KB4073757: Protejați dispozitivele Windows împotriva vulnerabilităților de canal lateral microarhitecturale și speculative bazate pe siliciu

Poate fi necesar să actualizați atât firmware-ul (microcodul), cât și software-ul pentru a trata aceste vulnerabilități. Consultați Sfaturile Microsoft de securitate pentru acțiunile recomandate. Printre acestea se numără actualizările de firmware (microcod) aplicabile de la producătorii de dispozitive și, în unele cazuri, actualizările la software-ul antivirus. Vă încurajăm să păstrați dispozitivele actualizate, instalând actualizările de securitate lunare.

Pentru a primi toate protecțiile disponibile, urmați acești pași pentru a obține cele mai recente actualizări, atât pentru software, cât și pentru hardware.

1. Păstrați-vă dispozitivul Windows la zi , activând actualizările automate.

2. Verificați dacă ați instalat cea mai recentă actualizare de securitate a sistemului de operare Windows de la Microsoft. Dacă actualizările automate sunt activate, actualizările ar trebui să vă fie livrate automat. Cu toate acestea, ar trebui să verificați totuși dacă sunt instalate. Pentru instrucțiuni, consultați Windows Update: Întrebări frecvente

3. Instalați actualizările de firmware (microcod) disponibile de la producătorul dispozitivului. Toți clienții vor trebui să se consulte cu producătorul dispozitivului lor pentru a descărca și a instala actualizarea de hardware specifică dispozitivului. Consultați secțiunea "Resurse suplimentare" pentru o listă de site-uri web ale producătorilor de dispozitive.

   Notă

   Clienții ar trebui să instaleze cele mai recente actualizări de securitate ale sistemului de operare Windows de la Microsoft pentru a profita de protecțiile disponibile. Mai întâi ar trebui să fie instalate actualizările software-ului antivirus. Ar trebui să urmeze actualizările pentru sistemul de operare și firmware. Vă încurajăm să păstrați dispozitivele actualizate, instalând actualizările de securitate lunare.

Printre cipurile afectate se numără cele produse de Intel, AMD și ARM. Acest lucru înseamnă că toate dispozitivele care rulează sisteme de operare Windows sunt potențial vulnerabile. Aceasta include desktopuri, laptopuri, servere cloud și telefoane smartphone. Dispozitivele care rulează alte sisteme de operare, cum ar fi Android, Chrome, iOS și macOS, sunt, de asemenea, afectate. Recomandăm clienților care rulează aceste sisteme de operare să solicite asistență de la acești furnizori.

La momentul publicării, nu primisem informații care să indice că aceste vulnerabilități au fost utilizate pentru atacuri asupra clienților.

Începând din ianuarie 2018, Microsoft a lansat actualizări pentru sistemele de operare Windows și pentru browserele web Internet Explorer și Edge, pentru a ajuta la atenuarea acestor vulnerabilități și la protejarea clienților. De asemenea, am lansat actualizări pentru a securiza serviciile noastre cloud.  Continuăm să colaborăm îndeaproape cu partenerii din industrie, inclusiv cu producătorii de cipuri, cu producătorii OEM de hardware și cu furnizorii de aplicații, pentru a proteja clienții împotriva acestei clase de vulnerabilități.

Vă încurajăm să instalați întotdeauna actualizările lunare pentru a vă menține dispozitivele actualizate și securizate.

Vom actualiza această documentație atunci când vor fi disponibile noi atenuări și vă recomandăm să reveniți aici în mod regulat.

Actualizările sistemului de operare Windows din iulie 2019

Pe 6 august 2019, Intel a dezvăluit detalii privind vulnerabilitatea de securitate CVE-2019-1125 | Vulnerabilitatea Dezvăluire informații privind kernelul Windows. Actualizările de securitate pentru această vulnerabilitate au fost lansate ca parte a actualizării lunare din iulie, la 9 iulie 2019.

Microsoft a lansat o actualizare de securitate pentru sistemul de operare Windows pe 9 iulie 2019, pentru a ajuta la atenuarea acestei probleme. Am reținut documentarea publică a acestei atenuări până la dezvăluirea coordonată a industriei de marți, 6 august 2019.

Clienții care au Windows Update activat și au aplicat actualizările de securitate lansate pe 9 iulie 2019 sunt protejați automat. Rețineți că această vulnerabilitate nu necesită o actualizare de microcod de la producătorul dispozitivului (OEM).

Actualizările sistemului de operare Windows din mai 2019

Pe 14 mai 2019, Intel a publicat informații despre o nouă subclasă de vulnerabilități de canal lateral cu execuție speculativă, cunoscute sub numele de eșantionare microarhitecturală a datelor și i s-au atribuit următoarele CVE-uri:

• CVE-2018-11091 – "Memorie nememorabilă în cache pentru eșantionarea microarhitecturală a datelor (MDSUM)"
• CVE-2018-12126 – "Eșantionare microarhitecturală a datelor din tamponul de stocare (MSBDS)"
• CVE-2018-12127 – "Eșantionarea microarhitecturală a datelor tampon de umplere (MFBDS)"
• CVE-2018-12130 – "Eșantionarea microarhitecturală a datelor pentru portul de încărcare (MLPDS)"

Pentru mai multe informații despre această problemă, consultați următorul sfat de securitate și utilizați instrucțiunile bazate pe scenarii prezentate în articolele Îndrumări Windows pentru clienți și servere pentru a determina acțiunile necesare pentru a atenua amenințarea:

• ADV 190013 | Îndrumări Microsoft pentru atenuarea vulnerabilităților de eșantionare microarhitecturală a datelor
• KB 4073119 | Îndrumări pentru clientul Windows IT Pro, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă
• KB 4457951 | Îndrumări pentru Windows Server, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Microsoft a lansat protecții împotriva unei noi subclase de vulnerabilități de canal lateral cu execuție speculativă, denumite eșantionare microarhitecturală a datelor pentru versiunile de Windows pe 64 de biți (x64) (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130).

