KB4073757: Chráňte zariadenia s Windowsom pred mikroarchitektúrou a rizikom špekulatívneho spustenia bočného kanála založeným na kremíku

Na odstránenie týchto rizík bude možno potrebné aktualizovať firmvér (mikrokód) aj softvér. Odporúčané akcie nájdete v odporúčaniach zabezpečenia spoločnosti Microsoft. Patria sem príslušné aktualizácie firmvéru (mikrokódu) od výrobcov zariadení a v niektorých prípadoch aj aktualizácie antivírusového softvéru. Odporúčame vám udržiavať svoje zariadenia aktualizované a zabezpečené inštaláciou aktualizácií zabezpečenia každý mesiac.

Ak chcete prijať všetku dostupnú ochranu, použite tento postup a nainštalujte najnovšie aktualizácie softvéru a hardvéru.

1. Aktuálnosť zariadení s Windowsom zabezpečíte zapnutím automatických aktualizácií.

2. Skontrolujte, či ste nainštalovali najnovšiu aktualizáciu zabezpečenia operačného systému Windows od spoločnosti Microsoft. Ak sú automatické aktualizácie zapnuté, mali by sa vám automaticky doručovať. Stále by ste však mali overovať, či sú nainštalované. Pokyny nájdete v téme Windows Update: Najčastejšie otázky

3. Nainštalujte dostupné aktualizácie firmvéru (mikrokódu) od výrobcu zariadenia. Všetci zákazníci budú musieť kontaktovať výrobcu zariadenia, prevziať a nainštalovať špecifickú aktualizáciu hardvéru. Zoznam webových lokalít výrobcov zariadení nájdete v časti Ďalšie zdroje .

   Poznámka

   Zákazníci by si mali inštalovať najnovšie aktualizácie zabezpečenia operačného systému Windows od spoločnosti Microsoft, aby využívali dostupné ochrany. Najskôr si však nainštalujte aktualizácie antivírusového softvéru. Potom nainštalujte aktualizácie operačného systému a firmvéru. Odporúčame vám udržiavať svoje zariadenia aktualizované a zabezpečené inštaláciou aktualizácií zabezpečenia každý mesiac.

Medzi postihnuté čipy patria čipy vyrábané spoločnosťami Intel, AMD a ARM. Znamená to, že všetky zariadenia s operačným systémom Windows môžu byť ohrozené. Patria sem stolné počítače, prenosné počítače, cloudové servery a smartfóny. Zariadenia s inými operačnými systémami, napríklad Android, Chrome, iOS a macOS, sú tiež postihnuté. Odporúčame zákazníkom, ktorí používajú tieto operačné systémy, aby žiadali pokyny od jednotlivých dodávateľov.

V čase zverejnenia sme nedostali žiadne informácie, ktoré by naznačovali, že tieto riziká boli použité na útoky na zákazníkov.

Od januára 2018 spoločnosť Microsoft vydala aktualizácie pre operačné systémy Windows a webové prehliadače Internet Explorer a Edge, ktoré majú zmierniť tieto riziká a pomôcť ochrániť zákazníkov. Vydali sme aj aktualizácie zabezpečenia našich cloudových služieb.  Pokračujeme v úzkej spolupráci s partnermi v odvetví vrátane výrobcov čipov, výrobcov OEM hardvéru a dodávateľov aplikácií, aby sme zákazníkov ochránili pred touto triedou zraniteľnosti.

Odporúčame vždy inštalovať mesačné aktualizácie, aby boli vaše zariadenia neustále aktualizované a zabezpečené.

Túto dokumentáciu aktualizujeme, keď budú k dispozícii nové zmiernenia, a odporúčame vám, aby ste sa sem pravidelne vracali.

Aktualizácie operačného systému Windows z júla 2019

6. augusta 2019 zverejnila spoločnosť Intel podrobnosti o ohrození zabezpečenia CVE-2019-1125 | Windows Kernel Information Disclosure Vulnerability. Aktualizácie zabezpečenia týkajúce sa tohto rizika boli vydané ako súčasť mesačnej aktualizácie z júla 9. júla 2019.

Spoločnosť Microsoft vydala 9. júla 2019 aktualizáciu zabezpečenia pre operačný systém Windows, aby pomohla zmierniť tento problém. Zdržali sme sa verejnej dokumentácie tohto zmiernenia až do koordinovaného zverejnenia odvetvia v utorok 6. augusta 2019.

Zákazníci, ktorí majú povolenú službu Windows Update a použili aktualizácie zabezpečenia vydané 9. júla 2019, sú automaticky chránení. Upozorňujeme, že toto riziko nevyžaduje aktualizáciu mikrokódu od výrobcu zariadenia (OEM).

Aktualizácie operačného systému Windows z mája 2019

14. mája 2019 spoločnosť Intel publikovala informácie o novej podtriede rizika špekulatívneho spúšťania bočného kanála známej ako Microarchitectural Data Sampling a boli im priradené nasledujúce CVE:

• CVE-2018-11091 – Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
• CVE-2018-12126 – Microarchitectural Store Buffer Data Sampling (MSBDS)
• CVE-2018-12127 – "Microarchitectural Fill Buffer Data Sampling (MFBDS)"
• CVE-2018-12130 – "Microarchitectural Load Port Data Sampling (MLPDS)"

Ďalšie informácie o tomto probléme nájdete v nasledujúcich radách zabezpečenia a použite pokyny založené na scenároch uvedené v článkoch Sprievodca Windowsom pre klientov a servery, aby ste určili kroky potrebné na zmiernenie hrozby:

• ADV 190013 | Pokyny spoločnosti Microsoft na zmiernenie zraniteľností pri vytváraní vzoriek mikroarchitektonických údajov
• KB 4073119 | Pokyny pre klienta Windows IT Pro na ochranu pred rizikom špekulatívneho spustenia bočného kanála
• KB 4457951 | Pokyny pre Windows Server na ochranu pred rizikom špekulatívneho spustenia bočného kanála

Spoločnosť Microsoft vydala ochranu pred novou podtriedou rizika špekulatívneho spúšťania bočného kanála známou ako Microarchitectural Data Sampling pre 64-bitovú (x64) verziu Windowsu (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130).

