KB4073119: Vodič za Windows klijent za IT stručnjake za zaštitu od ranjivosti bočnih kanala zasnovanih na silicijumu i spekulativnom izvršavanju

U maju KSNUMKS, KSNUMKS, Intel je objavio informacije o novoj podklasi ranjivosti bočnih kanala spekulativnog izvršenja poznatih kao uzorkovanje mikroarhitektonskih podataka. Ove ranjivosti su rešene u sledećim CVE-ovima:

• CVE-2019-11091 | Uzorkovanje mikroarhitektonskih podataka Memorija koja se ne može keširati (MDSUM)
• CVE-2018-12126 | Uzorkovanje podataka mikroarhitektonskog skladištnog bafera (MSBDS)
• CVE-2018-12127 | Uzorkovanje podataka mikroarhitektonskog popunjavanja bafera (MFBDS)
• CVE-2018-12130 | Mikroarhitektonsko uzorkovanje podataka porta opterećenja (MLPDS)

Objavili smo ispravke koje pomažu u ublažavanju ovih ranjivosti. Da biste dobili sve dostupne zaštite, potrebne su ispravke firmvera (mikrokoda) i softvera. Ovo može da uključuje mikrokodove OEM proizvođača. U nekim slučajevima, instaliranje ovih ispravki će uticati na performanse. Takođe smo postupali da bismo obezbedili naše usluge u oblaku. Preporučujemo da primenite te ispravke.

Više informacija o ovom problemu potražite u sledećem bezbednosnom savetu i koristite uputstva zasnovana na scenariju da biste odredili radnje neophodne za smanjenje pretnje:

• ADV190013 | Microsoft smernice za ublažavanje ranjivosti mikroarhitektonskih podataka u uzorkovanju
• Windows smernice za zaštitu od ranjivosti bočnih kanala spekulativnog izvršavanja

Intel je 6. avgusta 2019. objavio detalje o ranjivosti u vezi sa otkrivanjem informacija o Windows jezgru. Ova ranjivost je varijanta ranjivosti bočnog kanala spekulativnog izvršavanja Spectre Variant 1 i dodeljena joj je CVE-2019-1125.

9. jula 2019. objavili smo bezbednosne ispravke za operativni sistem Windows kako bismo ublažili ovaj problem. Imajte na umu da smo se suzdržali od dokumentovanja ovog ublažavanja javno do koordiniranog otkrivanja industrije u utorak, avgusta KSNUMKS, KSNUMKS.

Klijenti koji imaju omogućen Windows Update i primenili su bezbednosne ispravke objavljene 9. jula 2019. automatski su zaštićeni. Nije potrebna dodatna konfiguracija.

Više informacija o ovoj ranjivosti i primenljive ispravke potražite u vodiču za Microsoft bezbednosne ispravke:

• CVE-2019-1125 | Ranjivost u vezi sa otkrivanjem informacija o Windows jezgru

U novembru KSNUMKS, KSNUMKS, Intel je objavio tehnički savet o ranjivosti Intel Transactional Synchronization Ektensions (Intel TSKS) Transaction Asinhroni prekid koji je dodeljen CVE-2019-11135. Objavili smo ispravke koje pomažu u ublažavanju ove ranjivosti. Zaštite operativnog sistema podrazumevano su omogućene za izdanja Windows klijentskog operativnog sistema.

14. juna 2022. objavili smo ADV220002 | Microsoft vodič za ranjivosti Intel procesora MMIO zastarelih podataka. Ove ranjivosti se dodeljuju u sledećim CVE-ovima:

• CVE-2022-21123 | Čitanje deljene međumemorije (SBDR)
• CVE-2022-21125 | Shared Buffer Data Sampling (SBDS)
• CVE-2022-21127 | Specijalno ažuriranje uzorkovanja podataka registra (SRBDS Update)
• CVE-2022-21166 | Delimično pisanje (DRPW) za registraciju uređaja

Preporučene radnje

Trebalo bi da preduzmete sledeće radnje da biste se lakše zaštitili od ovih ranjivosti:

1. Primenite sve dostupne ispravke operativnog sistema Windows, uključujući i mesečne bezbednosne ispravke za Windows.
2. Primenite primenljivu ispravku firmvera (mikrokoda) koju ste dobili od proizvođača uređaja.
3. Procenite rizik po okruženje na osnovu informacija iz Microsoft bezbednosnih saveta ADV180002, ADV180012, ADV190013 i ADV220002, pored informacija navedenih u ovom članku.
4. Preduzmite odgovarajuću radnju tako što ćete koristiti savete i informacije o ključevima registra koje su pružene u ovom članku.