Utilizați setările de registry așa cum este descris în articolele Clientul Windows (KB4073119) și Windows Server (KB4457951). Aceste setări de registry sunt activate implicit pentru edițiile sistemului de operare Client Windows, precum și pentru edițiile sistemului de operare Windows Server.

Vă recomandăm să instalați toate actualizările cele mai recente din Windows Update înainte de a instala orice actualizări de microcod.

Pentru mai multe informații despre această problemă și acțiunile recomandate, consultați următorul sfat de securitate:

• ADV 190013 | Îndrumări Microsoft pentru atenuarea vulnerabilităților de eșantionare microarhitecturală a datelor

Intel a lansat o actualizare de microcod pentru platformele CPU recente, pentru a reduce CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130. Articolul din 14 mai 2019 din 4093836 14 mai 2019 din Baza de cunoștințe Windows listează anumite articole din baza de cunoștințe, în funcție de versiunea sistemului de operare Windows.  Articolul conține, de asemenea, linkuri către actualizările disponibile pentru microcodul Intel în funcție de CPU. Aceste actualizări sunt disponibile prin intermediul catalogului Microsoft.

Notă: Vă recomandăm să instalați toate actualizările recente din Windows Update înainte de a instala orice actualizări de microcod.

Vă anunțăm cu plăcere că Retpoline este activat în mod implicit pe dispozitivele Windows 10, versiunea 1809 (pentru client și server), dacă s-a activat Spectre varianta 2 (CVE-2017-5715). Prin activarea Retpoline pe cea mai recentă versiune de Windows 10, prin intermediul actualizării din 14 mai 2019 (KB 4494441), anticipăm o performanță îmbunătățită, în special pe procesoarele mai vechi.

Clienții trebuie să se asigure că sunt activate protecțiile anterioare ale sistemului de operare împotriva vulnerabilității Spectre varianta 2, utilizând setările de registry descrise în articolele despre clientul Windows și Windows Server. (Aceste setări de registry sunt activate implicit pentru edițiile sistemului de operare Client Windows, dar sunt dezactivate implicit pentru edițiile sistemului de operare Windows Server). Pentru mai multe informații despre "Retpoline", consultați Atenuarea Spectre varianta 2 cu Retpoline în Windows.

Actualizările sistemului de operare Windows din noiembrie 2018

Microsoft a lansat protecții ale sistemului de operare pentru Ocolirea Store speculativă (CVE-2018-3639) pentru procesoarele (CPU-uri) AMD.

Microsoft a lansat protecții suplimentare ale sistemului de operare pentru clienții care utilizează procesoare ARM pe 64 de biți. Consultați producătorul OEM al dispozitivului pentru asistență firmware, deoarece protecțiile sistemului de operare ARM64 care atenuează CVE-2018-3639, Ocolire Store speculativă, necesită cea mai recentă actualizare de firmware de la OEM al dispozitivului.

Actualizări ale sistemului de operare Windows din septembrie 2018

Pe 11 septembrie 2018, Microsoft a lansat Windows Server 2008 SP2 setul lunar 4458010 și 4457984 de securitate pentru Windows Server 2008, care oferă protecții împotriva unei noi vulnerabilități de execuție speculativă pe partea de canal, denumită L1 Terminal Fault (L1TF), care afectează procesoarele Intel® Core® și Intel® Xeon® (CVE-2018-3620 și CVE-2018-3646).

Această ediție completează protecțiile suplimentare pentru toate versiunile de sistem Windows acceptate prin Windows Update. Pentru mai multe informații și o listă a produselor afectate, consultați ADV180018 | Îndrumări Microsoft pentru atenuarea variantei L1TF.

Notă: Windows Server 2008 SP2 urmează acum modelul standard de seturi de servicii Windows. Pentru mai multe informații despre aceste modificări, consultați blogul nostru Windows Server 2008 SP2 modificări ale serviciilor. Clienții care rulează Windows Server 2008 ar trebui să instaleze fie 4458010, fie 4457984 în plus față de actualizarea de securitate 4341832, care a fost lansată pe 14 august 2018. De asemenea, clienții ar trebui să se asigure că sunt activate protecțiile anterioare ale sistemului de operare împotriva vulnerabilităților Spectre varianta 2 și Meltdown, utilizând setările de registry evidențiate în articolele KB cu instrucțiuni despre clientul Windows și Windows Server. Aceste setări de registry sunt activate implicit pentru edițiile sistemului de operare Client Windows, dar sunt dezactivate implicit pentru edițiile sistemului de operare Windows Server.

Microsoft a lansat protecții suplimentare ale sistemului de operare pentru clienții care utilizează procesoare ARM pe 64 de biți. Consultați producătorul OEM al dispozitivului pentru asistență firmware, deoarece protecțiile sistemului de operare ARM64 care atenuează injectarea țintă pentru ramură CVE-2017-5715 - Injectare țintă pentru ramură (Spectre, varianta 2) necesită cea mai recentă actualizare de firmware de la producătorii OEM ai dispozitivului pentru a avea efect.

