KB4073119: Îndrumări referitoare la clientul Windows pentru profesioniști IT, pentru a vă proteja împotriva vulnerabilităților de canal lateral microarhitecturale și speculative bazate pe siliciu

Pe 14 mai 2019, Intel a publicat informații despre o nouă subclasă de vulnerabilități de canal lateral cu execuție speculativă, denumite eșantionare microarhitecturală a datelor. Aceste vulnerabilități sunt tratate în următoarele CVE-uri:

• CVE-2019-11091 | Eșantionare microarhitecturală a datelor în memorie nememorabilă în cache (MDSUM)
• CVE-2018-12126 | Eșantionarea microarhitecturală a datelor tampon de stocare (MSBDS)
• CVE-2018-12127 | Eșantionarea microarhitecturală a datelor tampon de umplere (MFBDS)
• CVE-2018-12130 | Eșantionarea microarhitecturală a datelor pentru portul de încărcare (MLPDS)

Am lansat actualizări pentru a ajuta la atenuarea acestor vulnerabilități. Pentru a beneficia de toate protecțiile disponibile, sunt necesare actualizări de firmware (microcod) și software. Acestea pot include microcodul de la producătorii OEM de dispozitive. În unele cazuri, instalarea acestor actualizări va avea un impact asupra performanței. De asemenea, am luat măsuri pentru a ne securiza serviciile cloud. Vă recomandăm ferm să implementați aceste actualizări.

Pentru mai multe informații despre această problemă, consultați următorul sfat de securitate și utilizați instrucțiunile bazate pe scenarii pentru a determina acțiunile necesare pentru a atenua amenințarea:

• ADV190013 | Îndrumări Microsoft pentru atenuarea vulnerabilităților de eșantionare microarhitecturală a datelor
• Îndrumări Windows, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Pe 6 august 2019, Intel a lansat detalii despre o vulnerabilitate de divulgare a informațiilor din nucleul Windows. Această vulnerabilitate este o variantă a vulnerabilității de canal speculativă cu execuție speculativă Spectre varianta 1 și i s-a atribuit CVE-2019-1125.

Pe 9 iulie 2019 am lansat actualizări de securitate pentru sistemul de operare Windows, pentru a ajuta la atenuarea acestei probleme. Rețineți că ne-am abținut să documentăm public această atenuare până la dezvăluirea coordonată a industriei de marți, 6 august 2019.

Clienții care au Windows Update activat și au aplicat actualizările de securitate lansate pe 9 iulie 2019 sunt protejați automat. Nu mai este necesară nicio configurare suplimentară.

Pentru mai multe informații despre această vulnerabilitate și despre actualizările aplicabile, consultați Ghidul actualizărilor de securitate Microsoft:

• CVE-2019-1125 | Vulnerabilitate privind dezvăluirea de informații din kernelul Windows

Pe 12 noiembrie 2019, Intel a publicat o recomandare tehnică legată de vulnerabilitatea de abandonare asincronă a tranzacțiilor din extensiile de sincronizare a tranzacțiilor Intel (Intel TSX), care este atribuită CVE-2019-11135. Am lansat actualizări pentru a ajuta la atenuarea acestei vulnerabilități. În mod implicit, protecțiile sistemului de operare sunt activate pentru edițiile sistemului de operare de Client Windows.

Pe 14 iunie 2022, am publicat ADV220002 | Îndrumări Microsoft privind vulnerabilitățile datelor neactualizate ale procesorului Intel MMIO. Aceste vulnerabilități sunt atribuite în următoarele CVE-uri:

• CVE-2022-21123 | Citire date tampon partajate (SBDR)
• CVE-2022-21125 | Eșantionarea datelor din tamponul partajat (SBDS)
• CVE-2022-21127 | Special Register Buffer Data Sampling Update (Actualizare SRBDS)
• CVE-2022-21166 | Scriere parțială registru dispozitive (DRPW)

Acțiuni recomandate

Ar trebui să efectuați următoarele acțiuni pentru a contribui la protejarea împotriva acestor vulnerabilități:

1. Aplicați toate actualizările disponibile ale sistemului de operare Windows, inclusiv actualizările de securitate Windows lunare.
2. Aplicați actualizarea de firmware (microcod) aplicabilă furnizată de producătorul dispozitivului.
3. Evaluarea riscului pentru mediul dvs. pe baza informațiilor furnizate în Sfaturile Microsoft de securitate ADV180002, ADV180012, ADV190013 și ADV220002, pe lângă informațiile furnizate în acest articol.
4. Acționați după cum este necesar, utilizând recomandările și informațiile despre cheia de registry furnizate în acest articol.

