KB4072698. Windows Server и рекомендации по Azure Stack HCI для защиты от микроархитектурных уязвимостей микроархитектуры микроархитектуры микромикроархитектуры и спекулятивного выполнения на основе микроархитектуры микросхем и уязвимостей спекулятивного выполнения бокового канала

В этой статье рассматриваются следующие уязвимости, связанные с спекулятивным выполнением:

• CVE-2017-5715 | Внедрение ответвления цели
• CVE-2017-5753 | Обход проверки границ
• CVE-2017-5754 | Загрузка кэша мошеннических данных
• CVE-2018-3639 | Спекулятивный обход магазина

Клиентский компонент Центра обновления Windows также будет обеспечивать защиту от угроз Internet Обозревателя и Edge. Мы продолжим совершенствовать эти средства защиты от этого класса уязвимостей.

Дополнительные сведения об этом классе уязвимостей см. в разделе

• ADV180002 | Рекомендации по защите от уязвимостей спекулятивного выполнения бокового канала
• ADV180012 | Рекомендации Майкрософт по спекулятивному обходу магазина

14 мая 2019 г. компания Intel опубликовала информацию о новом подклассе уязвимостей спекулятивного выполнения бокового канала, известном как микроархитектурная выборка данных и задокументированном в ADV190013 | Выборка микроархитектурных данных. Им назначены следующие CVE:

• CVE-2019-11091 | Некэшируемая память при выборке микроархитектурных данных (MDSUM)
• CVE-2018-12126 | Выборка данных буфера микроархитектуры (MSBDS)
• CVE-2018-12127 | Выборка данных микроархитектурного буфера заполнения (MFBDS)
• CVE-2018-12130 | Микроархитектурная выборка данных через порт нагрузки (MLPDS)

Корпорация Майкрософт выпустила обновления для защиты от этих уязвимостей. Для получения всех доступных средств защиты требуются обновления встроенного ПО (микрокода) и программного обеспечения. Это может быть микрокод от изготовителей оборудования. В некоторых случаях установка этих обновлений влияет на производительность. Мы также приняли меры по обеспечению безопасности наших облачных служб. Настоятельно рекомендуется развертывать эти обновления.

Дополнительные сведения об этой проблеме см. в следующих рекомендациях по безопасности и используйте рекомендации на основе сценариев, чтобы определить действия, необходимые для устранения угрозы:

• ADV190013 | Рекомендации Майкрософт по устранению уязвимостей выборки микроархитектурных данных
• Рекомендации Windows по защите от уязвимостей спекулятивного выполнения бокового канала

6 августа 2019 г. корпорация Intel опубликовала сведения об уязвимости, связанной с раскрытием информации в ядре Windows. Эта уязвимость представляет собой вариант уязвимости Spectre, вариант 1, связанной с спекулятивным выполнением бокового канала, и ей присвоено значение CVE-2019-1125.

9 июля 2019 г. мы выпустили обновления системы безопасности для операционной системы Windows, чтобы устранить эту проблему. Обратите внимание, что мы воздержались от публичного документирования этого смягчения последствий до скоординированного раскрытия информации в отрасли во вторник, 6 августа 2019 года.

Пользователи, которые включили клиентский компонент Центра обновления Windows и применили обновления для системы безопасности, выпущенные 9 июля 2019 г., получают защиту автоматически. Дальнейшая настройка не требуется.

Дополнительные сведения об этой уязвимости и применимых обновлениях см. в руководстве по обновлению системы безопасности Майкрософт:

• CVE-2019-1125 | Уязвимость раскрытия информации в ядре Windows

12 ноября 2019 г. корпорация Intel опубликовала технический бюллетень по уязвимости асинхронного прерывания транзакций Intel® Transactional Synchronization Extensions (Intel TSX), которой присвоено значение CVE-2019-11135. Корпорация Майкрософт выпустила обновления для устранения этой уязвимости, и средства защиты ОС включены по умолчанию для Windows Server 2019, но отключены по умолчанию для Windows Server 2016 и более ранних выпусков Windows Server OS.

14 июня 2022 года мы опубликовали ADV220002 | Руководство корпорации Майкрософт по уязвимостям устаревших данных в MMIO процессора Intel и назначены следующие CVE:

• CVE-2022-21123 | Чтение данных в общем буфере (SBDR)
• CVE-2022-21125 | Выборка данных общего буфера (SBDS)
• CVE-2022-21127 | Обновление дискретизации данных специального регистрового буфера (обновление SRBDS)
• CVE-2022-21166 | Device Register Partial Write (DRPW)

Рекомендуемые действия

Для защиты от уязвимостей необходимо выполнить следующие действия.

