KB4073119: Vodič za Windows klijente za IT stručnjake za zaštitu od mikroarhitekturalnih objekata zasnovanih na silikonskom sistemu i spekulativnih ranjivosti bočnog kanala izvršavanja

Intel je 14. maja 2019. objavio informacije o novoj potklasi spekulativnih ranjivosti bočnog kanala izvršavanja poznatog kao Microarchitectural Data Uzorkovanje. Ove ranjivosti su rešene u sledećim CV-ovima:

• CVE-2019-11091 | Microarchitectural Data Uzorkovanje nepotpune memorije (MDSUM)

• CVE-2018-12126 | Uzorkovanje podataka mikroarhitekturalnog skladišta (MSBDS)

• CVE-2018-12127 | Uzorkovanje podataka bafera mikroarhitekturalne popune (MFBDS)

• CVE-2018-12130 | Uzorkovanje podataka mikroarhitekturalnog učitavanja porta (MLPDS)

Objavili smo ispravke koje će vam pomoći da umanjite ove ranjivosti. Da biste dobili sve dostupne zaštite, potrebne su firmver (mikrokod) i softverske ispravke. Ovo može da uključuje mikro kôd od OEM-ova uređaja. U nekim slučajevima, instaliranje tih ispravki imaće uticaj na performanse. Takođe smo reagovali da obezbedimo usluge u oblaku. Preporučujemo da primenite ove ispravke.

Više informacija o ovom problemu potražite u sledećim bezbednosnim savetima i koristite uputstva zasnovana na scenariju da biste utvrdili radnje potrebne za umanjivanje pretnje:

• ADV190013 | Microsoft vodič za umanjivanje ranjivosti uzorkovanje podataka u mikroarhitekturalnom softveru

• Windows uputstva za zaštitu od spekulativnih ranjivosti na bočnom kanalu izvršavanja

6. avgusta 2019. Intel je objavio detalje o ranjivosti otkrivanja Windows informacija o jezgru. Ova ranjivost je varijanta spektra varijante 1 spekulativne ranjivosti bočnog kanala izvršavanja i dodeljena mu je FUNKCIJA-2019-1125.

9. jula 2019. objavili smo bezbednosne ispravke za operativni sistem Windows da bismo umanjili ovaj problem. Imajte na umu da smo zadržali dokumentovanje ovog umanjivanja javno do objavljivanja koordinisane industrije u utorak, 6. avgusta 2019.

Klijenti koji su Windows Update i primenili bezbednosne ispravke objavljene 9. jula 2019. automatski su zaštićeni. Nije potrebna dalja konfiguracija.

Više informacija o ovoj ranjivosti i primenljivim ispravkama potražite u vodiču za Microsoft bezbednosne ispravke:

• CVE-2019-1125 | Ranjivost otkrivanja informacija o windows međuslovnim razmakima

12. novembra 2019. Intel je objavio tehnički savet o Asinhronoj ranjivosti transakcije Intel transakcije (Intel TSX) koji se dodeljuje CVE-2019-11135. Objavili smo ispravke koje će vam pomoći da umanjite ovu ranjivost. Zaštite operativnog sistema Windows su podrazumevano omogućene za izdanja operativnog sistema Windows Client OS.

14. juna 2022. objavili smo ADV220002 | Microsoft smernice o ranjivosti intel procesora MMIO zauslenih podataka. Ranjivosti su dodeljene na sledećim CV-ovima:

• CVE-2022-21123 | Čitanje podataka deljenog bafera (SBDR)

• CVE-2022-21125 | Uzorkovanje podataka deljenog bafera (SBDS)

• CVE-2022-21127 | Specijalna ispravka uzorkovanje podataka bafera registratora (SRBDS ispravka)

• CVE-2022-21166 | Registracija delimičnog pisanja uređaja (DRPW)

Preporučene radnje

Trebalo bi da preduzmete sledeće radnje da biste se zaštitili od ovih ranjivosti:

1. Primenite sve dostupne ispravke operativnog sistema Windows, uključujući mesečne bezbednosne ispravke za Windows.

2. Primenite primenljivu ispravku firmvera (mikrokod) koju obezbeđuje proizvođač uređaja.

3. Procenite rizik po okruženje na osnovu informacija pruženih u Microsoft savetima za bezbednost ADV180002, ADV180012, ADV190013 i ADV220002, pored informacija pruženih u ovom članku.