Použite nastavenia databázy Registry, ako je popísané v článkoch Windows Client (KB4073119) a Windows Server (KB4457951). Tieto nastavenia databázy Registry sú predvolene zapnuté pre vydania operačného systému Windows Client a vydania operačného systému Windows Server.

Odporúčame vám pred inštaláciou aktualizácií mikrokódu najprv nainštalovať všetky najnovšie aktualizácie zo služby Windows Update.

Ďalšie informácie o tomto probléme a odporúčaných akciách nájdete v nasledujúcom poradí zabezpečenia:

• ADV 190013 | Pokyny spoločnosti Microsoft na zmiernenie zraniteľností pri vytváraní vzoriek mikroarchitektonických údajov

Spoločnosť Intel vydala aktualizáciu mikrokódu pre najnovšie platformy procesorov, ktorá má pomôcť zmierniť chyby CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130. Článok 4093836 KB systému Windows zo 14. mája 2019 obsahuje zoznam konkrétnych článkov databázy Knowledge Base rozdelených podľa verzií operačného systému Windows.  Článok obsahuje aj prepojenia na dostupné aktualizácie mikrokódu Intel rozdelené podľa procesora. Tieto aktualizácie sú k dispozícii prostredníctvom katalógu služby Microsoft.

Poznámka: Pred inštaláciou aktualizácií mikrokódu odporúčame nainštalovať všetky najnovšie aktualizácie zo služby Windows Update.

S potešením oznamujeme, že funkcia Retpoline je predvolene zapnutá v zariadeniach so systémom Windows 10, verzia 1809 (pre klienta aj server), ak je zapnutá funkcia Spectre Variant 2 (CVE-2017-5715). Povolením funkcie Retpoline v najnovšej verzii Windows 10 prostredníctvom aktualizácie zo 14. mája 2019 (KB 4494441) očakávame lepší výkon, najmä na starších procesoroch.

Zákazníci by sa mali uistiť, že predchádzajúce ochrany operačného systému pred rizikom Spectre variant 2 sú povolené pomocou nastavení databázy Registry, ktoré sú popísané v článkoch Windows Client a Windows Server. (Tieto nastavenia databázy Registry sú predvolene zapnuté pre vydania operačného systému Windows Client, ale predvolene sú vypnuté pre vydania operačného systému Windows Server). Ďalšie informácie o "Retpoline" nájdete v téme Zmiernenie rizík Spectre variant 2 pomocou funkcie Retpoline vo Windows.

Aktualizácie operačného systému Windows z novembra 2018

Spoločnosť Microsoft vydala ochranu operačného systému pre špekulatívne obídenie ukladania (CVE-2018-3639) pre procesory AMD.

Spoločnosť Microsoft vydala dodatočnú ochranu operačného systému pre zákazníkov používajúcich 64-bitové procesory ARM. Ak chcete získať podporu firmvéru, obráťte sa na výrobcu OEM svojho zariadenia, pretože ochrany operačného systému ARM64, ktoré zmierňujú chyby CVE-2018-3639, špekulatívne obídenie ukladania, vyžadujú najnovšiu aktualizáciu firmvéru od výrobcu OEM vášho zariadenia.

Aktualizácie operačného systému Windows zo septembra 2018

11. septembra 2018 spoločnosť Microsoft vydala Windows Server 2008 SP2 Monthly Rollup 4458010 and Security Only 4457984 for Windows Server 2008, ktoré poskytujú ochranu pred novou zraniteľnosťou špekulatívneho spúšťania bočného kanála známou ako Terminálová chyba L1 (L1TF), ktorá ovplyvňuje procesory Intel® Core® a Intel® Xeon® (CVE-2018-3620 a CVE-2018-3646).

Týmto vydaním sa dopĺňajú dodatočné ochrany na všetkých podporovaných verziách systému Windows prostredníctvom služby Windows Update. Ďalšie informácie a zoznam ovplyvnených produktov nájdete na stránke ADV180018 | Pokyny spoločnosti Microsoft na zmiernenie variantu L1TF.

Poznámka: Windows Server 2008 SP2 teraz používa štandardný súhrnný model údržby systému Windows. Ďalšie informácie o týchto zmenách nájdete na našom blogu Servisné zmeny Windows Server 2008 SP2. Zákazníci, ktorí používajú verziu Windows Server 2008, by si mali nainštalovať 4458010 alebo 4457984 doplnok k aktualizácii zabezpečenia 4341832, ktorá bola vydaná 14. augusta 2018. Zákazníci by tiež mali zabezpečiť, aby predchádzajúce ochrany operačného systému pred zraniteľnosťami Spectre Variant 2 a Meltdown boli povolené pomocou nastavení databázy Registry uvedených v článkoch databázy KB pre Windows Client a Windows Server. Tieto nastavenia databázy Registry sú predvolene zapnuté pre vydania operačného systému Windows Client, ale predvolene sú vypnuté pre vydania operačného systému Windows Server.

Spoločnosť Microsoft vydala dodatočnú ochranu operačného systému pre zákazníkov používajúcich 64-bitové procesory ARM. Ak chcete získať podporu firmvéru, obráťte sa na výrobcu OEM svojho zariadenia, pretože ochrany operačného systému ARM64, ktoré zmierňujú obmedzenie CVE-2017-5715 - Branch target injection (Spectre, variant 2) vyžadujú na účinné najnovšie aktualizácie firmvéru od výrobcov OEM vášho zariadenia.

Aktualizácie operačného systému Windows z augusta 2018

14. augusta 2018 bola oznámená porucha terminálu L1 (L1TF) a priradili sa jej viaceré CVE. Tieto nové riziká špekulatívneho spúšťania bočného kanála možno použiť na čítanie obsahu pamäte cez dôveryhodnú hranicu a v prípade ich zneužitia môžu viesť k úniku informácií. V závislosti od nakonfigurovaného prostredia existuje viacero vektorov, pomocou ktorých môže útočník vyvolať zraniteľnosti. L1TF ovplyvňuje procesory Intel® Core a Intel® Xeon®®.