1. Примените все доступные обновления операционной системы Windows, включая ежемесячные обновления системы безопасности Windows.
2. Примените применимое обновление встроенного ПО (микрокода), предоставляемое производителем устройства.
3. Оцените риск для вашей среды на основе сведений, предоставленных в сообщениях Microsoft Security Advisories ADV180002, ADV180012, ADV190013 и ADV220002, а также на сведениях, приведенных в этой база знаний статье.
4. Выполните необходимые действия, используя рекомендации и сведения о разделе реестра, представленные в этой статье о база знаний.

12 июля 2022 г. мы опубликовали CVE-2022-23825 | Путаница с типом ветвления ЦП AMD которая описывает, что псевдонимы в предикторе ветвления могут привести к тому, что некоторые процессоры AMD предсказывают неправильный тип ветви. Эта проблема потенциально может привести к раскрытию информации.

Для защиты от этой уязвимости рекомендуется установить обновления Windows, датированные июлем 2022 года или позже, а затем выполнить действия в соответствии с требованиями CVE-2022-23825 и информации о разделе реестра, которая представлена в этой статье о базе знаний.

Дополнительные сведения см. в бюллетене по безопасности AMD-SB-1037 .

8 августа 2023 г. мы опубликовали CVE-2023-20569 | Предиктор обратного адреса (также известный как Inception), описывающий новую спекулятивную атаку бокового канала, которая может привести к спекулятивному выполнению по адресу, контролируемому злоумышленником. Эта проблема влияет на некоторые процессоры AMD и потенциально может привести к раскрытию информации.

Для защиты от этой уязвимости рекомендуется установить обновления Windows, датированные августом 2023 года или позже, а затем выполнить действия в соответствии с требованиями CVE-2023-20569 и информации раздела реестра, которая представлена в этой статье о базе знаний.

Дополнительные сведения см. в бюллетене по безопасности AMD-SB-7005 .

9 апреля 2024 г. мы опубликовали CVE-2022-0001 | Intel Branch History Injection , который описывает внедрение истории ветвления (BHI), которая является особой формой внутрирежимного BTI. Эта уязвимость возникает, когда злоумышленник может манипулировать журналом ветви перед переходом из режима пользователя в режим супервайзера (или из режима VMX без root/guest в root). Эта манипуляция может привести к тому, что предиктор косвенной ветви выберет конкретную запись предиктора для косвенной ветви, и гаджет раскрытия на прогнозируемой цели будет временно выполнен. Это возможно, поскольку соответствующая история ветвления может содержать ветви, взятые в предыдущих контекстах безопасности, и, в частности, в других режимах предиктора.

По умолчанию защита от пользователя к ядру для CVE-2017-5715 отключена для процессоров AMD. Клиентам необходимо включить меры по устранению проблем, чтобы получить дополнительную защиту от CVE-2017-5715.  Для получения дополнительной информации см. FAQ #15 в ADV180002.

По умолчанию защита от пользователя к ядру для CVE-2017-5715 отключена для процессоров AMD. Клиентам необходимо включить меры по устранению проблем, чтобы получить дополнительную защиту от CVE-2017-5715.  Для получения дополнительной информации см. FAQ #15 в ADV180002.

Чтобы включить защиту от вируса CVE-2022-23825 на процессорах AMD, выполните следующие действия.

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Чтобы обеспечить полную защиту, клиентам также может потребоваться отключить Hyper-Threading (другое название — одновременная многопоточность (SMT)). Инструкции по защите устройств с Windows см. в KB4073757 .

Чтобы включить защиту от вируса CVE-2023-20569 на процессорах AMD, выполните следующие действия.

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Чтобы включить защиту от вируса CVE-2022-0001 на процессорах Intel, выполните следующие действия.

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Подробное объяснение вывода сценария PowerShell см. в статье KB4074629 .

Чтобы исключить негативное влияние на устройства пользователей, обновления системы безопасности Windows, выпущенные в январе и феврале 2018 г., предлагались не всем клиентам. Дополнительные сведения см. в разделе KB407269 .

Микрокод доставляется через обновление встроенного ПО. Проконсультируйтесь со своим изготовителем оборудования и узнайте, какая версия встроенного ПО имеет соответствующее обновление для вашего компьютера.

На производительность влияет множество переменных, начиная от версии системы и заканчивая выполняемыми рабочими нагрузками. Для некоторых систем влияние на производительность будет незначительным. Для других он будет значительным.

Рекомендуется оценить влияние на производительность ваших систем и при необходимости внести коррективы.