Actualizările sistemului de operare Windows din august 2018

Pe 14 august 2018, a fost anunțată eroarea terminală L1 (L1TF) și au fost atribuite mai multe CVE-uri. Aceste noi vulnerabilități de canal lateral cu execuție speculativă pot fi utilizate pentru a citi conținutul memoriei dincolo de o limită de încredere și, dacă sunt exploatate, pot duce la dezvăluirea de informații. Există mai mulți vectori prin care un atacator ar putea declanșa vulnerabilitățile, în funcție de mediul configurat. L1TF afectează procesoarele Intel® Core® și Intel® Xeon®.

Pentru mai multe informații despre L1TF și o vizualizare detaliată a scenariilor afectate, inclusiv abordarea Microsoft privind atenuarea L1TF, consultați următoarele resurse:

• ADV180018 | Îndrumări Microsoft pentru atenuarea variantei L1TF
• Sfat de securitate Blog de cercetare de securitate
• Îndrumări server pentru defecțiunea terminalului L1

Actualizările sistemului de operare Windows din iulie 2018

Suntem încântați să vă anunțăm că Microsoft a finalizat lansarea de protecții suplimentare pentru toate versiunile de sistem Windows acceptate prin Windows Update pentru următoarele vulnerabilități:

• Spectre varianta 2 pentru procesoare AMD
• Ocolire Store speculativă pentru procesoarele Intel

Pe 13 iunie 2018, a fost anunțată o vulnerabilitate suplimentară care implică execuția speculativă pe partea de canal, cunoscută drept Lazy FP State Restore, cu CVE-2018-3665. Nu sunt necesare setări de configurare (registry) pentru Lazy Restore FP Restore.

Pentru mai multe informații despre această vulnerabilitate, produsele afectate și acțiunile recomandate, consultați următorul Sfat de securitate:

• ADV180016 | Îndrumări Microsoft pentru restaurarea stării Lazy FP

Pe 12 iunie, Microsoft a anunțat că acceptă Windows pentru dezactivarea speculativă a opțiunii Store Bypass (SSBD) în procesoarele Intel. Actualizările necesită firmware (microcod) și actualizări de registry corespunzătoare pentru funcționalitate. Pentru informații despre actualizări și pașii de aplicat pentru a activa SSBD, consultați secțiunea "Acțiuni recomandate" din ADV180012 | Îndrumări Microsoft pentru ocolirea Store speculativă.

Actualizările sistemului de operare Windows din mai 2018

În ianuarie 2018, Microsoft a lansat informații despre o clasă recent descoperită de vulnerabilități hardware (cunoscute drept Spectre și Meltdown) care implică canale laterale cu execuție speculativă, care afectează procesoarele AMD, ARM și Intel în grade diferite. Pe 21 mai 2018, Google Project Zero (GPZ), Microsoft și Intel au dezvăluit două noi vulnerabilități de cip legate de problemele Spectre și Meltdown, cunoscute sub numele de Ocolire Store speculativă (SSB) și Citire de registry de sistem rogue.

Riscul pentru clienți din ambele dezvăluiri este scăzut.

Pentru mai multe informații despre aceste vulnerabilități, consultați următoarele resurse:

• Sfat Microsoft de securitate pentruOcolire Store speculativă:MSRC ADV180012 și CVE-2018-3639
• Sfat de securitate Microsoft pentruCitirea sistemului neautorizat Citire: MSRC ADV180013 și CVE-2018-3640
• Cercetare și apărare în securitate:analiza și atenuarea ocolirii store speculative (CVE-2018-3639)

Se aplică pentru: Windows 10, versiunea 1607, Windows Server 2016, Windows Server 2016 (instalare Server Core) și Windows Server, versiunea 1709 (instalare Server Core)

Am oferit asistență pentru a controla utilizarea Indirect Branch Prediction Barrier (IBPB) pe unele procesoare (CPU-uri) AMD, pentru a atenua CVE-2017-5715, Spectre varianta 2 atunci când comutați de la contextul de utilizator la contextul kernel. (Pentru mai multe informații, consultați instrucțiunile privind arhitectura AMD pentru Indirect Branch Control și Actualizări de securitate AMD).

Clienții care rulează Windows 10, versiunea 1607, Windows Server 2016, Windows Server 2016 (instalare Server Core) și Windows Server, versiunea 1709 (instalare Server Core) trebuie să instaleze 4103723 de actualizare de securitate pentru atenuări suplimentare pentru procesoarele AMD pentru CVE-2017-5715, ramură Injectare țintă. Această actualizare este disponibilă și prin Windows Update.

Urmați instrucțiunile descrise în instrucțiunile KB 4073119 pentru clientul Windows (IT Pro) și în 4072698 KB pentru instrucțiuni Windows Server, pentru a permite utilizarea IBPB în unele procesoare (CPU-uri) AMD, pentru a atenua Spectre varianta 2 atunci când comutați de la contextul de utilizator la contextul kernel.

Microsoft face disponibile actualizări de microcod Intel validate în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură**"**). Pentru a obține cele mai recente actualizări de microcod Intel prin Windows Update, clienții trebuie să aibă instalat microcodul Intel pe dispozitivele care rulează un sistem de operare Windows 10 înainte de a face upgrade la Actualizarea din aprilie 2018 a Windows 10 (versiunea 1803).

Actualizarea de microcod mai este disponibilă și direct din Catalog dacă nu a fost instalată pe dispozitiv înainte de upgrade-ul sistemului de operare. Microcodul Intel este disponibil prin Windows Update, WSUS sau Catalogul Microsoft Update. Pentru mai multe informații și instrucțiuni de descărcare, consultați Baza de cunoștințe 4100347.