4. Izvršite radnju po potrefi koristeći savete i ključne informacije registratora koje su navedene u ovom članku.

12. jula 2022. objavili smo CVE-2022-23825 | Konfuzija tipa AMD CPU grane koja opisuje da pseudonimi u predviđanju grana mogu dovesti do toga da određeni AMD procesori predvide pogrešan tip grane. Ovaj problem može da dovede do otkrivanja informacija.

Da biste se zaštitili od ove ranjivosti, preporučujemo da instalirate Windows ispravke koje su navedene od jula 2022. do jula 2022, a zatim da preduzmete neku radnju prema potrebi od STRANE CVE-2022-23825 i informacija o ključu registratora koje su pružene u ovom baza znanja članku.

Više informacija potražite u bezbednosnom biblionu AMD-SB-1037 .

8. avgusta 2023. objavili smo CVE-2023-20569 | Predviđač AMD CPU povratne adrese (poznat i kao Inception) koji opisuje novi spekulativni napad bočnog kanala koji može dovesti do spekulativnog izvršavanja na adresi koju kontroliše napadač. Ovaj problem utiče na određene AMD procesore i može potencijalno dovesti do otkrivanja informacija.

Da biste se zaštitili od ove ranjivosti, preporučujemo da instalirate Windows ispravke koje su navedene od avgusta 2023. do avgusta 2023. i da zatim preduzmu korake koje zahteva FUNKCIJA CVE-2023-20569 i informacije o ključu registratora koje su pružene u ovom baza znanja članku.

Više informacija potražite u bezbednosnom biblioteku AMD-SB-7005 .

9. aprila 2024. objavili smo CVE-2022-0001 | Ubrizgavanje istorije grana koje opisuje umetanja istorije grana (BHI), što je specifičan oblik intra-mode BTI- a. Do ove ranjivosti dolazi kada napadač može da manipuliše istorijom grananja pre prelaska sa korisnika na režim nadzora (ili iz VMX-a koji nije koren/gost u osnovni režim). Ova manipulacija može da dovede do toga da indirektni predviđač grane izabere određeni unos predviđača za indirektnu granu, a gadžet za otkrivanje kod predviđenog cilja će se transijentivno izvršavati. To je možda moguće zato što relevantna istorija grana može da sadrži grane preuzete u prethodnim bezbednosnim kontekstima, a posebno u drugim režimima predviđanja.

Zaštita od korisnika prema međuslovnim vrednostima za CVE-2017-5715 podrazumevano je onemogućena za AMD i ARM CPU- e. Morate omogućiti umanjivanje da biste dobili dodatne zaštite za CVE-2017-5715. Dodatne informacije potražite u članku Najčešća pitanja #15 u članku ADV180002 za AMD procesore i najčešća pitanja #20 u članku ADV180002 ARM procesorima .

Zaštita od korisnika prema međuslovnim vrednostima za CVE-2017-5715 podrazumevano je onemogućena za AMD procesore. Klijenti moraju da omoguće umanjivanje da bi dobili dodatne zaštite za CVE-2017-5715.  Više informacija potražite u članku Najčešća pitanja #15 u članku ADV180002.

Da biste omogućili umanjivanje za CVE-2022-23825 na AMD procesorima :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Da bi korisnici mogli da budu potpuno zaštićeni, klijenti će možda morati da onemoguće Hyper-Threading (poznat i kao Istovremeno sa više niti (SMT)). Pogledajte KB4073757uputstva o zaštiti Windows uređaja. 

Da biste omogućili umanjivanje za CVE-2023-20569 na AMD procesorima:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Da biste omogućili umanjivanje za CVE-2022-0001 na Intel procesorima:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Detaljno objašnjenje izlaza PowerShell skripte potražite u KB4074629.