В дополнение к рекомендациям в отношении виртуальных машин, приведенным в этой статье, обратитесь к поставщику услуг, чтобы убедиться, что узлы, на которых работают виртуальные машины, должным образом защищены.

Для виртуальных машин Windows Server, работающих в Azure, ознакомьтесь с руководством по защите от уязвимостей спекулятивного выполнения бокового канала в Azure. Рекомендации по использованию Azure Update Management для устранения этой проблемы на гостевых виртуальных машинах см. в разделе KB4077467.

Обновления, выпущенные для образов контейнеров Windows Server для Windows Server 2016 и Windows 10 версии 1709, включают средства защиты для этого набора уязвимостей. Дополнительная настройка не требуется.

Примечание Тем не менее, необходимо убедиться, что узел, на котором работают эти контейнеры, настроен для включения соответствующих мер по устранению рисков.

Нет, порядок установки не имеет значения.

Да, необходимо выполнить перезагрузку после обновления встроенного ПО (микрокода), а затем еще раз после обновления системы.

Ниже приведены сведения о разделах реестра:

FeatureSettingsOverride представляет битовую карту, которая переопределяет настройку по умолчанию и определяет, какие меры по устранению рисков будут отключены. Бит 0 управляет мерами, соответствующими CVE-2017-5715. Бит 1 управляет средством устранения угроз, соответствующим CVE-2017-5754. Эти биты имеют значение 0 для включения меры по устранению проблем, и значение 1 для отключения меры по устранению проблем.

FeatureSettingsOverrideMask представляет растровую маску, используемую вместе с FeatureSettingsOverride. В этом случае мы используем значение 3 (представленное как 11 в двоичной системе счисления или системе счисления с основанием 2) для обозначения первых двух битов, которые соответствуют доступным средствам устранения рисков. Этому разделу реестра присвоено значение 3 как для включения, так и для отключения средств устранения рисков.

MinVmVersionForCpuBasedMitigations предназначена для узлов Hyper-V. Этот раздел реестра определяет минимальную версию виртуальной машины, которая требуется для использования обновленных возможностей встроенного ПО (CVE-2017-5715). Установите значение 1.0 , чтобы охватить все версии виртуальных машин. Обратите внимание, что это значение реестра будет игнорироваться (доброкачественно) на узлах, отличных от Hyper-V. Дополнительные сведения см. в разделе Защита гостевых виртуальных машин от CVE-2017-5715 (внедрение ответвления цели).

Да, нет никаких побочных эффектов, если эти параметры реестра были применены до установки исправлений, связанных с январем 2018 г.

Подробное описание выходных данных скрипта см. в KB4074629: Понимание вывода сценария PowerShell SpeculationControl .

Да, для узлов Windows Server 2016 Hyper-V, для которых еще не установлено обновление встроенного ПО, мы опубликовали альтернативные рекомендации, которые помогут защититься от атак "виртуальная машина на виртуальную машину" или "виртуальная машина на узел". См. альтернативные средства защиты узлов Windows Server 2016 Hyper-V от уязвимостей спекулятивного выполнения бокового канала.

Обновления только для системы безопасности не являются накопительными. В зависимости от версии операционной системы для обеспечения полной защиты может потребоваться установить несколько обновлений для системы безопасности. Как правило, пользователям необходимо установить обновления за январь, февраль, март и апрель 2018 г. Системы с процессорами AMD нуждаются в дополнительном обновлении, как показано в следующей таблице.

Рекомендуется устанавливать только обновления для системы безопасности в порядке их выпуска.

Нет. Обновление безопасности KB4078130 представляло собой специальное исправление для предотвращения непредсказуемого поведения системы, проблем с производительностью и неожиданных перезапусков после установки микрокода. Применение обновлений системы безопасности в клиентских операционных системах Windows обеспечивает защиту всех трех мер. В операционных системах Windows Server все равно необходимо включить средства защиты после надлежащего тестирования. Дополнительные сведения см. в разделе KB4072698.

Эта проблема устранена в KB4093118.

В феврале 2018 года Intel объявила , что они завершили проверку и начали выпускать микрокод для новых платформ процессоров. Корпорация Майкрософт делает доступными проверенные обновления микрокода корпорации Intel, касающиеся Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Внедрение ответвления мишени).  KB4093836 перечислены определенные статьи база знаний для разных версий Windows. Каждая конкретная статья базы знаний содержит доступные обновления микрокода Intel для разных ЦП.