Vom oferi actualizări suplimentare de microcod de la Intel pentru sistemul de operare Windows pe măsură ce devin disponibile pentru Microsoft.

Se aplică la: Windows 10, versiunea 1709

Am oferit asistență pentru a controla utilizarea Indirect Branch Prediction Barrier (IBPB) pe unele procesoare (CPU-uri) AMD, pentru a atenua CVE-2017-5715, Spectre varianta 2 atunci când comutați de la contextul de utilizator la contextul kernel. (Pentru mai multe informații, consultați instrucțiunile privind arhitectura AMD pentru Indirect Branch Control și Actualizări de securitate AMD).

Urmați instrucțiunile prezentate în 4073119 KB pentru îndrumări legate de clientul Windows (IT Pro), pentru a permite utilizarea IBPB în unele procesoare (CPU-uri) AMD, pentru a atenua Spectre varianta 2 atunci când comutați de la contextul de utilizator la contextul de kernel.

Microsoft face disponibile actualizări de microcod Intel validate în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură"). KB4093836 listează anumite articole din baza de cunoștințe în funcție de versiunea de Windows. Fiecare articol KB individual conține cele mai recente actualizări disponibile pentru microcodul Intel în funcție de CPU.

Vom oferi actualizări suplimentare de microcod de la Intel pentru sistemul de operare Windows pe măsură ce devin disponibile pentru Microsoft.

Martie 2018 și mai recente Actualizări ale sistemului de operare Windows

23 martie, TechNet Security Research & Defense: KVA Shadow: Mitigating Meltdown on Windows

14 martie, Security Tech Center: Termenii programului de recompensă pentru canalul lateral de execuție speculativă

13 martie, blog: Actualizare de Securitate Windows martie 2018 – Extinderea eforturilor noastre de protejare a clienților

1 martie, blog: Actualizare despre actualizările de securitate Spectre și Meltdown pentru dispozitive Windows

Începând din martie 2018, Microsoft a lansat actualizări de securitate pentru a furniza atenuări pentru dispozitivele care rulează următoarele sisteme de operare Windows bazate pe x86. Clienții ar trebui să instaleze cele mai recente actualizări de securitate ale sistemului de operare Windows pentru a profita de protecțiile disponibile. Ne străduim să oferim protecții pentru alte versiuni Windows acceptate, dar momentan nu avem un program de lansare. Reveniți aici pentru actualizări. Pentru mai multe informații, consultați articolul asociat din baza de cunoștințe pentru detalii tehnice și secțiunea "Întrebări frecvente".

Începând din luna martie 2018, Microsoft a lansat actualizări de securitate pentru a furniza atenuări pentru dispozitivele care rulează următoarele sisteme de operare Windows bazate pe x64. Clienții ar trebui să instaleze cele mai recente actualizări de securitate ale sistemului de operare Windows pentru a profita de protecțiile disponibile. Ne străduim să oferim protecții pentru alte versiuni Windows acceptate, dar momentan nu avem un program de lansare. Reveniți aici pentru actualizări. Pentru mai multe informații, consultați articolul conex din baza de cunoștințe pentru detalii tehnice și secțiunea "Întrebări frecvente".

Această actualizare tratează o vulnerabilitate de creștere a privilegiilor în kernelul Windows în versiunea de Windows de 64 de biți (x64). Această vulnerabilitate este documentată în CVE-2018-1038. Utilizatorii trebuie să aplice această actualizare pentru a fi complet protejați împotriva acestei vulnerabilități dacă computerele lor au fost actualizate la sau după această dată ianuarie 2018, aplicând oricare dintre actualizările listate în următorul articol din baza de cunoștințe:

Actualizarea kernelului Windows pentru CVE-2018-1038

Această actualizare de securitate rezolvă mai multe vulnerabilități raportate în Internet Explorer. Pentru a afla mai multe despre aceste vulnerabilități, consultați Vulnerabilități și expuneri comune Microsoft.

Actualizările sistemului de operare Windows din februarie 2018

Blog: Windows Analytics vă ajută acum să evaluați protecțiile împotriva Spectre și Meltdown

Următoarele actualizări de securitate oferă protecții suplimentare pentru dispozitivele care rulează sisteme de operare Windows pe 32 de biți (x86). Microsoft le recomandă clienților să instaleze actualizarea imediat ce este disponibilă. Continuăm să lucrăm pentru a oferi protecții pentru alte versiuni de Windows acceptate, dar momentan nu avem un program de lansare. Reveniți aici pentru actualizări.

Notă: actualizările de securitate lunare Windows 10 sunt cumulative de la o lună la alta și vor fi descărcate și instalate automat de la Windows Update. Dacă ați instalat actualizări mai vechi, pe dispozitiv vor fi descărcate și instalate doar porțiunile noi. Pentru mai multe informații, consultați articolul asociat din baza de cunoștințe pentru detalii tehnice și secțiunea "Întrebări frecvente".

Actualizările sistemului de operare Windows din ianuarie 2018

Blog: Înțelegerea impactului asupra performanței al atenuărilor Spectre și Meltdown pe sistemele Windows

Începând din ianuarie 2018, Microsoft a lansat actualizări de securitate pentru a oferi atenuări pentru dispozitivele care rulează următoarele sisteme de operare Windows bazate pe x64. Clienții ar trebui să instaleze cele mai recente actualizări de securitate ale sistemului de operare Windows pentru a profita de protecțiile disponibile. Ne străduim să oferim protecții pentru alte versiuni Windows acceptate, dar momentan nu avem un program de lansare. Reveniți aici pentru actualizări. Pentru mai multe informații, consultați articolul asociat din baza de cunoștințe pentru detalii tehnice și secțiunea "Întrebări frecvente".

