KB4073119: Navodila za odjemalce sistema Windows za strokovnjake za IT za zaščito pred mikroarhitekturnimi in špekulativnimi ranljivostmi stranskega kanala na osnovi silicija

14. maja 2019 je Intel objavil informacije o novem podrazredu špekulativnih ranljivosti stranskih kanalov, znanih kot Microarchitectural Data Sampling. Te ranljivosti so obravnavane v teh CVE:

• CVE-2019-11091 | Mikroarhitekturni pomnilnik za vzorčenje podatkov, ki jih ni mogoče predpomniti (MDSUM)
• CVE-2018-12126 | Mikroarhitekturno vzorčenje podatkov o medpomnilniku (MSBDS)
• CVE-2018-12127 | Vzorčenje podatkov o mikroarhitekturnem polnilnem pufru (MFBDS)
• CVE-2018-12130 | Mikroarhitekturno vzorčenje podatkov o obremenitvah (MLPDS)

Izdali smo posodobitve za ublažitev teh ranljivosti. Če želite pridobiti vse razpoložljive zaščite, potrebujete posodobitve vdelane programske opreme (mikrokode) in programske opreme. To lahko vključuje mikrokodo proizvajalcev strojne opreme naprav. V nekaterih primerih bo namestitev teh posodobitev vplivala na učinkovitost delovanja. Ukrepali smo tudi za zaščito naših storitev v oblaku. Priporočamo, da te posodobitve uvedete.

Če želite več informacij o tej težavi, si oglejte ta varnostni svetovalec in uporabite navodila na podlagi scenarijev, da določite ukrepe, ki so potrebni za ublažitev grožnje:

• ADV190013 | Microsoftova navodila za ublažitev ranljivosti pri vzorčenju mikroarhitekturnih podatkov
• Navodila za Windows za zaščito pred špekulativnim izvajanjem stranskih kanalov

6. avgusta 2019 je Intel objavil podrobnosti o ranljivosti razkritja informacij o jedru sistema Windows. Ta ranljivost je različica ranljivosti stranskega kanala špekulativnega izvajanja Spectre Variant 1 in je bila dodeljena CVE-2019-1125.

9. julija 2019 smo izdali varnostne posodobitve za operacijski sistem Windows, ki pomagajo ublažiti to težavo. Upoštevajte, da smo zadržali javno dokumentiranje te ublažitve do usklajenega razkritja industrije v torek, 6. avgusta 2019.

Stranke, ki imajo omogočeno storitev Windows Update in so uporabile varnostne posodobitve, izdane 9. julija 2019, so samodejno zaščitene. Nadaljnja konfiguracija ni potrebna.

Če želite več informacij o tej ranljivosti in ustreznih posodobitvah, glejte Vodnik za Microsoftove varnostne posodobitve:

• CVE-2019-1125 | Ranljivost razkritja informacij jedra sistema Windows

Intel je 12. novembra 2019 objavil tehnično svetovanje o ranljivosti Intel Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort Prekinitev, ki je dodeljena CVE-2019-11135. Izdali smo posodobitve za ublažitev te ranljivosti. Zaščita operacijskega sistema je privzeto omogočena za izdaje odjemalskega operacijskega sistema Windows.

14. junija 2022 smo objavili ADV220002 | Microsoftova navodila za ranljivosti zastarelih podatkov procesorja Intel MMIO. Te ranljivosti so dodeljene v naslednjih CVE:

• CVE-2022-21123 | Branje podatkov v medpomnilniku v skupni rabi (SBDR)
• CVE-2022-21125 | Vzorčenje podatkov v skupnem blažilniku (SBDS)
• CVE-2022-21127 | Posodobitev vzorčenja podatkov o posebnih registrskih blažilnikih (posodobitev SRBDS)
• CVE-2022-21166 | Delni zapis registra naprave (DRPW)

Priporočeni ukrepi

Za zaščito pred temi ranljivostmi izvedite ta dejanja:

1. Uporabite vse razpoložljive posodobitve operacijskega sistema Windows, vključno z mesečnimi varnostnimi posodobitvami sistema Windows.
2. Uporabite ustrezno posodobitev vdelane programske opreme (mikrokode), ki jo zagotovi proizvajalec naprave.
3. Ocenite tveganje za svoje okolje na podlagi informacij, ki so poleg informacij v tem članku v Microsoftovih varnostnih svetovalih ADV180002, ADV180012, ADV190013 in ADV220002 .
4. Po potrebi ukrepajte z nasveti in informacijami o registrskem ključu, ki so na voljo v tem članku.