11 января 2018 года Intel сообщила о проблемах в недавно выпущенном микрокоде, который должен был решить проблему Spectre variant 2 (CVE-2017-5715 | Внедрение ответвления мишени). В частности, Intel отметила, что этот микрокод может вызвать «более высокие, чем ожидалось, перезагрузки и другое непредсказуемое поведение системы» и что эти сценарии могут привести к «потере или повреждению данных». Наш опыт показывает, что нестабильность системы может привести к потере или повреждению данных в определенных обстоятельствах. 22 января корпорация Intel рекомендовала клиентам приостановить развертывание текущей версии микрокода на затронутых процессорах, пока Intel проводит дополнительное тестирование обновленного решения. Мы понимаем, что Intel продолжает исследовать потенциальное влияние текущей версии микрокода. Рекомендуем пользователям регулярно пересматривать свои рекомендации для принятия обоснованных решений.

Пока Intel тестирует, обновляет и развертывает новый микрокод, мы предоставляем внеплановое обновление (OOB) KB4078130, которое отключает защиту только от CVE-2017-5715. Проведенные нами тестирования показали, что это обновление блокирует описанное поведение. Полный список устройств см. в руководстве по редакции микрокода от корпорации Intel. Это обновление охватывает Windows 7 с пакетом обновления 1 (SP1), Windows 8.1 и все версии Windows 10, как клиентские, так и серверные. Если вы используете затронутое устройство, это обновление можно применить, скачав его с веб-сайта каталога Центра обновления Майкрософт. Применение этой полезной нагрузки специально отключает только защиту от CVE-2017-5715.

На данный момент нет известных сообщений, указывающих на то, что этот Spectre Variant 2 (CVE-2017-5715 | внедрение ответвления цели) использовалась для атак на клиентов. Мы рекомендуем, если это применимо, пользователям Windows снова включить защиту от вируса CVE-2017-5715, когда Intel сообщит о том, что это непредвиденное поведение системы было разрешено для вашего устройства.

В феврале 2018 года Intel объявила , что они завершили проверку и начали выпускать микрокод для новых платформ процессоров. Корпорация Майкрософт делает доступными проверенные Intel обновления микрокода, связанные со Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Внедрение ответвления мишени). KB4093836 перечислены определенные статьи база знаний для разных версий Windows. В статьях базы знаний перечислены доступные обновления микрокода Intel для разных процессоров.

Для получения дополнительной информации ознакомьтесь с обновлениями системы безопасности AMD и техническим документом AMD: Рекомендации по архитектуре в отношении управления косвенной ветвью. Они доступны в канале встроенного ПО OEM.

Мы выпускаем проверенные Intel обновления микрокода, касающиеся Spectre Variant 2 (CVE-2017-5715 | Внедрение ответвления мишени). Чтобы получить последние обновления микрокода Intel через клиентский компонент Центра обновления Windows, клиентам необходимо установить микрокод Intel на устройствах под управлением операционной системы Windows 10 до установки обновления Windows 10 за апрель 2018 г. (версия 1803).

Также обновление микрокода можно получить непосредственно из каталога Центра обновления Майкрософт, если оно не было установлено на устройстве до обновления системы. Микрокод Intel доступен через клиентский компонент Центра обновления Windows, Windows Server Update Services (WSUS) или каталог Центра обновления Майкрософт. Дополнительные сведения и инструкции по скачиванию см. в KB4100347.

Дополнительные сведения см. в указанных ниже ресурсах.

• ADV180012 | Рекомендации Майкрософт по спекулятивному обходу магазина в отношении CVE 2018 3639
• ADV180013 | Рекомендации Майкрософт по реестру мошеннических систем Чтение CVE-2018-3640 и 4073065 KB | Руководство для пользователей Surface
• Блог Майкрософт об исследованиях в области безопасности и обороны
• Руководство разработчика для спекулятивного обхода магазина

См. разделы "Рекомендуемые действия" и "Вопросы и ответы" на странице ADV180012 | Рекомендации Майкрософт по спекулятивному обходу магазина.

Для проверки состояния SSBD был обновлен скрипт PowerShell Get-SpeculationControlSettings для обнаружения затронутых процессоров, состояния обновлений операционной системы SSBD и состояния микрокода процессора, если применимо. Дополнительные сведения и инструкции по получению сценария PowerShell см. в KB4074629.

13 июня 2018 года было объявлено о дополнительной уязвимости, связанной со спекулятивным выполнением бокового канала, известной как Lazy FP State Restore, и ей был присвоен CVE-2018-3665 . Сведения об этой уязвимости и рекомендуемые действия см. в ADV180016 советов по безопасности | Рекомендации Майкрософт по отложенному восстановлению состояния FP .

