQL Server). În mediile de resurse partajate (cum ar fi există în unele configurații de servicii cloud), aceste vulnerabilități pot permite ca o mașină virtuală să acceseze în mod necorespunzător informații din altă parte. În scenarii de non-navigare pe sisteme independente, un atacator ar avea nevoie de acces anterior la sistem sau de o abilitate de a executa o aplicație special creată în sistemul țintă pentru a valorifica aceste vulnerabilități.

Mecanisme de extensibilitate SQL Server neîncredere

SQL Server conține mai multe caracteristici și mecanisme de extensibilitate. Majoritatea acestor mecanisme sunt dezactivate în mod implicit. Cu toate acestea, recomandăm clienților să revizuiască fiecare instanță de producție pentru utilizarea caracteristicii extensibilitate. Vă recomandăm ca fiecare dintre aceste caracteristici să fie restricționată la setul minim de fișiere binare, iar clienții să restricționeze accesul pentru a împiedica executarea codului arbitrar pe același computer cu SQL Server. Recomandăm clienților să determine dacă să aibă încredere în fiecare binar și să dezactiveze sau să elimine binarele care nu sunt de încredere.

Asamblări SQL CLR
Pachetele r și Python care rulează prin mecanismul scripturi externe sau rulează din studioul de învățare R/mașină independentă de pe același computer fizic ca SQL Server

Puncte de extensibilitate SQL agent care funcționează pe același computer fizic ca SQL Server (scripturi ActiveX)
Furnizorii OLE DB non-Microsoft utilizați în serverele legate
Proceduri stocate non-Microsoft extinse
Elemente COM executate în server (accesate prin sp_OACreate)
Programe executate prin xp_cmdshell

Atenuări de luat dacă utilizați cod de încredere în SQL Server:

Scenariu/caz de utilizare	Atenuări sau pași sugerați
Se execută SQL Server cu CLR activat (sp_configure ' CLR activat ', 1)	Dacă este posibil, dezactivați CLR dacă nu este necesar în aplicația dvs., pentru a reduce riscul ca un cod de încredere să fie încărcat în SQL Server (SQL Server 2017 +) Dacă CLR este încă necesar în aplicația dvs., activați doar anumite asamblări care să fie încărcate utilizând caracteristica "CLR strict Security" (CLR strict Security) utilizând sys.sp_add_trusted_assembly (sys.sp_add_trusted_assembly (Transact-SQL)) Luați în considerare dacă codul CLR poate fi migrat la codul echivalent T-SQL Revizuiți permisiunile de securitate pentru a bloca scenariile în care pot fi utilizate operațiunile bazate pe CLR. Limitarea creării asamblării, ASAMBLĂRIi de acces extern și permisiunii de asamblare nesigure la setul minim de utilizatori sau căi de cod pentru a interzice încărcarea asamblărilor noi într-o aplicație existentă, implementată.
Executarea de scripturi externe Java/R/Python din SQL Server (sp_configure ' scripturi externe activate ', 1)	Dacă este posibil, dezactivați capacitatea scripturi externe dacă nu este necesar în aplicația dvs., pentru a reduce zona de atac. (SQL Server 2017 +) Dacă este posibil, migrați scripturi externe făcând punctaj pentru a utiliza caracteristica de notare nativă în schimb (punctaj nativ utilizând funcția prezicere T-SQL) Revizuiți permisiunile de securitate pentru a bloca scenariile în care se pot utiliza scripturi externe. Limit EXECUTe orice permisiune de SCRIPT extern la setul minim de utilizatori/căi de cod pentru a interzice executarea scripturilor arbitrare.
Utilizarea serverelor legate (sp_addlinkedserver)	Revizuiți furnizorii OLEDB instalați și luați în considerare eliminarea tuturor furnizorilor OLEDB netrustați din mașină. (Asigurați-vă că nu eliminați furnizorii OLEDB dacă sunt utilizați în afara SQL Server pe computer). Un exemplu despre cum să enumerați furnizorii OLEDB existenți este aici: OleDbEnumerator. GetEnumerator method (tip) Examinați și eliminați toate serverele legate nenecesare din SQL Server (sp_dropserver) pentru a reduce posibilitatea ca un cod de încredere să fie executat în procesul sqlservr. exe Revizuiți permisiunile de securitate pentru a bloca ALTERarea permisiunilor de SERVER legate la numărul minim de utilizatori. Revizuirea mapărilor de conectare/acreditări de server legate (sp_addlinkedsvrlogin/sp_droplinkedsvrlogin) pentru a limita persoanele care pot executa operațiuni prin serverele legate la setul minim de utilizatori/scenarii.
Utilizarea procedurilor stocate extinse (sp_addextendedproc)	Deoarece procedurile stocate extinse sunt perimate, eliminați toate utilizările acestora și nu le utilizați în sistemele de producție.
Utilizarea xp_cmdshell pentru a invoca fișiere binare din SQL Server	Această caracteristică este dezactivată în mod implicit. Revizuiți și restricționați toate utilizările xp_cmdshell pentru a invoca binarele care nu sunt de încredere. Puteți să controlați accesul la acest punct final prin sp_configure, după cum este descris aici: Opțiunea de configurare a serverului xp_cmdshell
Utilizarea obiectelor COM prin sp_OACreate	Această caracteristică este dezactivată în mod implicit. Obiectele COM fiind invocate prin sp_OACreate executa codul instalat pe server. Revizuiți aceste apeluri pentru fișiere binare care nu sunt de încredere. Puteți să verificați setările prin intermediul sp_configure, după cum este descris aici: Opțiunea de configurare a serverului pentru procedurile de automatizare Ole