12. jula 2022. objavili smo CVE-2022-23825 | Tip grane AMD procesora Mešanje , koje opisuje da pseudonimi u prediktoru grana mogu da dovedu do toga da određeni AMD procesori predvide pogrešan tip grane. Ovaj problem može potencijalno dovesti do otkrivanja informacija.

Da biste se zaštitili od ove ranjivosti, preporučujemo da instalirate Ispravke za Windows koje datiraju jul 2022. ili kasniji, a zatim da preduzmete radnju u skladu sa zahtevima CVE-2022-23825 i informacije o ključu registra koje su pružene u ovom članku baza znanja.

Više informacija potražite u bezbednosnom biltenu AMD-SB-1037 .

8. avgusta 2023. objavili smo CVE-2023-20569 | AMD CPU Return Address Predictor (poznat i kao Inception) koji opisuje novi spekulativni napad bočnog kanala koji može rezultirati spekulativnim izvršenjem na adresi koju kontroliše napadač. Ovaj problem utiče na određene AMD procesore i potencijalno može dovesti do otkrivanja informacija.

Da biste se zaštitili od ove ranjivosti, preporučujemo da instalirate Ispravke za Windows koje datiraju posle avgusta 2023. i da zatim preduzmete radnje u skladu sa zahtevima CVE-2023-20569 i informacije o ključu registra koje su pružene u ovom članku baza znanja.

Više informacija potražite u bezbednosnom biltenu AMD-SB-7005 .

9. aprila 2024. objavili smo CVE-2022-0001 | Intel Branch Histori Injection koji opisuje Branch Histori Injection (BHI) koji je specifičan oblik unutar režima BTI. Ova ranjivost se javlja kada napadač može da manipuliše istorijom grane pre prelaska iz režima korisnika u supervizor (ili iz VMKS ne-root/gosta u root režim). Ova manipulacija može da dovede do toga da indirektni prediktor grane izabere određeni unos prediktora za indirektnu granu, a gadžet otkrivanja na predviđenom cilju će se privremeno izvršiti. To može biti moguće zato što relevantna istorija grane može da sadrži grane preuzete u prethodnim bezbednosnim kontekstima, a naročito druge prediktorske režime.

Zaštita od korisnika do jezgra za CVE-2017-5715 podrazumevano je onemogućena za AMD i ARM procesore. Morate da omogućite ublažavanje da biste dobili dodatnu zaštitu za CVE-2017-5715. Više informacija potražite u članku Najčešća pitanja #15 u odeljku ADV180002 za AMD procesore i Najčešća pitanja #20 u ADV180002 za ARM procesore.

Zaštita od korisnika do jezgra za CVE-2017-5715 podrazumevano je onemogućena za AMD procesore. Klijenti moraju da omoguće ublažavanje da bi dobili dodatnu zaštitu za CVE-2017-5715.  Više informacija potražite u odeljku #15 najčešćih pitanja u ADV180002.

Da biste omogućili ublažavanje za CVE-2022-23825 na AMD procesorima:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Da bi bili potpuno zaštićeni, korisnici će možda morati da onemoguće Hyper-Threading (poznato i kao Simultaneously Multi Threading (SMT)). Smernice za zaštitu Windows uređaja potražite u KB4073757 .

Da biste omogućili ublažavanje za CVE-2023-20569 na AMD procesorima:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Da biste omogućili ublažavanje za CVE-2022-0001 na Intel procesorima:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Detaljno objašnjenje izlaza PowerShell skripte potražite u odeljku KB4074629.

Mikrokod se isporučuje putem ažuriranja firmvera. Trebalo bi da sa proizvođačima CPU (čipseta) i uređaja proverite dostupnost primenljivih bezbednosnih ispravki firmvera za njihov određeni uređaj, uključujući Intels vodič za reviziju mikrokoda.

Uklanjanje ranjivosti hardvera pomoću softverske ispravke predstavlja značajne izazove. Takođe, ublažavanja za starije operativne sisteme zahtevaju obimne promene arhitekture. Sarađujemo sa pogođenim proizvođačima čipova da bismo odredili najbolji način za ublažavanje pogodnosti, koja se može pružiti u budućim ispravkama.

Novosti za Microsoft Surface uređaje će biti isporučene korisnicima putem usluge Windows Update zajedno sa ispravkama za operativni sistem Windows. Listu dostupnih ispravki firmvera (mikrokoda) uređaja Surface potražite u članku KB4073065.

Ako uređaj nije od korporacije Microsoft, primenite firmver proizvođača uređaja. Za više informacija obratite se proizvođaču OEM uređaja.

U februaru i martu 2018. Microsoft je objavio dodatnu zaštitu za neke sisteme zasnovane na x86. Dodatne informacije potražite u članku KB4073757 i Microsoft bezbednosnim savetima ADV180002.