Pe 9 aprilie 2024 am publicat CVE-2022-0001 | Intel Branch History Injection , care descrie Branch History Injection (BHI), care este o formă specifică de BTI intra-mod. Această vulnerabilitate apare atunci când un atacator poate manipula istoricul ramurii înainte de a trece de la modul de utilizator la modul supervizor (sau de la modul VMX non-root/invitat la modul root). Această manipulare poate determina un predictor de ramură indirect să selecteze o anumită intrare de predictor pentru o ramură indirectă și un gadget de dezvăluire de la ținta prezisă se va executa temporar. Acest lucru poate fi posibil deoarece istoricul ramurii relevant poate conține ramuri luate în contexte de securitate anterioare și, în special, alte moduri de predicție.

Urmați instrucțiunile descrise în instrucțiunile KB4073119 pentru clientul Windows (IT Pro) și KB4072698 pentru instrucțiuni Windows Server de atenuare a vulnerabilităților descrise în CVE-2022-0001 | Injectare istoric ramură Intel.

Sfat Microsoft de securitate pentru eroarea terminalului L1 (L1TF):MSRC ADV180018, CVE-2018-3615, CVE-2018-3620 și CVE-2018-3646

Cercetare și apărare în securitate:analiza și atenuarea ocolirii store speculative (CVE-2018-3639)

Sfat Microsoft de securitate pentruOcolire Store speculativă:MSRC ADV180012 și CVE-2018-3639

Sfat Microsoft de securitate pentru sisteme frauduloase Înregistrați-vă Citiți | Ghidul actualizărilor de securitate pentru Surface: MSRC ADV180013 și CVE-2018-3640

Cercetare și apărare în securitate:analiza și atenuarea ocolirii store speculative (CVE-2018-3639)

TechNet Security Research & Defense:KVA Shadow: Mitigating Meltdown on Windows

Security Tech Center:Termenii programului de recompensă pentru canalul lateral cu execuție speculativă

Blogul Experiență Microsoft:Actualizare despre actualizările de securitate Spectre și Meltdown pentru dispozitive Windows

Blogul Windows pentru business: Windows Analytics ajută acum la evaluarea protecțiilor împotriva Spectre și Meltdown

Blogul Microsoft Secure: Înțelegerea impactului asupra performanței al atenuărilor Spectre și Meltdown pe sistemele Windows

Blogul pentru dezvoltatori Edge: Atenuarea atacurilor de canal lateral cu execuție speculativă în Microsoft Edge și Internet Explorer

Blogul Azure: Securizarea clienților Azure împotriva vulnerabilității CPU

Îndrumări pentru SCCM: Îndrumări suplimentare pentru a atenua vulnerabilitățile de canal lateral cu execuție speculativă

Recomandări Microsoft:

• ADV180002 | Îndrumări pentru atenuarea vulnerabilităților de canal lateral cu execuție speculativă
• ADV180012 | Îndrumări Microsoft pentru ocolirea Store speculativă
• ADV180013 | Îndrumări Microsoft pentru sisteme frauduloase Înregistrați citiți
• ADV180016 | Îndrumări Microsoft pentru restaurarea stării Lazy FP
• ADV180018 | Îndrumări Microsoft pentru atenuarea variantei L1TF

Intel: Sfat de securitate

ARM: Sfat de securitate

AMD: Sfat de securitate

NVIDIA:Sfat de securitate

Îndrumări pentru consumatori: Protejarea dispozitivului împotriva vulnerabilităților de securitate legate de cipuri

Îndrumări antivirus: Actualizările de securitate Windows lansate la 3 ianuarie 2018 și software-ul antivirus

Îndrumări pentru blocul de actualizări de securitate pentru sistemul de operare Windows pe AMD: KB4073707: Blocul de actualizări de securitate ale sistemului de operare Windows pentru unele dispozitive bazate pe AMD

Actualizare pentru a dezactiva atenuarea împotriva Spectre, varianta 2: KB4078130: Intel a identificat probleme de repornire cu microcodul de pe unele procesoare mai vechi

Îndrumări pentru Surface: Îndrumări pentru Surface, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Verificarea stării atenuărilor de canal lateral cu execuție speculativă: Înțelegerea rezultatelor scriptului Get-SpeculationControlSettings PowerShell

Îndrumări pentru profesioniști IT: Îndrumări referitoare la clientul Windows pentru profesioniști IT, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Îndrumări pentru server: Îndrumări pentru Windows Server, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Îndrumări pentru server pentru defecțiunea terminalului L1: Îndrumări Windows Server pentru a vă proteja împotriva defecțiunii terminalului L1

Îndrumări pentru dezvoltatori:Îndrumări pentru dezvoltatori pentru ocolirea Store speculativă

Îndrumări pentru Server Hyper-V

• Controale de resurse pentru mașina virtuală
• Gestionarea resurselor de procesor pentru gazda Hyper-V

Azure KB: KB4073235: Protecțiile Microsoft în cloud împotriva vulnerabilităților de canal lateral cu execuție speculativă

Îndrumări pentru Azure Stack: KB4073418: Îndrumări pentru Azure Stack, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Fiabilitate Azure: Portalul de fiabilitate Azure

Îndrumări pentru SQL Server: KB4073225: Îndrumări pentru SQL Server, pentru a vă proteja împotriva vulnerabilităților de canal lateral cu execuție speculativă

Linkuri către producătorii de dispozitive OEM și servere pentru actualizări pentru a vă proteja împotriva vulnerabilităților Spectre și Meltdown

Pentru a ajuta la rezolvarea acestor vulnerabilități, trebuie să actualizați atât hardware-ul, cât și software-ul. Utilizați următoarele linkuri pentru a vă consulta cu producătorul dispozitivului în legătură cu actualizările de firmware (microcod) aplicabile.