Pe 12 iulie 2022, am publicat CVE-2022-23825 | Confuzie de tip de ramură CPU AMD , care descrie faptul că aliasurile din predictorul de ramură pot determina anumite procesoare AMD să preconizeze tipul greșit de ramură. Această problemă poate duce la dezvăluirea de informații.

Pentru a contribui la protejarea împotriva acestei vulnerabilități, vă recomandăm să instalați actualizările Windows care sunt datate în iulie 2022 sau după această dată, apoi să acționați după cum este necesar în CVE-2022-23825 și informațiile privind cheia de registry furnizate în acest articol din baza de cunoștințe.

Pentru mai multe informații, consultați buletinul de securitate AMD-SB-1037 .

Pe 8 august 2023 am publicat CVE-2023-20569 | AMD CPU Return Address Predictor (cunoscut și sub numele de Inception), care descrie un nou atac speculativ de canal lateral care poate duce la execuție speculativă la o adresă controlată de atacator. Această problemă afectează anumite procesoare AMD și poate duce la dezvăluirea de informații.

Pentru a contribui la protejarea împotriva acestei vulnerabilități, vă recomandăm să instalați actualizările Windows datate la sau după august 2023, apoi să acționați după cum este necesar în CVE-2023-20569 și informațiile privind cheia de registry furnizate în acest articol din baza de cunoștințe.

Pentru mai multe informații, consultați buletinul de securitate AMD-SB-7005 .

Pe 9 aprilie 2024 am publicat CVE-2022-0001 | Intel Branch History Injection , care descrie Branch History Injection (BHI), care este o formă specifică de BTI intra-mod. Această vulnerabilitate apare atunci când un atacator poate manipula istoricul ramurii înainte de a trece de la modul de utilizator la modul supervizor (sau de la modul VMX non-root/invitat la modul root). Această manipulare poate determina un predictor de ramură indirect să selecteze o anumită intrare de predictor pentru o ramură indirectă și un gadget de dezvăluire de la ținta prezisă se va executa temporar. Acest lucru poate fi posibil deoarece istoricul ramurii relevant poate conține ramuri luate în contexte de securitate anterioare și, în special, alte moduri de predicție.

În mod implicit, protecția utilizator-la-nucleu pentru CVE-2017-5715 este dezactivată pentru procesoarele AMD și ARM. Trebuie să activați atenuarea pentru a primi protecții suplimentare pentru CVE-2017-5715. Pentru mai multe informații, consultați Întrebările frecvente #15 din ADV180002 pentru procesoarele AMD și Întrebările frecvente #20 din ADV180002 pentru procesoarele ARM.

În mod implicit, protecția utilizator-la-nucleu pentru CVE-2017-5715 este dezactivată pentru procesoarele AMD. Clienții trebuie să activeze atenuarea pentru a primi protecții suplimentare pentru CVE-2017-5715.  Pentru mai multe informații, consultați Întrebările #15 din ADV180002.

Pentru a activa atenuarea pentru CVE-2022-23825 pe procesoarele AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Pentru a fi complet protejați, clienții pot trebui, de asemenea, să dezactiveze Hyper-Threading (numită și Multi Threading simultan (SMT)). Consultați KB4073757 pentru instrucțiuni despre protejarea dispozitivelor Windows.

Pentru a activa atenuarea pentru CVE-2023-20569 pe procesoarele AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Pentru a activa atenuarea pentru CVE-2022-0001 pe procesoarele Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Pentru o explicație detaliată a rezultatului scriptului PowerShell, consultați KB4074629.

Microcodul este livrat printr-o actualizare de firmware. Ar trebui să consultați producătorii procesorului (chipsetului) și dispozitivelor disponibilitatea actualizărilor de securitate firmware aplicabile pentru dispozitivul lor specific, inclusiv Instrucțiunile de revizie a microcodului Intel.

Tratarea unei vulnerabilități hardware printr-o actualizare software prezintă provocări semnificative. De asemenea, atenuările pentru sistemele de operare mai vechi necesită modificări extinse de arhitectură. Lucrăm cu producătorii cipurilor afectate pentru a determina cea mai bună modalitate de a oferi remedierile, care pot fi oferite în actualizările viitoare.

Actualizările pentru dispozitivele Microsoft Surface vor fi livrate clienților prin Windows Update împreună cu actualizările pentru sistemul de operare Windows. Pentru o listă de actualizări de firmware de dispozitiv Surface (microcod) disponibile, consultați KB4073065.

Dacă dispozitivul dvs. nu provine de la Microsoft, aplicați firmware-ul de la producătorul dispozitivului. Pentru mai multe informații, contactați producătorul dispozitivului OEM.