Novosti za Windows 10 za HoloLens dostupne su korisnicima HoloLens uređaja putem usluge Windows Update.

Nakon primene Windows bezbednost ispravke iz februara 2018, HoloLens korisnici ne moraju da preduzimaju nikakve dodatne radnje kako bi ažurirali firmver uređaja. Ova ublažavanja će takođe biti uključena u sva buduća izdanja operativnog sistema Windows 10 za HoloLens.

Ne. Ispravke Samo bezbednost nisu kumulativne. U zavisnosti od verzije operativnog sistema koju koristite, moraćete da instalirate svakog mesečnog ispravke samo bezbednost da biste bili zaštićeni od ovih ranjivosti. Na primer, ako koristite Windows 7 za 32-bitne sisteme na pogođenom Intel CPU-u, morate da instalirate sve ispravke samo bezbednosno. Preporučujemo da instalirate ove ispravke samo bezbednosno, prema redosledu izdavanja.

Napomena U starijoj verziji ovih najčešćih pitanja pogrešno je navedeno da ispravka samo bezbednosna ispravka za februar obuhvata bezbednosne ispravke objavljene u januaru. U stvari, to ne čini.

Ne. Bezbednosna ispravka 4078130 je bila specifična ispravka za sprečavanje nepredvidivog ponašanja sistema, problema sa performansama i/ili neočekivanih ponovnih pokretanja nakon instalacije mikrokoda. Primena bezbednosnih ispravki iz februara na Windows klijentske operativne sisteme omogućava sva tri ublažavanja.

Intel je nedavno objavio da su završili svoje validacije i počeli da objavljuju mikrokod za novije CPU platforme. Microsoft stavlja na raspolaganje Intel ažuriranja mikrokoda oko Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 navodi određene članke u bazi znanja po verziji operativnog sistema Windows. Svaka određena KB sadrži dostupne ispravke Intel mikrokodova po CPU-u.

Ovaj problem je rešen u KB4093118.

AMD je nedavno objavio da su počeli da objavljuju mikrokod za novije CPU platforme oko Spectre Variant KSNUMKS (CVE-KSNUMKS-KSNUMKS "Branch Target Injection"). Više informacija potražite u članku AMD bezbednosne Novosti i AMD bela knjiga: Smernice za arhitekturu oko indirektne kontrole grana. Oni su dostupni na OEM kanalu firmvera.

Stavljamo na raspolaganje Intel validirana ažuriranja mikrokoda oko Spectre Variant KSNUMKS (CVE-KSNUMKS-KSNUMKS "Branch Target Injection "). Da bi dobili najnovije ispravke Intel mikrokoda putem usluge Windows Update, korisnici moraju da instaliraju Intel mikrokod na uređajima koji rade pod operativnim sistemom Windows 10 pre nadogradnje na Windows 10 ispravku iz aprila 2018. (verzija 1803).

Ispravka mikrokoda je dostupna i direktno iz kataloga ako nije instalirana na uređaju pre nadogradnje operativnog sistema. Intel mikrokod je dostupan putem usluga Windows Update, WSUS, ili Microsoft Update kataloga. Dodatne informacije i uputstva za preuzimanje potražite na KB4100347.

Više informacija potražite u sledećim resursima:

• ADV180012 | Microsoft vodič za spekulativni zaobilazak prodavnice za CVE-2018-3639
• ADV180013 | Microsoft vodič za registraciju lažnog sistema Pročitajte za CVE-2018-3640 i KB4073065
• Microsoft blog o bezbednosnom istraživanju i odbrani
• Vodič za projektante za spekulativni zaobilazak prodavnice

Detalje potražite u odeljcima "Preporučene radnje" i "Najčešća pitanja" u odeljcima ADV180012 | Microsoft smernice za spekulativno zaobilaženje prodavnica.

Da bi se proverio status SSBD-a, ažurirana je Get-SpeculationControlSettings PowerShell skripta da otkrije ugrožene procesore, status ispravki SSBD operativnog sistema i stanje mikrokoda procesora, ako je primenljivo. Za dodatne informacije i za dobijanje PowerShell skripte pogledajte KB4074629.

Dana 13. juna 2018. godine, najavljena je dodatna ranjivost koja uključuje spekulativno izvršenje bočnog kanala, poznata kao Lazi FP State Restore, i dodeljena CVE-2018-3665. Postavke konfiguracije (registratora) nisu potrebne za Lazi Restore FP Restore.

Više informacija o ovoj ranjivosti i preporučene radnje potražite u bezbednosnom savetu ADV180016 | Microsoft vodič za lenje vraćanje stanja FP-a.