Ďalšie informácie o L1TF a podrobný prehľad ovplyvnených scenárov vrátane prístupu spoločnosti Microsoft k zmierneniu L1TF nájdete v nasledujúcich zdrojoch:

• ADV180018 | Pokyny spoločnosti Microsoft na obmedzenie variantu L1TF
• Poradenstvo v oblasti zabezpečenia, blog o výskume zabezpečenia
• Pokyny pre server pre poruchu terminálu L1

Aktualizácie operačného systému Windows z júla 2018

S potešením oznamujeme, že spoločnosť Microsoft dokončila vydávanie dodatočnej ochrany pre všetky podporované verzie systému Windows prostredníctvom služby Windows Update pre nasledujúce chyby:

• Spectre Variant 2 pre procesory AMD
• Špekulatívne obídenie Storu pre procesory Intel

13. júna 2018 bola oznámená ďalšia zraniteľnosť zahŕňajúca špekulatívne spustenie vedľajších kanálov, známe ako Lazy FP State Restore, a bolo jej priradené CVE-2018-3665. Na obnovenie FP Lazy Restore nie sú potrebné žiadne nastavenia konfigurácie (databázy Registry).

Ďalšie informácie o tomto ohrození zabezpečenia, ovplyvnených produktoch a odporúčaných akciách nájdete v nasledujúcom poradí zabezpečenia:

• ADV180016 | Pokyny spoločnosti Microsoft na obnovenie stavu Lazy FP

12. júna spoločnosť Microsoft oznámila podporu Windowsu pre Speculative Store Bypass Disable (SSBD) v procesoroch Intel. Aktualizácie vyžadujú zodpovedajúce aktualizácie firmvéru (mikrokód) a databázy Registry. Informácie o aktualizáciách a postupoch na zapnutie SSBD nájdete v časti Odporúčané akcie v ADV180012 | Pokyny spoločnosti Microsoft pre špekulatívne obídenie Storu.

Aktualizácie operačného systému Windows z mája 2018

V januári 2018 spoločnosť Microsoft zverejnila informácie o novoobjavenej triede ohrození hardvéru (známych ako Spectre a Meltdown), ktoré zahŕňajú bočné kanály špekulatívneho spúšťania, ktoré v rôznej miere ovplyvňujú procesory AMD, ARM a Intel. Dňa 21. mája 2018 Google Project Zero (GPZ), Microsoft a Intel zverejnili dve nové chyby čipov, ktoré súvisia s problémami Spectre a Meltdown, ktoré sú známe ako Speculative Store Bypass (SSB) a Rogue System Registry Read.

Riziko zákazníka vyplývajúce z oboch zverejnení je nízke.

Ďalšie informácie o týchto rizikách nájdete v nasledujúcich zdrojoch:

• Poradenstvo zabezpečenia spoločnosti Microsoft pre špekulatívne obídenie obchodu:MSRC ADV180012 a CVE-2018-3639
• Poradenstvo zabezpečenia spoločnosti Microsoft pre registráciu škodlivého systému Prečítajte si: MSRC ADV180013 a CVE-2018-3640
• Výskum zabezpečenia a obrana:Analýza a zmiernenie špekulatívneho obídenia ukladania (CVE-2018-3639)

Vzťahuje sa na: Windows 10, verzia 1607, Windows Server 2016, Windows Server 2016 (inštalácia Server Core) a Windows Server, verzia 1709 (inštalácia Server Core)

Poskytli sme podporu kontroly používania z nepriamych vetiev predikcie prekážok (IBPB) v rámci niektorých procesorov AMD (CPU) na zníženie rizika CVE-2017-5715 Spectre variant 2 pri prechode z používateľského kontextu do kontextu jadra. (Ďalšie informácie nájdete v pokynoch AMD pre architektúru týkajúcich sa nepriameho riadenia vetiev a Aktualizácie zabezpečenia od spoločnosti AMD).

Zákazníci, ktorí používajú Windows 10 verzie 1607, Windows Server 2016, Windows Server 2016 (inštalácia serverového jadra) a Windows Server, verzie 1709 (inštalácia serverového jadra), si musia nainštalovať aktualizáciu zabezpečenia 4103723 na ďalšie obmedzenia rizík pre procesory AMD pre CVE-2017-5715, pobočka Cieľová injekcia. Táto aktualizácia je k dispozícii aj prostredníctvom služby Windows Update.

Postupujte podľa pokynov uvedených v 4073119 KB pre klientske pokyny pre Windows (IT Pro) a KB 4072698 pre Windows Server pokyny, aby ste povolili používanie bariéry IBPB v rámci niektorých procesorov (CPU) AMD na obmedzenie 2. verzie ohrozenia Spectre pri prechode z používateľského kontextu do kontextu jadra.

Spoločnosť Microsoft sprístupňuje aktualizované mikrokódy spoločnosti Intel týkajúce sa chyby Spectre Variant 2 (CVE-2017-5715, Branch Target Injection**"**). Ak chcú zákazníci získať najnovšie aktualizácie mikrokódov Intel prostredníctvom služby Windows Update, musia mať nainštalovaný mikrokód Intel v zariadeniach s operačným systémom Windows 10 ešte pred inováciou na aktualizáciu Windowsu 10 z apríla 2018 (verzia 1803).

Aktualizácia mikrokódu je k dispozícii priamo z katalógu aj vtedy, ak nebol nainštalovaný v zariadení ešte pred inováciou operačného systému. Mikrokód Intel je k dispozícii prostredníctvom služby Windows Update, WSUS alebo Katalógu služby Microsoft Update. Ďalšie informácie a pokyny na stiahnutie nájdete v článku KB 4100347.

Ponúkneme ďalšie aktualizácie mikrokódov od spoločnosti Intel pre operačný systém Windows, keď budú k dispozícii spoločnosti Microsoft.