Utilizați următoarele linkuri pentru a vă consulta cu producătorul dispozitivului în legătură cu actualizările de firmware (microcod). Va trebui să instalați atât actualizările pentru sistemul de operare, cât și cele pentru firmware (microcod), pentru a beneficia de toate protecțiile disponibile.

Va trebui să vă consultați cu producătorul dispozitivului pentru actualizările de firmware (microcod). Dacă producătorul dispozitivului nu este listat în tabel, contactați producătorul OEM în mod direct.

Actualizările pentru dispozitivele Microsoft Surface sunt disponibile pentru clienți prin Windows Update. Pentru o listă de actualizări de firmware de dispozitiv Surface (microcod) disponibile, consultați KB 4073065.

Dacă dispozitivul dvs. nu provine de la Microsoft, aplicați actualizările de firmware de la producătorul dispozitivului. Pentru mai multe informații, contactați producătorul dispozitivului.

Tratarea unei vulnerabilități hardware prin utilizarea unei actualizări software prezintă provocări semnificative și unor remedieri pentru sistemele de operare mai vechi și poate solicita modificări extinse de arhitectură. Continuăm să lucrăm cu producătorii cipurilor afectate pentru a investiga cea mai bună modalitate de a oferi remedieri. Acest lucru poate fi furnizat într-o actualizare viitoare. Înlocuirea dispozitivelor mai vechi care rulează aceste sisteme de operare mai vechi și actualizarea software-ului antivirus ar trebui să trateze riscurile rămase.

Deși sistemele bazate pe Windows XP sunt produse afectate, Microsoft nu lansează nicio actualizare pentru ele, deoarece modificările arhitecturale cuprinzătoare care ar fi necesare ar pune în pericol stabilitatea sistemului și ar cauza probleme de compatibilitate pentru aplicații. Recomandăm clienților ce țin cont de importanța securității să facă upgrade la un sistem de operare acceptat mai nou, pentru a ține pasul cu peisajul amenințărilor de securitate în permanentă schimbare și a beneficia de protecțiile mai robuste pe care le oferă sistemele de operare mai noi.

Actualizările la Windows 10 pentru HoloLens sunt disponibile clienților HoloLens prin Windows Update.

După aplicarea actualizării de Securitate Windows din februarie 2018, clienții HoloLens nu trebuie să efectueze nicio acțiune suplimentară pentru a-și actualiza firmware-ul dispozitivului. Aceste atenuări vor fi incluse, de asemenea, în toate versiunile viitoare de Windows 10 pentru HoloLens.

Contactați producătorul OEM pentru mai multe informații.

Pentru ca dispozitivul dvs. să fie complet protejat, trebuie să instalați cele mai recente actualizări de securitate ale sistemului de operare Windows pentru dispozitivul dvs. și actualizările de firmware (microcod) aplicabile de la producătorul dispozitivului. Aceste actualizări ar trebui să fie disponibile pe site-ul web al producătorului dispozitivului. Mai întâi ar trebui să fie instalate actualizările software-ului antivirus. Actualizările sistemului de operare și cele ale firmware-ului pot fi instalate în orice ordine.

Va trebui să actualizați atât hardware-ul, cât și software-ul pentru a trata această vulnerabilitate. De asemenea, va trebui să instalați actualizările de firmware (microcod) aplicabile de la producătorul dispozitivului, pentru o protecție mai cuprinzătoare. Vă încurajăm să păstrați dispozitivele actualizate, instalând actualizările de securitate lunare.

În fiecare actualizare de caracteristici Windows 10, construim cea mai recentă tehnologie de securitate adânc în sistemul de operare, oferind caracteristici defensive puternice care împiedică toate categoriile de malware să vă afecteze dispozitivul. Lansările de actualizări de caracteristici sunt programate să aibă loc de două ori pe an. În fiecare actualizare de calitate lunară, adăugăm un nivel nou de securitate care urmărește tendințele noi și în schimbare din evoluția malware-ului, pentru a face mai sigure sistemele actualizate în fața amenințărilor modificate și a celor în evoluție.

Microsoft a ridicat verificarea compatibilității AV pentru actualizările de securitate Windows pentru versiunile acceptate de Windows 10, Windows 8.1 și Windows 7 SP1 prin Windows Update. 

Recomandări:

• Asigurați-vă că dispozitivele dvs. sunt actualizate, având cele mai recente actualizări de securitate de la Microsoft și de la producătorul de hardware. Pentru mai multe informații despre cum să vă mențineți dispozitivul la zi, consultați Windows Update: Întrebări frecvente.
• Continuați să dați dovadă de precauție maximă atunci când vizitați site-uri web de origine necunoscută și nu rămâneți pe site-uri în care nu aveți încredere. Microsoft recomandă tuturor clienților să își protejeze dispozitivele, rulând un program antivirus acceptat. De asemenea, clienții pot beneficia de protecție antivirus încorporată: Windows Defender pentru dispozitive Windows 10 sau Microsoft Security Essentials pentru dispozitive Windows 7. Aceste soluții sunt compatibile în situațiile în care clienții nu pot instala sau rula un software antivirus.