12. julija 2022 smo objavili CVE-2022-23825 | Zmeda vrste veje procesorja AMD , ki opisuje, da lahko vzdevki v napovedovalcu veje povzročijo, da nekateri procesorji AMD predvidijo napačno vrsto veje. Ta težava lahko privede do razkritja informacij.

Če se želite zaščititi pred to ranljivostjo, priporočamo, da namestite posodobitve sistema Windows z datumom julija 2022 ali pozneje, nato pa ukrepajte v skladu z CVE-2022-23825 in informacijami o registrskem ključu, ki so na voljo v tem članku iz zbirka znanja.

Če želite več informacij, glejte varnostni bilten AMD-SB-1037 .

8. avgusta 2023 smo objavili CVE-2023-20569 | AMD CPU Return Address Predictor (znan tudi kot Inception), ki opisuje nov špekulativni napad stranskega kanala, ki lahko povzroči špekulativno izvedbo na naslovu, ki ga nadzoruje napadalec. Ta težava vpliva na nekatere procesorje AMD in lahko privede do razkritja informacij.

Če se želite zaščititi pred to ranljivostjo, priporočamo, da namestite posodobitve sistema Windows z datumom avgusta 2023 ali pozneje, nato pa ukrepajte v skladu z CVE-2023-20569 in informacijami o registrskem ključu, ki so na voljo v tem članku iz zbirka znanja.

Če želite več informacij, glejte varnostni bilten AMD-SB-7005 .

9. aprila 2024 smo objavili CVE-2022-0001 | Intel Branch History Injection , ki opisuje vbrizgavanje zgodovine podružnic (BHI), ki je posebna oblika ZTI znotraj načina. Do te ranljivosti pride, ko lahko napadalec manipulira z zgodovino podružnic, preden preide iz uporabniškega v nadzorniški način (ali iz načina VMX, ki ni korenski/gostujoči, v korenski način). Ta manipulacija lahko povzroči, da posredni napovedovalec veje izbere določen vnos napovedovalca za posredno vejo, pripomoček za razkritje na predvidenem cilju pa se bo začasno izvajal. To je mogoče, ker lahko ustrezna zgodovina veje vsebuje veje, ki so bile vzete v prejšnjih varnostnih kontekstih, in zlasti druge načine napovedovanja.

Zaščita med uporabnikom in jedrom za CVE-2017-5715 je privzeto onemogočena za procesorje AMD in ARM. Če želite prejeti dodatno zaščito za CVE-2017-5715, morate omogočiti ublažitev. Za več informacij glejte pogosta vprašanja #15 v ADV180002 za procesorje AMD in pogosta vprašanja #20 v ADV180002 za procesorje ARM.

Zaščita med uporabnikom in jedrom za CVE-2017-5715 je privzeto onemogočena za procesorje AMD. Stranke morajo omogočiti ublažitev, da prejmejo dodatno zaščito za CVE-2017-5715.  Za več informacij glejte pogosta vprašanja #15 v ADV180002.

Če želite omogočiti ublažitev za CVE-2022-23825 v procesorjih AMD:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Da bi bile stranke popolnoma zaščitene, bodo morda morale onemogočiti tudi Hyper-Threading (znano tudi kot sočasno večnitnost (SMT)). Oglejte si KB4073757 za navodila za zaščito naprav s sistemom Windows.

Če želite omogočiti ublažitev za CVE-2023-20569 v procesorjih AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Če želite omogočiti ublažitev za CVE-2022-0001 v procesorjih Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Za podrobno razlago izhoda skripta PowerShell glejte KB4074629.

Mikrokoda se dostavi s posodobitvijo vdelane programske opreme. Pri proizvajalcih procesorja (nabora čipov) in naprav preverite razpoložljivost ustreznih varnostnih posodobitev vdelane programske opreme za njihovo napravo, vključno s smernicami za revizijo mikrokode Intels.

Odpravljanje ranljivosti strojne opreme s posodobitvijo programske opreme predstavlja velike izzive. Tudi ublažitve za starejše operacijske sisteme zahtevajo obsežne arhitekturne spremembe. Sodelujemo s prizadetimi proizvajalci čipov, da določimo najboljši način za ublažitev, ki jih lahko zagotovimo v prihodnjih posodobitvah.

Posodobitve za naprave Microsoft Surface bodo strankam na voljo prek storitve Windows Update skupaj s posodobitvami za operacijski sistem Windows. Če si želite ogledati seznam razpoložljivih posodobitev vdelane programske opreme naprave Surface (mikrokoda), glejte KB4073065.

Če vaša naprava ni Microsoftova, uporabite vdelano programsko opremo proizvajalca naprave. Če želite več informacij, se obrnite na proizvajalca naprave OEM.