Vzťahuje sa na: Windows 10, verzia 1709

Poskytli sme podporu kontroly používania z nepriamych vetiev predikcie prekážok (IBPB) v rámci niektorých procesorov AMD (CPU) na zníženie rizika CVE-2017-5715 Spectre variant 2 pri prechode z používateľského kontextu do kontextu jadra. (Ďalšie informácie nájdete v pokynoch AMD pre architektúru týkajúcich sa nepriameho riadenia vetiev a Aktualizácie zabezpečenia od spoločnosti AMD).

Postupujte podľa pokynov uvedených v článku KB 4073119 pre klientov Windows (IT Pro), aby ste povolili používanie bariéry IBPB v rámci niektorých procesorov (CPU) AMD na obmedzenie 2. verzie ohrozenia Spectre pri prechode z používateľského kontextu do kontextu jadra.

Spoločnosť Microsoft sprístupňuje aktualizované mikrokódy spoločnosti Intel týkajúce sa variantu 2 chyby Spectre (CVE-2017-5715, Vloženie cieľa vetvy). KB4093836 uvádza konkrétne články databázy Knowledge Base rozdelené podľa verzií Windowsu. Každý konkrétny článok KB obsahuje najnovšie dostupné aktualizácie mikrokódu Intel rozdelené podľa procesora.

Ponúkneme ďalšie aktualizácie mikrokódov od spoločnosti Intel pre operačný systém Windows, keď budú k dispozícii spoločnosti Microsoft.

Aktualizácie operačného systému Windows z marca 2018 a novšie verzie

23. marca TechNet Security Research & Defense: KVA Shadow: Mitigating Meltdown on Windows

14. marca, Security Tech Center: Podmienky programu Bounty pre špekulatívne spustenie bočného kanála Bounty

Blog z 13. marca: Marec 2018 Aktualizácia Windows Zabezpečenie – rozšírenie nášho úsilia o ochranu zákazníkov

Blog z 1. marca: Aktualizácia aktualizácií zabezpečenia rizík Spectre a Meltdown pre zariadenia s Windowsom

V marci 2018 spoločnosť Microsoft vydala aktualizácie zabezpečenia, ktoré obmedzujú riziká pri zariadeniach používajúcich nasledujúce operačné systémy Windows založené na platforme x86. Zákazníci by si mali nainštalovať najnovšie aktualizácie zabezpečenia operačného systému Windows, aby mohli využívať dostupné ochrany. Pracujeme na poskytovaní ochrany pre ďalšie podporované verzie Windowsu, ale v tejto chvíli nemáme k dispozícii plán vydaní. Vráťte sa sem a pozrite si aktualizácie. Ďalšie technické podrobnosti nájdete v súvisiacom článku databázy Knowledge Base a v časti Najčastejšie otázky.

V marci 2018 spoločnosť Microsoft vydala aktualizácie zabezpečenia, ktoré obmedzujú riziká pri zariadeniach používajúcich nasledujúce operačné systémy Windows založené na platforme x64. Zákazníci by si mali nainštalovať najnovšie aktualizácie zabezpečenia operačného systému Windows, aby mohli využívať dostupné ochrany. Pracujeme na poskytovaní ochrany pre ďalšie podporované verzie Windowsu, ale v tejto chvíli nemáme k dispozícii plán vydaní. Vráťte sa sem a pozrite si aktualizácie. Ďalšie informácie nájdete v súvisiacom článku vedomostná databáza, kde nájdete technické podrobnosti a časť Najčastejšie otázky.

Táto aktualizácia rieši riziko súvisiace so zvýšením oprávnenia v jadre Windowsu v 64-bitovej (x64) verzii Windowsu. Toto riziko je zdokumentované v CVE-2018-1038. Používatelia musia túto aktualizáciu použiť, aby boli plne chránení pred týmto ohrozením, ak boli ich počítače aktualizované v januári 2018 alebo neskôr použitím niektorej z aktualizácií uvedených v nasledujúcom článku databázy Knowledge Base:

Aktualizácia jadra Windowsu pre CVE-2018-1038

Táto aktualizácia zabezpečenia rieši niekoľko hlásených rizík v Internet Exploreri. Ďalšie informácie o týchto rizikách nájdete v téme Bežné chyby a expozície spoločnosti Microsoft.

Aktualizácie operačného systému Windows z februára 2018

Blog: Windows Analytics teraz pomáha vyhodnocovať ochranu pred ohrozeniami Spectre a Meltdown

Nasledujúce aktualizácie zabezpečenia poskytujú dodatočnú ochranu pre zariadenia s 32-bitovou (x86) verziou operačného systému Windows. Spoločnosť Microsoft odporúča zákazníkom, aby si aktualizáciu nainštalovali čo najskôr, ako bude k dispozícii. Naďalej pracujeme na poskytovaní ochrany pre ďalšie podporované verzie Windowsu, ale v tejto chvíli nemáme stanovený plán vydaní. Vráťte sa sem a pozrite si aktualizácie.

Poznámka: Mesačné aktualizácie zabezpečenia systému Windows 10 sa kumulujú každý mesiac a automaticky sa sťahujú a inštalujú z lokality Windows Update. Ak máte nainštalované staršie aktualizácie, do zariadenia sa stiahnu a nainštalujú iba nové časti. Ďalšie technické podrobnosti nájdete v súvisiacom článku databázy Knowledge Base a v časti Najčastejšie otázky.

Aktualizácie operačného systému Windows z januára 2018

Blog: Pochopenie vplyvu protiopatrení proti rizíkám Spectre a Meltdown na výkon systémov Windows

V januári 2018 spoločnosť Microsoft vydala aktualizácie zabezpečenia na obmedzenie rizík pre zariadenia používajúce nasledujúce operačné systémy Windows založené na platforme x64. Zákazníci by si mali nainštalovať najnovšie aktualizácie zabezpečenia operačného systému Windows, aby mohli využívať dostupné ochrany. Pracujeme na poskytovaní ochrany pre ďalšie podporované verzie Windowsu, ale v tejto chvíli nemáme k dispozícii plán vydaní. Vráťte sa sem a pozrite si aktualizácie. Ďalšie technické podrobnosti nájdete v súvisiacom článku databázy Knowledge Base a v časti Najčastejšie otázky.