Pentru a evita afectarea dispozitivelor clienților, actualizările de securitate Windows lansate în ianuarie sau februarie nu au fost oferite tuturor clienților. Pentru detalii, consultați articolul din Baza de cunoștințe Microsoft 4072699.

Intel a raportat probleme care afectează microcodul lansat recent care este destinat să trateze Spectre varianta 2 (CVE-2017-5715 – "Injectare țintă pentru ramură"). Mai exact, Intel a remarcat că acest microcod poate provoca "reporniri mai mari decât era de așteptat și alte comportamente de sistem imprevizibile" și, de asemenea, că situații ca aceasta pot provoca "pierderea sau deteriorarea datelor".  Experiența noastră ne-a dovedit că instabilitatea sistemului poate, în anumite circumstanțe, să cauzeze pierderea sau deteriorarea datelor. La 22 ianuarie, Intel le-a recomandat clienților să oprească implementarea versiunii de microcod curente pe procesoarele afectate, asigurându-i că se ocupă de testări suplimentare ale soluției actualizate. Înțelegem că Intel continuă să investigheze impactul potențial al versiunii de microcod curente și îi încurajăm pe clienți să revizuiască instrucțiunile oferite constant pentru a se informa în deciziile lor.

În timp ce Intel testează, actualizează și implementează microcodul nou, vă punem la dispoziție o actualizare în afara benzii (OOB), KB 4078130, care dezactivează în mod specific doar atenuarea pentru CVE-2017-5715 - "Injectare țintă pentru ramură". Testările noastre au descoperit că această actualizare previne comportamentul descris. Pentru lista completă de dispozitive, consultați Instrucțiunile de revizie a microcodului Intel. Această actualizare cuprinde Windows 7 (SP1), Windows 8.1 și toate versiunile de Windows 10, pentru client și server. Dacă rulați un dispozitiv afectat, această actualizare se poate aplica descărcând-o de la site-ul Catalog Microsoft Update. Aplicarea acestei sarcini dezactivează în mod specific doar atenuarea împotriva CVE-2017-5715 - "Injectare țintă pentru ramură".

Începând cu 25 ianuarie, nu există rapoarte cunoscute pentru a indica faptul că acest Spectre, varianta 2 (CVE-2017-5715) a fost utilizat pentru atacuri împotriva clienților. Recomandăm clienților Windows să reactiveze atenuarea pentru CVE-2017-5715 atunci când Intel raportează că acest comportament de sistem imprevizibil a fost rezolvat pentru dispozitivul dvs.

Nu. Actualizările doar de securitate nu sunt cumulative. În funcție de versiunea sistemului de operare pe care îl rulați, trebuie să instalați toate actualizările lansate doar de securitate, pentru a fi protejat împotriva acestor vulnerabilități. De exemplu, dacă rulați Windows 7 pentru sisteme pe 32 de biți pe un procesor Intel afectat, trebuie să instalați fiecare actualizare doar de securitate începând din ianuarie 2018. Vă recomandăm să instalați aceste actualizări doar de securitate în ordinea lansării.
 
Notă O versiune anterioară a acestor Întrebări frecvente spunea în mod incorect că actualizarea doar de securitate din februarie includea remedierile de securitate lansate în ianuarie. De fapt, nu este așa.

Nu. Actualizarea de securitate 4078130 a fost o remediere specifică pentru a împiedica comportamentele de sistem imprevizibile, problemele de performanță și repornirile neașteptate după instalarea microcodului. Aplicarea actualizărilor de securitate din februarie pe sistemele de operare client Windows permite toate cele trei atenuări. Pe sistemele de operare Windows Server, trebuie în continuare să activați atenuările după ce se efectuează testarea corespunzătoare. Consultați articolul 4072698 din Baza de cunoștințe Microsoft pentru mai multe informații.

AMD a anunțat recent că a început să lanseze microcod pentru platformele CPU mai noi în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură"). Pentru mai multe informații, consultați Actualizările de securitate AMD și cartea albă AMD: Instrucțiuni de arhitectură pentru controlul indirect al ramurii. Acestea sunt disponibile din canalul de firmware OEM.

Intel a anunțat recent că a finalizat validările și a început lansarea de microcod pentru platformele CPU mai noi. Microsoft face disponibile actualizări de microcod Intel validate în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură"). KB 4093836 listează anumite articole din baza de cunoștințe în funcție de versiunea de Windows. Fiecare articol KB individual conține actualizările disponibile pentru microcodul Intel în funcție de CPU.

Microsoft face disponibile actualizări de microcod Intel validate în jurul Spectre varianta 2 (CVE-2017-5715 "Injectare țintă pentru ramură**"**). Pentru a obține cele mai recente actualizări de microcod Intel prin Windows Update, clienții trebuie să aibă instalat microcodul Intel pe dispozitivele care rulează un sistem de operare Windows 10 înainte de a face upgrade la Actualizarea din aprilie 2018 a Windows 10 (versiunea 1803).

Actualizarea de microcod mai este disponibilă și direct din Catalogul de actualizări dacă nu a fost instalată pe dispozitiv înainte de upgrade-ul sistemului. Microcodul Intel este disponibil prin Windows Update, WSUS sau Catalogul Microsoft Update. Pentru mai multe informații și instrucțiuni de descărcare, consultați Baza de cunoștințe 4100347.