Bounds Check Bypass Store (BCBS) objavljen je 10. jula 2018. godine i dodeljen CVE-2018-3693. Smatramo da BCBS pripada istoj klasi ranjivosti kao i zaobilazak za proveru granica (varijanta 1). Trenutno ne znamo za bilo koju instancu BCBS-a u našem softveru, ali nastavljamo da istražujemo ovu klasu ranjivosti i radićemo sa partnerima iz industrije na objavljivanju ublažavanja po potrebi. Nastavljamo da podstičemo istraživače da proslede sve relevantne nalaze programu nagrada Microsoft Speculative Execution Side Channel, uključujući sve instance BCBS-a koje se mogu iskoristiti. Projektanti softvera bi trebalo da pregledaju uputstva za projektante koja su ažurirana za BCBS na https://aka.ms/sescdevguide.

U avgustu KSNUMKS, KSNUMKS, najavljen je LKSNUMKS Terminal Fault (LKSNUMKSTF) i dodeljen je više CVE-ova. Ove nove ranjivosti bočnog kanala spekulativnog izvršavanja mogu se koristiti za čitanje sadržaja memorije preko pouzdane granice i, ako se iskoriste, mogu dovesti do otkrivanja informacija. Napadač bi mogao da pokrene ranjivosti kroz više vektora, u zavisnosti od konfigurisanog okruženja. LKSNUMKSTF utiče na Intel® Core® procesore i Intel® Kseon® procesore.

Više informacija o ovoj ranjivosti i detaljan prikaz pogođenih scenarija, uključujući pristup korporacije Microsoft ublažavanju L1TF-a, potražite u sledećim resursima:

• ADV180018 | Microsoft smernice za ublažavanje L1TF varijante
• Savet za bezbednost Blog o bezbednosnim istraživanjima
• Vodič za server za kvar L1 terminala

Korisnici koji koriste 64-bitne ARM procesore trebalo bi da sa OEM uređaja provere podršku za firmver jer ARM64 zaštite operativnog sistema koje ublažavaju CVE-2017-5715 | Ubrizgavanje cilja grane (Spectre, Variant KSNUMKS) zahteva najnovije ažuriranje firmvera od OEM proizvođača uređaja da bi stupilo na snagu.

Više informacija potražite u sledećim bezbednosnim savetima

• Bezbednosni savet kompanije Intel
• ADV190013 | Microsoft smernice za ublažavanje ranjivosti mikroarhitektonskih podataka u uzorkovanju

Više informacija potražite u sledećim bezbednosnim savetima

• Bezbednosni savet kompanije Intel
• ADV190013 | Microsoft smernice za ublažavanje ranjivosti mikroarhitektonskih podataka u uzorkovanju

Dodatna uputstva možete da pronađete u Windows vodičima za zaštitu od ranjivosti bočnih kanala spekulativnog izvršavanja

Pogledajte uputstva u okviru Windows smernica da biste se zaštitili od ranjivosti bočnih kanala spekulativnog izvršavanja

Uputstva za Azure potražite u ovom članku: Uputstva za ublažavanje ranjivosti bočnih kanala spekulativnog izvršavanja u usluzi Azure.

Za više informacija o Retpoline omogućavanje, pogledajte naš blog post: Mitigating Spectre varijanta 2 sa Retpoline na Vindovs.

Detalje o ovoj ranjivosti potražite u Microsoft bezbednosnom vodiču: CVE-2019-1125 | Ranjivost u vezi sa otkrivanjem informacija o jezgru sistema Windows.

Nismo svesni ni jedne instance ranjivosti otkrivanja informacija koja utiče na infrastrukturu usluga u oblaku.

Čim smo saznali za ovaj problem, brzo smo radili na njegovom rešavanju i objavljivanju ispravke. Čvrsto verujemo u blisko partnerstvo sa istraživačima i industrijskim partnerima kako bismo učinili klijente sigurnijima, i nismo objavili detalje do utorka, 6. avgusta, u skladu sa koordiniranom praksom otkrivanja ranjivosti.

Dodatna uputstva možete da pronađete u Windows vodičima za zaštitu od ranjivosti bočnog kanala spekulativnog izvršavanja.

Dodatna uputstva možete da pronađete u Windows vodičima za zaštitu od ranjivosti bočnog kanala spekulativnog izvršavanja.

Dodatna uputstva možete da pronađete u uputstvima za onemogućavanje Intel® Transactional Synchronization Extensions (Intel® TSX) mogućnosti.

Obezbeđujemo kontakt informacije nezavisnog proizvođača kako bismo vam pomogli da pronađete tehničku podršku. Ove kontakt informacije mogu da se promene bez obaveštenja. Ne garantujemo tačnost ove kontakt informacije nezavisnog proizvođača.