9. apríla 2024 sme publikovali CVE-2022-0001 | Intel Branch History Injection , ktorý popisuje funkciu Branch History Injection (BHI), čo je špecifická forma vnútromodovej ZINTO. Toto riziko sa vyskytuje, keď útočník môže manipulovať s históriou vetvy pred prechodom z režimu používateľa do režimu kontrolóra (alebo z režimu VMX bez koreňového/hosťovského do koreňového režimu). Táto manipulácia môže spôsobiť, že prediktor nepriamych vetiev vyberie konkrétnu položku prediktora pre nepriamu vetvu a miniaplikácia zverejnenia v predpokladanom cieli sa niekedy vykoná. Môže to byť možné, pretože relevantná história vetvy môže obsahovať vetvy preberané v predchádzajúcich kontextoch zabezpečenia, a najmä iných režimov prediktorov.

Postupujte podľa pokynov uvedených v sprievodných materiáloch KB4073119 pre klientov Windows (IT Pro) a KB4072698 pokynov na Windows Server na zmiernenie rizík opísaných v CVE-2022-0001 | Vloženie histórie vetvy Intel.

Poradenstvo zabezpečenia spoločnosti Microsoft pre poruchu terminálu L1 (L1TF):MSRC ADV180018, CVE-2018-3615, CVE-2018-3620 a CVE-2018-3646

Výskum zabezpečenia a obrana:Analýza a zmiernenie špekulatívneho obídenia ukladania (CVE-2018-3639)

Poradenstvo zabezpečenia spoločnosti Microsoft pre špekulatívne obídenie obchodu:MSRC ADV180012 a CVE-2018-3639

Poradenstvo zabezpečenia spoločnosti Microsoft pre škodlivý register Prečítajte si | Sprievodca aktualizáciou zabezpečenia pre Surface: MSRC ADV180013 a CVE-2018-3640

Výskum zabezpečenia a obrana:Analýza a zmiernenie špekulatívneho obídenia ukladania (CVE-2018-3639)

TechNet Security Research & Defense:KVA Shadow: Mitigating Meltdown on Windows

Security Tech Center:Speculative Execution Podmienky programu Bounty Bounty pre bočný kanál

Blog Microsoft Experience :Aktualizácia aktualizácií zabezpečenia rizík Spectre a Meltdown pre zariadenia s Windowsom

Blog o Windowse for Business: Windows Analytics teraz pomáha vyhodnocovať ochranu pred rizikami Spectre a Meltdown

Blog Microsoft Secure: Porozumenie dopadu protiopatrení proti rizíkám Spectre a Meltdown na výkon systémov Windows

Blog vývojárov pre Edge: Zmiernenie útokov špekulatívneho spúšťanie bočného kanála v Microsoft Edgi a Internet Exploreri

Blog Azure: Zabezpečenie zákazníkov Azure pred rizikom procesora

Pokyny SCCM: Ďalšie pokyny ako znížiť riziko špekulatívneho spustenia bočného kanála

Poradenstvo spoločnosti Microsoft:

• ADV180002 | Pokyny na zmiernenie rizika špekulatívneho spustenia bočného kanála
• ADV180012 | Odporúčanie spoločnosti Microsoft pre špekulatívne obídenie obchodu
• ADV180013 | Pokyny spoločnosti Microsoft pre škodlivý systém Register Prečítajte si
• ADV180016 | Pokyny spoločnosti Microsoft na obnovenie stavu Lazy FP
• ADV180018 | Pokyny spoločnosti Microsoft na obmedzenie variantu L1TF

Intel: poradenstvo zabezpečenia

ARM: poradenstvo zabezpečenia

AMD: poradenstvo zabezpečenia

NVIDIA:poradenstvo zabezpečenia

Pokyny pre používateľov: Ochrana zariadenia pred ohrozeniami zabezpečenia čipov

Antivírusové pokyny: Aktualizácie zabezpečenia Windowsu vydané 3 januára 2018 a antivírusový softvér

Pokyny k bloku aktualizácií zabezpečenia operačných systémov AMD Windows: KB4073707: blok aktualizácií zabezpečenia operačného systému Windows pre niektoré zariadenia AMD

Aktualizácia na vypnutie obmedzenia rizík súvisiacich s chybou Spectre, variant 2: KB4078130: Spoločnosť Intel identifikovala problémy s reštartom v mikrokóde na niektorých starších procesoroch

Pokyny pre Surface: Pokyny pre zariadenia Surface na ochranu pred rizikom špekulatívneho spustenia bočného kanála

Overenie stavu obmedzení špekulatívneho spúšťania bočného kanála: Pochopenie výstupu skriptu Get-SpeculationControlSettings prostredia PowerShell

Pokyny pre IT profesionálov: Pokyny klienta Windows pre IT profesionálov na ochranu pred rizikom špekulatívneho spustenia bočného kanála

Pokyny pre servery: Pokyny pre servery s Windowsom na ochranu pred rizikom špekulatívneho spustenia bočného kanála

Pokyny pre server pre poruchu terminálu L1: Pokyny pre Windows Server na ochranu pred poruchou terminálu L1

Pokyny pre vývojárov:Pokyny pre vývojárov týkajúce sa špekulatívneho obídenia Storu

Pokyny pre technológiu Hyper-V Server

• Ovládacie prvky virtuálneho strojového systému
• Správa zdrojov hostiteľského procesora technológie Hyper-V

Azure KB: KB4073235: Ochrany Microsoft Cloudu pred rizikami špekulatívneho spúšťania bočného kanála

Pokyny pre zoskupenie Azure: KB4073418: pokyny pre zoskupenie Azure na ochranu pred rizikom špekulatívneho spustenia bočného kanála

Spoľahlivosť Azure: portál spoľahlivosti Azure

Pokyny pre SQL Server: KB4073225: Pokyny pre SQL Server na ochranu pred rizikom špekulatívneho spustenia bočného kanála

Prepojenia na výrobcov OEM a serverových zariadení so zdrojmi aktualizácií na ochranu pred rizikami Spectre a Meltdown

Ak chcete odstrániť tieto riziká, musíte aktualizovať hardvér aj softvér. Pomocou nasledujúcich prepojení získate od výrobcu zariadenia potrebné aktualizácie firmvéru (mikrokódu).