Pentru mai multe informații, consultați următoarele resurse:

• ADV180012 | Instrucțiuni Microsoft pentru ocolirea Store speculativă pentru CVE-2018-3639
• ADV180013 | Îndrumări Microsoft pentru sisteme frauduloase Citiți înregistrarea pentru CVE-2018-3640 și KB 4073065 | Instrucțiuni pentru clienții Surface
• Blogul Microsoft Security Research and Defense
• Îndrumări pentru dezvoltatori pentru ocolirea Store speculativă

Pentru detalii, consultați secțiunile "Acțiuni recomandate" și "Întrebări frecvente" din ADV180012 | Îndrumări Microsoft pentru ocolirea Store speculativă.

Pentru a verifica starea SSBD, scriptul Get-SpeculationControlSettings PowerShell a fost actualizat pentru a detecta procesoarele afectate, starea actualizărilor sistemului de operare SSBD și starea microcodului procesorului, dacă este cazul. Pentru mai multe informații și pentru a obține scriptul PowerShell, consultați KB4074629.

Pe 13 iunie 2018, a fost anunțată o vulnerabilitate suplimentară care implică execuția speculativă pe partea de canal, cunoscută drept Lazy FP State Restore, cu CVE-2018-3665. Nu sunt necesare setări de configurare (registry) pentru Lazy Restore FP Restore.

Pentru mai multe informații despre această vulnerabilitate și acțiunile recomandate, consultați Sfatul de securitate: ADV180016 | Îndrumări Microsoft pentru restaurarea stării Lazy FP

Notă Nu sunt necesare setări de configurare (registry) pentru Lazy Restore FP Restore.

Magazinul de ocolire a verificării limitelor (BCBS) a fost dezvăluit pe 10 iulie 2018 și a atribuit CVE-2018-3693. Considerăm că BCBS aparține aceleiași clase de vulnerabilități ca Ocolire verificare limită (varianta 1). În prezent nu avem cunoștință de niciun caz de BCBS în software-ul nostru, dar continuăm să cercetăm această clasă de vulnerabilitate și vom colabora cu partenerii din industrie pentru a lansa atenuări, după cum este necesar. Continuăm să încurajăm cercetătorii să remită orice constatări relevante la programul de recompense pentru canalul speculativ de execuție secundar al Microsoft, inclusiv orice instanțe exploatabile ale BCBS. Dezvoltatorii de software ar trebui să consulte instrucțiunile pentru dezvoltatori care au fost actualizate pentru CBCB la https://aka.ms/sescdevguide.

Pe 14 august 2018, a fost anunțată eroarea terminală L1 (L1TF) și au fost atribuite mai multe CVE-uri. Aceste noi vulnerabilități de canal lateral cu execuție speculativă pot fi utilizate pentru a citi conținutul memoriei dincolo de o limită de încredere și, dacă sunt exploatate, pot duce la dezvăluirea de informații. Există mai mulți vectori prin care un atacator ar putea declanșa vulnerabilitățile, în funcție de mediul configurat. L1TF afectează procesoarele Intel® Core® și Intel® Xeon®.

Pentru mai multe informații despre această vulnerabilitate și o vizualizare detaliată a scenariilor afectate, inclusiv abordarea Microsoft privind atenuarea L1TF, consultați următoarele resurse:

• ADV180018 | Îndrumări Microsoft pentru atenuarea variantei L1TF
• Sfat de securitate Blog de cercetare de securitate
• Îndrumări server pentru defecțiunea terminalului L1

Clienții Microsoft Surface: Clienții care utilizează produse Microsoft Surface și Surface Book trebuie să urmeze instrucțiunile pentru clientul Windows prezentate în Sfatul de securitate: ADV180018 | Îndrumări Microsoft pentru atenuarea variantei L1TF. Consultați, de asemenea, articolul 4073065 din Baza de cunoștințe Microsoft pentru mai multe informații despre produsele Surface afectate și despre disponibilitatea actualizărilor de microcod.

Clienți Microsoft HoloLens: Microsoft HoloLens nu este afectat de L1TF, deoarece nu utilizează un procesor Intel afectat.

Pașii necesari pentru dezactivarea Hyper-Threading vor diferi de la un OEM la altul, dar fac parte în general din BIOS sau din instrumentele de configurare și configurare firmware.

Clienții care utilizează procesoare ARM pe 64 de biți ar trebui să consulte producătorul OEM al dispozitivului pentru asistență firmware, deoarece protecțiile sistemului de operare ARM64 care atenuează injectarea țintă pentru ramură CVE-2017-5715 - Injectare țintă pentru ramură (Spectre, varianta 2) necesită cea mai recentă actualizare de firmware de la producătorii OEM de dispozitive pentru a avea efect.

Pentru detalii despre această vulnerabilitate, consultați Ghidul de securitate Microsoft: CVE-2019-1125 | Vulnerabilitatea Dezvăluire informații privind kernelul Windows.

Nu avem cunoștință de nicio instanță în care această vulnerabilitate de divulgare de informații să ne afecteze infrastructura de servicii cloud.

De îndată ce am luat cunoștință de această problemă, am lucrat rapid pentru a o rezolva și a lansa o actualizare. Credem cu tărie în parteneriatele strânse atât cu cercetătorii, cât și cu partenerii din industrie pentru a face clienții mai în siguranță și nu am publicat detalii până marți, 6 august, în conformitate cu practicile coordonate de dezvăluire a vulnerabilităților.

Microsoft oferă informații de contact de la terți pentru a vă ajuta să găsiți informații suplimentare despre acest subiect. Aceste informații de contact se pot modifica fără notificare prealabilă. Microsoft nu garantează acuratețea informațiilor de contact ale terților.