Примечание Для отложенного восстановления FP отсутствуют необходимые параметры конфигурации (реестра).

Bounds Check Bypass Store (BCBS) была раскрыта 10 июля 2018 года и ей был присвоен CVE-2018-3693. Мы считаем, что BCBS относится к тому же классу уязвимостей, что и обход проверки границ (вариант 1). В настоящее время нам неизвестно о каких-либо экземплярах BCBS в нашем программном обеспечении. Однако мы продолжаем изучать этот класс уязвимостей и будем работать с отраслевыми партнерами над выпусками необходимых мер для устранения рисков. Мы рекомендуем исследователям отправлять все соответствующие выводы в рамках программы вознаграждения Microsoft Speculative Execution Side Channel, включая все экземпляры BCBS, которые можно использовать. Разработчикам программного обеспечения следует ознакомиться с руководством разработчика, которое было обновлено для BCBS на C ++ Developer Guide for Спекулятивное исполнение боковых каналов

14 августа 2018 года было объявлено о неисправности L1 Terminal Fault (L1TF) и назначено несколько CVE. Эти новые уязвимости спекулятивного выполнения бокового канала могут использоваться для чтения содержимого памяти через доверенную границу, и в случае их использования они могут привести к раскрытию информации. Существует несколько векторов, с помощью которых злоумышленник может активировать уязвимости, в зависимости от настроенной среды. L1TF влияет на процессоры Intel® Core и Intel® Xeon®®.

Дополнительные сведения об этой уязвимости и подробный обзор затронутых сценариев, включая подход Microsoft к защите от L1TF, см. в следующих ресурсах:

• ADV180018 | Рекомендации Майкрософт по смягчению последствий варианта L1TF
• Советы по безопасности Блог об исследованиях в области безопасности
• Рекомендации для сервера по сбою терминала L1

Действия по отключению Hyper-Threading отличаются от изготовителя оборудования к изготовителю оборудования, но, как правило, являются частью средств установки и конфигурации BIOS или встроенного ПО.

Пользователям, использующим 64-разрядные процессоры ARM, следует обратиться к изготовителю устройства за поддержкой встроенного ПО, поскольку операционная система ARM64 защищает от уязвимости CVE-2017-5715 | Внедрение цели ответвления (Spectre, вариант 2) требует установки последнего обновления встроенного ПО от OEM-производителей устройств, чтобы оно вступило в силу.

Дополнительные сведения см. в следующих рекомендациях по безопасности

• Рекомендации Intel по безопасности
• ADV190013 | Рекомендации Майкрософт по устранению уязвимостей выборки микроархитектурных данных

Дополнительные инструкции можно найти в руководстве по защите Windows от уязвимостей спекулятивного выполнения бокового канала

Ознакомьтесь с инструкциями в руководстве для Windows, чтобы защититься от уязвимостей спекулятивного выполнения бокового канала

Рекомендации по Azure см. в следующей статье: Руководство по защите от уязвимостей спекулятивного выполнения бокового канала в Azure.

Дополнительные сведения о включении Retpoline см. в нашей записи блога: Защита от уязвимости Spectre variant 2 с помощью Retpoline в Windows .

Подробнее об этой уязвимости см. в руководстве по безопасности Microsoft: CVE-2019-1125 | Уязвимость раскрытия информации в ядре Windows.

Нам неизвестно ни об одном случае уязвимости, связанной с раскрытием информации, влияющей на нашу инфраструктуру облачных служб.

Как только нам стало известно об этой проблеме, мы быстро начали ее устранять и выпустили обновление. Мы твердо верим в тесные партнерские отношения как с исследователями, так и с отраслевыми партнерами, чтобы сделать клиентов более безопасными, и не публиковали подробности до вторника, 6 августа, в соответствии с скоординированной практикой раскрытия уязвимостей.

Дополнительные рекомендации можно найти в руководстве по защите Windows от уязвимостей спекулятивного выполнения бокового канала.

Дополнительные рекомендации можно найти в руководстве по защите Windows от уязвимостей спекулятивного выполнения бокового канала.

Дополнительные инструкции можно найти в руководстве по отключению возможностей расширений синхронизации транзакций Intel (Intel TSX).

Продукты сторонних разработчиков, рассмотренные в этой статье, выпущены компаниями, независимыми от корпорации Майкрософт. Мы не предоставляем гарантий, подразумеваемых или иных, относительно производительности или надежности этих продуктов.

Мы предоставляем контактные данные третьих лиц, чтобы вы могли получить техническую поддержку. Эти контактные данные могут меняться без уведомления. Мы не гарантируем точность контактных данных третьих лиц.