Mikro kôd se isporučuje putem ažuriranja firmvera. Trebalo bi da se obratite CPU-u (skupu čipova) i proizvođačima uređaja da li su dostupne primenljive bezbednosne ispravke firmvera za određeni uređaj, uključujući Intels Microcode vodič za reviziju.

Rešavanje hardverske ranjivosti putem ažuriranja softvera predstavlja značajne izazove. Takođe, umanjivanja za starije operativne sisteme zahtevaju obimne arhitektonske promene. Radimo sa proizvođačima čipova na koje ovo utiče da bismo odredili najbolji način za pružanje umanjivanja koja se mogu isporučiti u budućim ispravkama.

Novosti microsoft Surface uređajima će biti isporučene korisnicima putem Windows Update zajedno sa ispravkama za operativni sistem Windows. Listu dostupnih ispravki firmvera Surface uređaja (mikrokod) potražite u KB4073065.

Ako vaš uređaj nije korporacije Microsoft, primenite firmver proizvođača uređaja. Za više informacija obratite se proizvođaču OEM uređaja.

U februaru i martu 2018. Microsoft je objavio dodatnu zaštitu za neke sisteme zasnovane na x86 procesorima. Više informacija potražite u članku KB4073757 i Microsoft savet za bezbednost ADV180002.

Novosti da Windows 10 HoloLens dostupni su HoloLens klijentima putem Windows Update.

Nakon primene ispravke iz februara 2018. Windows bezbednost, HoloLens klijenti ne moraju da preduzimaju dodatne radnje da bi ažurirali firmver uređaja. Ova umanjivanja će takođe biti uključena u sva buduća izdanja programa Windows 10 HoloLens.

Ne. Samo bezbednosne ispravke nisu kumulativne. U zavisnosti od verzije operativnog sistema koju koristite, svakog meseca ćete morati da instalirate samo bezbednosne ispravke da biste se zaštitili od ovih ranjivosti. Na primer, ako koristite Windows 7 za 32-bitne sisteme na intel CPU-u na koji ovo utiče, morate da instalirate sve ispravke samo za bezbednost. Preporučujemo da instalirate ove samo bezbednosne ispravke u redosledu izdavanja.

Napomena U starijoj verziji ovog najčešćih pitanja pogrešno je navedeno da je ispravka za februar "Samo za bezbednost" obuhvatila bezbednosne ispravke objavljene u januaru. Zapravo, ne znaиi.

Ne. Bezbednosna ispravka 4078130 je bila specifična ispravka za sprečavanje nepredvidivih ponašanja sistema, problema sa performansama i/ili neočekivanih ponovnih pokretanja nakon instalacije mikro koda. Primena bezbednosnih ispravki iz februara na operativnim sistemima Windows klijenta omogućava sva tri umanjivanja.

Intel je nedavno najavio da je završio proveru valjanosti i počeo da izdaje mikro kôd za novije CPU platforme. Microsoft pravi dostupna ažuriranja mikrokoda proverenog intel-a oko spektra Variant 2 (CVE-2017-5715 "Umetanje ciljne grane"). KB4093836 navodi određene članke baze znanja po verziji operativnog sistema Windows. Svaka određena KB sadrži dostupne Ispravke Intel mikrokodova po CPU-u.

Ovaj problem je rešen u KB4093118.

AMD je nedavno saopštio da je počeo da izdaje mikro kôd za novije CPU platforme oko spektra varijanta 2 (CVE-2017-5715 "Grana ciljne umetanja"). Za više informacija pogledajte AMD Security NovostiAMD Whitepaper: Uputstva za arhitekturu u vezi sa kontrolom indirektne grane. One su dostupne na kanalu OEM firmvera.

Pravimo dostupne ispravke za Mikro kôd proverenog intel-a oko spektra Variant 2 (CVE-2017-5715 "Umetanja ciljne grane "). Da bi dobili najnovije ispravke Intel microcode putem Windows Update, klijenti moraju da instaliraju Intel microcode na uređajima koji rade pod operativnim sistemom Windows 10 pre nadogradnje na ispravku Windows 10. aprila 2018. (verzija 1803).