Februarja in marca 2018 je Microsoft izdal dodatno zaščito za nekatere sisteme, ki temeljijo na x86. Če želite več informacij, glejte KB4073757 in Microsoftov varnostni svetovalec ADV180002.

Posodobitve za Windows 10 za HoloLens so na voljo uporabnikom naprave HoloLens prek storitve Windows Update.

Po uporabi posodobitve Varnost sistema Windows Update iz februarja 2018 strankam naprave HoloLens ni treba dodatno ukrepati, da posodobijo vdelano programsko opremo naprave. Te ublažitve bodo vključene tudi v vse prihodnje izdaje sistema Windows 10 za HoloLens.

Ne. Samo varnostne posodobitve se ne zbirajo. Odvisno od različice operacijskega sistema, ki jo uporabljate, boste morali namestiti vse mesečne posodobitve Samo za varnost, da boste zaščiteni pred temi ranljivostmi. Če na primer uporabljate Windows 7 za 32-bitne sisteme na prizadetem procesorju Intel, morate namestiti vse posodobitve Samo za varnost. Priporočamo, da namestite te posodobitve Samo za varnost v vrstnem redu izdaje.

Opomba V prejšnji različici teh pogostih vprašanj je bilo napačno navedeno, da je februarska posodobitev samo za varnost vključevala varnostne popravke, izdane januarja. Pravzaprav ne.

Ne. 4078130 varnostne posodobitve je bil poseben popravek za preprečevanje nepredvidljivega vedenja sistema, težav z učinkovitostjo delovanja in/ali nepričakovanih ponovnih zagonov po namestitvi mikrokode. Uporaba februarskih varnostnih posodobitev v odjemalskih operacijskih sistemih Windows omogoča vse tri ublažitve.

Intel je pred kratkim objavili, da so dokončali preverjanje veljavnosti in začeli z izdajo nove mikro kode za novejše platforme procesorja. Microsoft daje na voljo posodobitve mikrokode za Spectre Variant 2 (CVE-2017-5715 »Branch Target Injection«). KB4093836 navaja določene članke iz zbirke znanja glede na različico sistema Windows. Vsak KB posebej vsebuje Intelove posodobitve mikro kode procesorja, ki so na voljo.

Ta težava je bila rešena leta KB4093118.

AMD je pred kratkim objavil , da je začel izdajati mikrokodo za novejše platforme CPU okoli Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Če želite več informacij, glejte Varnostne Posodobitve AMD in Informativni dokument AMD: Smernice za arhitekturo o posrednem nadzoru podružnic. Te so na voljo v kanalu vdelane programske opreme OEM.

Na voljo so posodobitve mikrokode za Spectre Variant 2 (CVE-2017-5715 »Branch Target Injection «). Če želite pridobiti najnovejše posodobitve mikrokode Intel prek storitve Windows Update, morajo stranke pred nadgradnjo na posodobitev sistema Windows 10 v aprilu 2018 namestiti mikrokodo Intel v napravah z operacijskim sistemom Windows 10 (različica 1803).

Posodobitev mikro kode je na voljo tudi neposredno iz Kataloga, če ni bila nameščena v napravi pred nadgradnjo operacijskega sistema. Mikrokoda Intel je na voljo prek storitve Windows Update, WSUS ali kataloga Microsoft Update. Če želite več informacij in navodila za prenos, glejte KB4100347.

Če želite več informacij, glejte te vire:

• ADV180012 | Microsoftova navodila za špekulativni bypass trgovine za CVE-2018-3639
• ADV180013 | Microsoftova navodila za registracijo nepooblaščenega sistema Preberite za CVE-2018-3640 in KB4073065
• Microsoftov spletni dnevnik o varnostnih raziskavah in obrambi
• Navodila za razvijalce za špekulativni bypass trgovine

Podrobnosti najdete v razdelkih »Priporočena dejanja« in »Pogosta vprašanja « v ADV180012 | Microsoftova navodila za špekulativni obvod trgovine.

Za preverjanje stanja SSBD je bil skript Get-SpeculationControlSettings PowerShell posodobljen tako, da zazna prizadete procesorje, stanje posodobitev operacijskega sistema SSBD in stanje mikrokode procesorja, če je na voljo. Če želite več informacij in kako pridobiti skript ogrodja PowerShell, glejte KB4074629.

13. junija 2018 je bila objavljena dodatna ranljivost, ki vključuje špekulativno izvedbo stranskega kanala, znana kot Lazy FP State Restore, ki ji je bila dodeljena CVE-2018-3665. Za obnovitev FP z lenobno obnovitvijo niso potrebne nobene nastavitve konfiguracije (registra).