Aktualizácie firmvéru (mikrokódu) hľadajte u výrobcu svojho zariadenia. Ak chcete zabezpečiť všetku dostupnú ochranu, budete musieť nainštalovať aktualizácie operačného systému aj aktualizácie firmvéru (mikrokódu).

Aktualizácie firmvéru (mikrokódu) v zariadení získate od výrobcu zariadenia. Ak výrobca zariadenia nie je uvedený v tabuľke, kontaktujte ho priamo.

Aktualizácie pre zariadenia Microsoft Surface sú k dispozícii pre zákazníkov prostredníctvom služby Windows Update. Zoznam dostupných aktualizácií firmvéru (mikrokódu) zariadenia Surface nájdete v téme KB 4073065.

Ak vaše zariadenie nepochádza od spoločnosti Microsoft, použite aktualizácie firmvéru od výrobcu zariadenia. Ďalšie informácie vám poskytne výrobca zariadenia.

Riešenie chyby hardvéru pomocou aktualizácie softvéru predstavuje veľkú výzvu a obmedzovanie rizík pre staršie operačné systémy môže vyžadovať veľké zmeny v architektúre. Pokračujeme v spolupráci s výrobcami ohrozených čipov s cieľom zistiť, aký je najlepší spôsob, ako zamedziť rizikám. Táto možnosť môže byť k dispozícii v budúcej aktualizácii. Zostávajúce riziko by mala vyriešiť výmena starších zariadení so staršími operačnými systémami a tiež aktualizácia antivírusového softvéru.

Hoci systémy založené na Windowse XP sú ohrozené produkty, spoločnosť Microsoft pre ne nevydáva aktualizáciu, pretože by nevyhnutné komplexné zmeny architektúry ohrozili stabilitu systému a spôsobili by problémy s kompatibilitou aplikácií. Odporúčame zákazníkom, ktorým záleží na zabezpečené, aby inovovali na novší podporovaný operačný systém, aby držali krok s meniacimi sa bezpečnostnými hrozbami a využívali robustnejšiu ochranu poskytovanú novšími operačnými systémami.

Aktualizácie na Windows 10 pre HoloLens sú k dispozícii pre zákazníkov s HoloLens prostredníctvom služby Windows Update.

Po použitíaktualizácie Windows Zabezpečenie z februára 2018 nemusia zákazníci s HoloLens vykonať žiadne ďalšie kroky na aktualizáciu firmvéru zariadenia. Tieto obmedzenia budú zahrnuté aj vo všetkých budúcich vydaniach Windowsu 10 pre HoloLens.

Ďalšie informácie vám poskytne výrobca OEM.

Na úplnú ochranu zariadenia by ste mali inštalovať najnovšie aktualizácie zabezpečenia operačného systému Windows pre svoje zariadenie a príslušné aktualizácie firmvéru (mikrokódu) od výrobcu zariadenia. Tieto aktualizácie firmvéru by mali byť k dispozícii na webovej lokalite výrobcu zariadenia. Najskôr si však nainštalujte aktualizácie antivírusového softvéru. Aktualizácie operačného systému a firmvéru možno nainštalovať v ľubovoľnom poradí.

Na odstránenie tohto rizika budete musieť aktualizovať hardvér aj softvér. Ak chcete zabezpečiť ešte komplexnejšiu ochranu, musíte nainštalovať aj príslušné aktualizácie firmvéru (mikrokódu) od výrobcu zariadenia. Odporúčame vám udržiavať svoje zariadenia aktualizované a zabezpečené inštaláciou aktualizácií zabezpečenia každý mesiac.

V každej aktualizácii funkcií Windowsu 10 zavádzame najnovšie technológie zabezpečenia hlboko do operačného systému, poskytujeme hĺbkové funkcie ochrany, ktoré bránia celým triedam malvéru vplývať na vaše zariadenie. Aktualizácie funkcií sú vydávané dvakrát ročne. V každej mesačnej aktualizácii pridávame ďalšiu vrstvu zabezpečenia, ktorá sleduje nové a meniace sa trendy malvéru, aby boli aktuálne systémy bezpečnejšie tvárou v tvár meniacim sa a vyvíjajúcim sa hrozbám.

Spoločnosť Microsoft zrušila kontrolu kompatibility AV pre aktualizácie zabezpečenia Windowsu pre podporované verzie zariadení Windows 10, Windows 8.1 a Windows 7 SP1 prostredníctvom služby Windows Update. 

Odporúčania:

• Uistite sa, že vaše zariadenia sú aktualizované najnovšími aktualizáciami zabezpečenia od spoločnosti Microsoft a výrobcu hardvéru. Ďalšie informácie o aktualizovaní zariadenia nájdete v téme Windows Update: najčastejšie otázky.
• Naďalej postupujte obozretne pri návšteve webových lokalít neznámeho pôvodu a nezotrvávajte na lokalitách, ktorým nedôverujete. Spoločnosť Microsoft odporúča všetkým zákazníkom chrániť svoje zariadenia používaním podporovaného antivírusového programu. Zákazníci môžu využívať aj vstavanú ochranu pred vírusmi: Windows Defender pre zariadenia s Windowsom 10 alebo zabezpečenie od spoločnosti Microsoft Essentials pre zariadenia s Windowsom 7. Tieto riešenia sú kompatibilné v prípadoch, keď zákazníci nemôžu nainštalovať alebo spustiť antivírusový softvér.

Aktualizácie zabezpečenia Windowsu vydané v januári alebo februári neboli ponúknuté všetkým zákazníkom, aby sme sa vyhli nepriaznivému ovplyvneniu zariadení zákazníkov. Podrobnosti nájdete v článku databázy Microsoft Knowledge Base 4072699.