În februarie și martie 2018, Microsoft a lansat o protecție suplimentară pentru unele sisteme bazate pe x86. Pentru mai multe informații, consultați KB4073757 și Sfatul Microsoft de securitate ADV180002.

Actualizările la Windows 10 pentru HoloLens sunt disponibile clienților HoloLens prin Windows Update.

După aplicarea actualizării de Securitate Windows din februarie 2018, clienții HoloLens nu trebuie să efectueze nicio acțiune suplimentară pentru a-și actualiza firmware-ul dispozitivului. Aceste atenuări vor fi incluse, de asemenea, în toate versiunile viitoare de Windows 10 pentru HoloLens.

Nu. Actualizările doar de securitate nu sunt cumulative. În funcție de versiunea sistemului de operare pe care o rulați, va trebui să instalați lunar actualizări doar de securitate, pentru a fi protejat împotriva acestor vulnerabilități. De exemplu, dacă rulați Windows 7 pentru sisteme pe 32 de biți pe un procesor Intel afectat, trebuie să instalați toate actualizările doar de securitate. Vă recomandăm să instalați aceste actualizări doar de securitate în ordinea lansării.

Notă O versiune anterioară a acestor Întrebări frecvente a afirmat în mod incorect că actualizarea numai pentru securitate din februarie a inclus remedierile de securitate lansate în ianuarie. De fapt, nu este așa.

Nu. Actualizarea de securitate 4078130 a fost o remediere specifică pentru a preveni comportamentele de sistem imprevizibile, problemele de performanță și/sau repornirile neașteptate după instalarea microcodului. Aplicarea actualizărilor de securitate din februarie pe sistemele de operare client Windows permite toate cele trei atenuări.

Intel a anunțat recent că a finalizat validările și a început lansarea de microcod pentru platformele CPU mai noi. Microsoft face disponibile actualizări de microcod Intel validate în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură"). KB4093836 listează anumite articole din baza de cunoștințe în funcție de versiunea de Windows. Fiecare articol KB individual conține actualizările disponibile pentru microcodul Intel în funcție de CPU.

Această problemă a fost rezolvată în KB4093118.

AMD a anunțat recent că a început să lanseze microcod pentru platformele CPU mai noi în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură"). Pentru mai multe informații, consultați Actualizările de securitate AMD și cartea albă AMD: Instrucțiuni de arhitectură pentru controlul indirect al ramurii. Acestea sunt disponibile din canalul de firmware OEM.

Facem disponibile actualizări de microcod Intel validate în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură"). Pentru a obține cele mai recente actualizări de microcod Intel prin Windows Update, clienții trebuie să aibă instalat microcodul Intel pe dispozitivele care rulează un sistem de operare Windows 10 înainte de a face upgrade la Actualizarea din aprilie 2018 a Windows 10 (versiunea 1803).

Actualizarea de microcod mai este disponibilă și direct din Catalog dacă nu a fost instalată pe dispozitiv înainte de upgrade-ul sistemului de operare. Microcodul Intel este disponibil prin Windows Update, WSUS sau Catalogul Microsoft Update. Pentru mai multe informații și instrucțiuni de descărcare, consultați KB4100347.

Pentru mai multe informații, consultați următoarele resurse:

• ADV180012 | Instrucțiuni Microsoft pentru ocolirea Store speculativă pentru CVE-2018-3639
• ADV180013 | Îndrumări Microsoft pentru sisteme frauduloase Citiți înregistrarea pentru CVE-2018-3640 și KB4073065
• Blogul Microsoft Security Research and Defense
• Îndrumări pentru dezvoltatori pentru ocolirea Store speculativă

Pentru detalii, consultați secțiunile "Acțiuni recomandate" și "Întrebări frecvente" din ADV180012 | Îndrumări Microsoft pentru ocolirea Store speculativă.

Pentru a verifica starea SSBD, scriptul Get-SpeculationControlSettings PowerShell a fost actualizat pentru a detecta procesoarele afectate, starea actualizărilor sistemului de operare SSBD și starea microcodului procesorului, dacă este cazul. Pentru mai multe informații și pentru a obține scriptul PowerShell, consultați KB4074629.

Pe 13 iunie 2018, a fost anunțată o vulnerabilitate suplimentară care implică execuția speculativă pe partea de canal, cunoscută drept Lazy FP State Restore, cu CVE-2018-3665. Nu sunt necesare setări de configurare (registry) pentru Lazy Restore FP Restore.