Če želite več informacij o tej ranljivosti in priporočene ukrepe, glejte varnostni svetovalni ADV180016 | Microsoftova navodila za obnovitev stanja za lenobno FP.

Bounds Check Bypass Store (BCBS) je bil razkrit 10. julija 2018 in mu je bil dodeljen CVE-2018-3693. Menimo, da BCBS spada v isti razred ranljivosti kot obhod preverjanja mej (različica 1). Trenutno ne poznamo nobenih primerkov BCBS v naši programski opremi, vendar nadaljujemo z raziskavami tega razreda ranljivosti in bomo sodelovali s partnerji v industriji, da bi po potrebi izdali ublažitve posledic. Še naprej spodbujamo raziskovalce, da predložijo vse ustrezne ugotovitve v Microsoftov program nagrajevanja stranskega kanala zaradi špekulativnega izvajanja, vključno z vsemi primerki BCBS, ki jih je mogoče izkoristiti. Razvijalci programske opreme naj pregledajo navodila za razvijalce, ki so bila posodobljena za BCBS na https://aka.ms/sescdevguide.

14. avgusta 2018 je bila objavljena napaka na terminalu L1 (L1TF), ki ji je bilo dodeljenih več CVE. Te nove ranljivosti stranskega kanala zaradi špekulativnega izvajanja se lahko uporabijo za branje vsebine pomnilnika prek zaupanja vredne meje in če se izkoristijo, lahko privedejo do razkritja informacij. Napadalec lahko ranljivosti sproži prek več vektorjev, odvisno od konfiguriranega okolja. L1TF vpliva na procesorje Intel® Core in Intel® Xeon®®.

Če želite več informacij o tej ranljivosti in podroben pregled scenarijev, na katere to vpliva, vključno z Microsoftovim pristopom k ublažitvi L1TF, glejte naslednje vire:

• ADV180018 | Microsoftova navodila za ublažitev različice L1TF
• Spletni dnevnik o varnostnih raziskavah
• Navodila za strežnik za napako terminala L1

Uporabniki, ki uporabljajo 64-bitne procesorje ARM, se morajo za podporo za vdelano programsko opremo obrniti na proizvajalca strojne opreme naprave, saj zaščite operacijskega sistema ARM64, ki omejujejo CVE-2017-5715 | Ciljno vstavljanje veje (Spectre, različica 2) za začetek veljavnosti zahteva najnovejšo posodobitev vdelane programske opreme proizvajalcev strojne opreme.

Če želite več informacij, glejte te varnostne svetovalce

• Intelov varnostni svetovalec
• ADV190013 | Microsoftova navodila za ublažitev ranljivosti mikroarhitekturnega vzorčenja podatkov

Če želite več informacij, glejte te varnostne svetovalce

• Intelov varnostni svetovalec
• ADV190013 | Microsoftova navodila za ublažitev ranljivosti mikroarhitekturnega vzorčenja podatkov

Dodatna navodila so na voljo v razdelku Navodila za Windows za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja

Preberite navodila v navodilih za Windows za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja

Navodila za Azure najdete v tem članku: Navodila za preprečevanje ranljivosti stranskega kanala zaradi špekulativnega izvajanja v storitvi Azure.

Če želite več informacij o omogočanju Retpoline, glejte našo objavo v spletnem dnevniku: Ublažitev posledic za Spectre različica 2 z Retpoline v sistemu Windows.

Za podrobnosti o tej ranljivosti glejte Microsoftov varnostni vodnik: CVE-2019-1125 | Ranljivost jedra sistema Windows glede razkritja informacij.

Ne poznamo nobenega primera te ranljivosti razkritja informacij, ki vpliva na našo infrastrukturo storitev v oblaku.

Takoj, ko smo izvedeli za to težavo, smo hitro ukrepali in izdali posodobitev. Trdno verjamemo v tesno partnerstvo z raziskovalci in industrijskimi partnerji, da bi stranke bolje zavarovali, podrobnosti pa smo objavili šele v torek, 6. avgusta, v skladu z usklajenimi praksami razkritja ranljivosti.

Dodatna navodila so na voljo v razdelku Navodila za Windows za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja.

Dodatna navodila so na voljo v razdelku Navodila za Windows za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja.

Dodatna navodila najdete v članku Navodila za onemogočanje zmogljivosti Intel® Transactional Synchronization Extensions (Intel® TSX).

Zagotavljamo podatke za stik drugih ponudnikov za pomoč pri iskanju tehnične podpore. Ti podatki za stik se lahko spremenijo brez obvestila. Ne jamčimo za točnost teh podatkov za stik drugih ponudnikov.