Spoločnosť Intel nahlásila problémy týkajúce sa nedávno vydaného mikrokódu, ktorý je určený na riešenie chyby Spectre Variant 2 (CVE-2017-5715 – Branch Target Injection). Spoločnosť Intel konkrétne poznamenala, že tento mikrokód môže spôsobiť "vyšší ako očakávaný počet reštartov a iné nepredvídateľné správanie systému" a tiež, že situácie, ako je táto, môžu spôsobiť "stratu alebo poškodenie údajov".  Na základe vlastnej skúsenosti môžeme konštatovať, že nestabilita systému môže v niektorých prípadoch spôsobiť stratu alebo poškodenie údajov. 22. januára spoločnosť Intel odporučila, aby zákazníci zastavili nasadzovanie súčasnej verzie mikrokódu na ovplyvnených procesoroch, kým dokončia ďalšie testovanie na aktualizovanom riešení. Chápeme, že spoločnosť Intel pokračuje v skúmaní potenciálneho vplyvu súčasnej verzie mikrokódu, a odporúčame zákazníkom, aby priebežne prehodnocovali svoje pokyny a pri rozhodovaní pracovali s aktuálnymi informáciami.

Zatiaľ čo spoločnosť Intel testuje, aktualizuje a nasadzuje nový mikrokód, sprístupňujeme aktualizáciu mimo pásma (OOB) KB 4078130, ktorá špecificky zakazuje iba nápravu chyby CVE-2017-5715 – "Branch Target Injection". Pri našich testoch sa zistilo, že táto aktualizácia zabraňuje opísanému správaniu. Úplný zoznam zariadení nájdete v téme Pokyny spoločnosti Intel na revíziu mikrokódu. Táto aktualizácia sa vzťahuje na Windows 7 (SP1), Windows 8.1 a všetky verzie Windowsu 10, klientske aj serverové. Ak používate ovplyvnené zariadenie, túto aktualizáciu môžete použiť tak, že ju stiahnete z webovej lokality Katalóg služby Microsoft Update. Použitie tejto údajovej časti specificky zakazuje iba nápravu chyby CVE-2017-5715 – Vloženie cieľa vetvy.

Od 25. januára nie sú známe žiadne správy, ktoré by naznačovali, že tento variant 2 chyby Spectre (CVE-2017-5715) bol použitý na útok na zákazníkov. Odporúčame, aby vo vhodných prípadoch používatelia Windowsu znova povolili nápravu chyby CVE-2017-5715, keď spoločnosť Intel oznámi, že toto nepredvídateľné správanie systému bolo pre vaše zariadenie vyriešené.

Nie. Aktualizácie iba zabezpečenia nie sú kumulatívne. V závislosti od verzie operačného systému, ktorú používate, musíte nainštalovať všetky vydané aktualizácie zabezpečenia, aby ste boli chránení pred týmito rizikami. Ak napríklad používate Windows 7 pre 32-bitové systémy na procesore Intel a procesore Intel, od januára 2018 je potrebné nainštalovať všetky aktualizácie len na zabezpečenie. Tieto aktualizácie zabezpečenia odporúčame nainštalovať v uvedenom poradí, v akom sú vydané.
 
Poznámka V skoršej verzii týchto najčastejších otázok bolo nesprávne uvedené, že februárová aktualizácia zabezpečenia obsahuje opravy zabezpečenia vydané v januári. V skutočnosti nie.

Nie. Aktualizácia zabezpečenia 4078130 bola špeciálna oprava na predchádzanie nepredvídateľnému správaniu systému, problémom s výkonom a neočakávaným reštartom po inštalácii mikrokódu. Použitie februárových aktualizácií zabezpečenia v klientskych operačných systémoch Windows umožňuje všetky tri zmiernenia. V operačných systémoch Windows Server je po vykonaní príslušných testov potrebné povoliť obmedzenia rizík. Ďalšie informácie nájdete v článku databázy Microsoft Knowledge Base 4072698 .

Spoločnosť AMD nedávno oznámila , že začala uvoľňovať mikrokód pre novšie platformy procesorov okolo variantu 2 chyby Spectre (CVE-2017-5715, Branch Target Injection). Ďalšie informácie nájdete v téme AMD Security Aktualizácie a Technická dokumentácia spoločnosti AMD: Pokyny pre architektúru týkajúce sa nepriameho riadenia vetiev. Sú k dispozícii z kanála firmvéru OEM.

Spoločnosť Intel nedávno oznámila, že dokončila svoje validácie a začala uvoľňovať mikrokód pre novšie platformy procesorov. Spoločnosť Microsoft sprístupňuje aktualizované mikrokódy spoločnosti Intel týkajúce sa variantu 2 chyby Spectre (CVE-2017-5715, Vloženie cieľa vetvy). KB 4093836 uvádza konkrétne články databázy Knowledge Base rozdelené podľa verzií Windowsu. Každý konkrétny článok KB obsahuje dostupné aktualizácie mikrokódu Intel rozdelené podľa procesora.

Spoločnosť Microsoft sprístupňuje aktualizované mikrokódy spoločnosti Intel týkajúce sa chyby Spectre Variant 2 (CVE-2017-5715, Branch Target Injection**"**). Ak chcú zákazníci získať najnovšie aktualizácie mikrokódov Intel prostredníctvom služby Windows Update, musia mať nainštalovaný mikrokód Intel v zariadeniach s operačným systémom Windows 10 ešte pred inováciou na aktualizáciu Windowsu 10 z apríla 2018 (verzia 1803).

Aktualizácia mikrokódu je k dispozícii priamo z katalógu aktualizácií, ak nebol nainštalovaný v zariadení ešte pred inováciou systému. Mikrokód Intel je k dispozícii prostredníctvom služby Windows Update, WSUS alebo Katalógu služby Microsoft Update. Ďalšie informácie a pokyny na stiahnutie nájdete v článku KB 4100347.