Pentru mai multe informații despre această vulnerabilitate și pentru acțiuni recomandate, consultați sfatul de securitate ADV180016 | Îndrumări Microsoft pentru restaurarea stării Lazy FP.

Magazinul de ocolire a verificării limitelor (BCBS) a fost dezvăluit pe 10 iulie 2018 și a atribuit CVE-2018-3693. Considerăm că BCBS aparține aceleiași clase de vulnerabilități ca Ocolire verificare limită (varianta 1). În prezent nu avem cunoștință de niciun caz de BCBS în software-ul nostru, dar continuăm să cercetăm această clasă de vulnerabilitate și vom colabora cu partenerii din industrie pentru a lansa atenuări, după cum este necesar. Continuăm să încurajăm cercetătorii să remită orice constatări relevante la programul de recompense pentru canalul speculativ de execuție secundar al Microsoft, inclusiv orice instanțe exploatabile ale BCBS. Dezvoltatorii de software ar trebui să consulte instrucțiunile pentru dezvoltatori care au fost actualizate pentru CBCB la https://aka.ms/sescdevguide.

Pe 14 august 2018, a fost anunțată eroarea terminală L1 (L1TF) și au fost atribuite mai multe CVE-uri. Aceste noi vulnerabilități de canal lateral cu execuție speculativă pot fi utilizate pentru a citi conținutul memoriei dincolo de o limită de încredere și, dacă sunt exploatate, pot duce la dezvăluirea de informații. Un atacator ar putea declanșa vulnerabilitățile prin mai mulți vectori, în funcție de mediul configurat. L1TF afectează procesoarele Intel® Core® și Intel® Xeon®.

Pentru mai multe informații despre această vulnerabilitate și o vizualizare detaliată a scenariilor afectate, inclusiv abordarea Microsoft privind atenuarea L1TF, consultați următoarele resurse:

• ADV180018 | Îndrumări Microsoft pentru atenuarea variantei L1TF
• Sfat de securitate Blog de cercetare de securitate
• Îndrumări server pentru defecțiunea terminalului L1

Clienții care utilizează procesoare ARM pe 64 de biți ar trebui să consulte producătorul OEM al dispozitivului pentru asistență firmware, deoarece protecțiile sistemului de operare ARM64 atenuează CVE-2017-5715 | Injectarea țintă pentru ramură (Spectre, varianta 2) necesită cea mai recentă actualizare de firmware de la producătorii OEM de dispozitive pentru a avea efect.

Pentru mai multe informații, consultați următoarele recomandări de securitate

• Sfat de securitate Intel
• ADV190013 | Îndrumări Microsoft pentru atenuarea vulnerabilităților de eșantionare microarhitecturală a datelor

Pentru mai multe informații, consultați următoarele recomandări de securitate

• Sfat de securitate Intel
• ADV190013 | Îndrumări Microsoft pentru atenuarea vulnerabilităților de eșantionare microarhitecturală a datelor

Instrucțiuni suplimentare pot fi găsite în îndrumările Windows, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Consultați instrucțiunile din îndrumările Windows pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Pentru instrucțiuni despre Azure, consultați acest articol: Instrucțiuni pentru atenuarea vulnerabilităților de canal lateral cu execuție speculativă în Azure.

Pentru mai multe informații despre activarea Retpoline, consultați postarea noastră de blog: Atenuarea Spectre varianta 2 cu Retpoline în Windows.

Pentru detalii despre această vulnerabilitate, consultați Ghidul de securitate Microsoft: CVE-2019-1125 | Vulnerabilitatea Dezvăluire informații privind kernelul Windows.

Nu avem cunoștință de nicio instanță în care această vulnerabilitate de divulgare de informații să ne afecteze infrastructura de servicii cloud.

De îndată ce am luat cunoștință de această problemă, am lucrat rapid pentru a o rezolva și a lansa o actualizare. Credem cu tărie în parteneriatele strânse atât cu cercetătorii, cât și cu partenerii din industrie pentru a face clienții mai în siguranță și nu am publicat detalii până marți, 6 august, în conformitate cu practicile coordonate de dezvăluire a vulnerabilităților.

Instrucțiuni suplimentare pot fi găsite în îndrumările Windows, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă.

Instrucțiuni suplimentare pot fi găsite în îndrumările Windows, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă.

Instrucțiuni suplimentare pot fi găsite în Instrucțiuni pentru dezactivarea capacității extensiilor de sincronizare a tranzacțiilor Intel® (Intel® TSX).

Oferim informații de contact de la terți pentru a vă ajuta să găsiți asistență tehnică. Aceste informații de contact se pot modifica fără notificare prealabilă. Nu garantăm acuratețea acestor informații de contact de la terți.