Ďalšie informácie nájdete v týchto témach:

• ADV180012 | Pokyny spoločnosti Microsoft pre špekulatívne obídenie ukladania pre CVE-2018-3639
• ADV180013 | Pokyny spoločnosti Microsoft pre neautorizovanú systémovú registráciu Read for CVE-2018-3640 a KB 4073065 | Pokyny pre zákazníkov používajúcich zariadenia Surface
• Blog o výskume zabezpečenia a obrane spoločnosti Microsoft
• Pokyny pre vývojárov týkajúce sa špekulatívneho obídenia Storu

Podrobnosti nájdete v častiach Odporúčané akcie a Najčastejšie otázky v ADV180012 | Pokyny spoločnosti Microsoft pre špekulatívne obídenie Storu.

Na overenie stavu SSBD bol skript Get-SpeculationControlSettings PowerShell aktualizovaný tak, aby zisťoval ovplyvnené procesory, stav aktualizácií operačného systému SSBD a prípadný stav mikrokódu procesora. Ďalšie informácie a informácie o získaní skriptu prostredia PowerShell nájdete v téme KB4074629.

13. júna 2018 bola oznámená ďalšia zraniteľnosť zahŕňajúca špekulatívne spustenie vedľajších kanálov, známe ako Lazy FP State Restore, a bolo jej priradené CVE-2018-3665. Na obnovenie FP Lazy Restore nie sú potrebné žiadne nastavenia konfigurácie (databázy Registry).

Ďalšie informácie o tomto ohrození a odporúčaných akciách nájdete v Upozornení zabezpečenia: ADV180016 | Pokyny spoločnosti Microsoft na obnovenie stavu Lazy FP

Poznámka Na obnovenie FP Lazy Restore nie sú potrebné žiadne nastavenia konfigurácie (databázy Registry).

Bounds Check Bypass Store (BCBS) bol zverejnený 10. júla 2018 a priradené mu CVE-2018-3693. BCBS považujeme za patriace do rovnakej triedy rizík ako obídenie kontroly hraníc (variant 1). Momentálne nie sú známe žiadne prípady BCBS v našom softvéri, ale pokračujeme vo výskume tejto triedy zraniteľností a budeme spolupracovať s priemyselnými partnermi na vydaní opatrení na zmiernenie podľa potreby. Naďalej vyzývame výskumníkov, aby odosielali všetky relevantné zistenia do programu bounty kanála špekulatívneho vykonávania vrátane všetkých zneužiteľných inštancií BCBS. Vývojári softvéru by si mali preštudovať pokyny pre vývojárov, ktoré boli aktualizované pre BCBS na https://aka.ms/sescdevguide.

14. augusta 2018 bola oznámená porucha terminálu L1 (L1TF) a priradili sa jej viaceré CVE. Tieto nové riziká špekulatívneho spúšťania bočného kanála možno použiť na čítanie obsahu pamäte cez dôveryhodnú hranicu a v prípade ich zneužitia môžu viesť k úniku informácií. V závislosti od nakonfigurovaného prostredia existuje viacero vektorov, pomocou ktorých môže útočník vyvolať zraniteľnosti. L1TF ovplyvňuje procesory Intel® Core a Intel® Xeon®®.

Ďalšie informácie o tomto ohrození zabezpečenia a podrobný prehľad ovplyvnených scenárov vrátane prístupu spoločnosti Microsoft k zmierneniu L1TF nájdete v nasledujúcich zdrojoch:

• ADV180018 | Pokyny spoločnosti Microsoft na obmedzenie variantu L1TF
• Poradenstvo v oblasti zabezpečenia, blog o výskume zabezpečenia
• Pokyny pre server pre poruchu terminálu L1

Zákazníci používajúci Microsoft Surface: Zákazníci, ktorí používajú Microsoft Surface a Surface Book produkty, musia postupovať podľa pokynov pre klienta systému Windows uvedených v Odporúčaní zabezpečenia: ADV180018 | Pokyny spoločnosti Microsoft na zmiernenie variantu L1TF. Ďalšie informácie o ovplyvnených produktoch Surface a dostupnosti aktualizácií mikrokódu nájdete aj v článku databázy Microsoft Knowledge Base 4073065.

Zákazníci s Microsoft HoloLens: Microsoft HoloLens nie je ovplyvnený L1TF, pretože nepoužíva ovplyvnený procesor Intel.

Kroky potrebné na vypnutie Hyper-Threading sa budú líšiť od výrobcu OEM k výrobcovi, ale vo všeobecnosti sú súčasťou nástrojov na nastavenie a konfiguráciu systému BIOS alebo firmvéru.

Zákazníci, ktorí používajú 64-bitové procesory ARM, by sa mali obrátiť na výrobcu OEM zariadenia o podporu firmvéru, pretože ochrany operačného systému ARM64, ktoré zmierňujú CVE-2017-5715 - Branch target injection (Spectre, variant 2), vyžadujú na použitie najnovšiu aktualizáciu firmvéru od výrobcov OEM zariadení.

Podrobnosti o tomto ohrození nájdete v príručke zabezpečenia spoločnosti Microsoft: CVE-2019-1125 | Windows Kernel Information Disclosure Vulnerability.

Nevieme o žiadnom výskyte tejto zraniteľnosti, ktorá by mohla ovplyvniť našu infraštruktúru cloudových služieb.

Hneď ako sme sa dozvedeli o tomto probléme, rýchlo sme ho vyriešili a vydali aktualizáciu. Pevne veríme v úzke partnerstvá s výskumníkmi aj partnermi v odvetví, aby boli zákazníci bezpečnejší, a podrobnosti sme zverejnili až v utorok 6. augusta, čo je v súlade s koordinovanými postupmi zverejňovania zraniteľností.

Spoločnosť Microsoft poskytuje kontaktné informácie tretích strán, ktoré vám pomôžu nájsť ďalšie informácie o tejto téme. Tieto kontaktné informácie môžu zmeniť bez predchádzajúceho upozornenia. Spoločnosť Microsoft neručí za presnosť kontaktných informácií iných výrobcov.