Ispravka za mikrokod dostupna je i direktno iz kataloga ako nije instalirana na uređaju pre nadogradnje operativnog sistema. Intel microcode je dostupan putem Windows Update, WSUS ili Microsoft Update kataloga. Više informacija i uputstva za preuzimanje potražite u članku KB4100347.

Dodatne informacije potražite u sledećim resursima:

• ADV180012 | Microsoft vodič za zaobioženje spekulativne prodavnice za CVE-2018-3639

• ADV180013 | Microsoft vodič za Odgue System Register Read za CVE-2018-3640 i KB4073065

• Blog microsoft bezbednosnih istraživanja i odbrane

• Vodič za projektante za zaobioženje spekulativne prodavnice

Detalje potražite u odeljcima "Preporučene radnje" i "Najčešća pitanja" u članku ADV180012 | Microsoft vodič za zaobioženje spekulativne prodavnice.

Da bi se potvrdio status SSBD-a, Get-SpeculationControlSettings PowerShell skripta je ažurirana da bi se otkrili ugroženi procesori, status ispravki operativnog sistema SSBD i stanje mikrokodora procesora ako je primenljivo. Dodatne informacije i dobijanje PowerShell skripte potražite u članku KB4074629.

13. juna 2018. godine objavljena je i dodeljena funkcija CVE-2018-3665. Nisu neophodne postavke konfiguracije (registratora) za vraćanje funkcije Lezy Restore FP u prethodno stanje.

Dodatne informacije o ovoj ranjivosti i preporučenim radnjama potražite u članku Savetodavstva ADV180016 | Microsoft vodič za vraćanje lenje FP stanja u prethodno stanje.

Prodavnica zaobiliska provere granica (BCBS) objavljena je 10. jula 2018. i dodeljena je CVE-2018-3693. Smatramo da BCBS pripada istoj klasi ranjivosti kao i zaobionik provere granica (Varijanta 1). Trenutno ne znamo nijednu instancu BCBS-a u našem softveru, ali nastavljamo da istražujemo ovu klasu ranjivosti i radićemo sa industrijskim partnerima na otklanjanju umanjivanja po potrebi. Nastavljamo da podstičemo istraživače da proslede sve relevantne rezultate Microsoft-ovom spekulativnom programu za ucenjeni kanal na strani izvršavanja, uključujući sve primerljive instance BCBS. Projektanti softvera treba da pregledaju uputstva za projektante koja su ažurirana za BCBS https://aka.ms/sescdevguide.

14. avgusta 2018. godine objavljena je greška L1 terminala (L1TF) i dodeljeno je više CV-ove. Ove nove spekulativne ranjivosti na bočnom kanalu mogu da se koriste za čitanje sadržaja memorije preko pouzdane granice i, ako su iskorišćene, mogu dovesti do otkrivanja informacija. Napadač može da izazove ranjivosti kroz više vektora, u zavisnosti od konfigurisanog okruženja. L1TF utiče na Intel® Core procesore® i Intel® Xeon procesore®.

Za više informacija o ovoj ranjivosti i detaljnom prikazu ugroženih scenarija, uključujući pristup korporacije Microsoft umanjivanja L1TF-a, pogledajte sledeće resurse:

• ADV180018 | Microsoft vodič za umanjivanje L1TF varijante

• Blog o istraživanju bezbednosti savetodavnog saveta za bezbednost

• Uputstva servera za grešku u terminalu L1

Klijenti koji koriste 64-bitne ARM procesore trebalo bi da provere da li postoji podrška za firmver uređaja sa uređajem OEM zato što arm64 zaštita operativnog sistema umanjivanje CVE-2017-5715 | Ciljna injekcija grane (Spectre, Variant 2) zahteva najnoviju ispravku firmvera od OEM-a uređaja da bi stupanje na snagu.

Dodatne informacije potražite u sledećim bezbednosnim savetima 

• Bezbednosni savet intela

• ADV190013 | Microsoft vodič za umanjivanje ranjivosti uzorkovanje podataka u mikroarhitekturalnom softveru

Dodatne informacije potražite u sledećim bezbednosnim savetima

• Bezbednosni savet intela

• ADV190013 | Microsoft vodič za umanjivanje ranjivosti uzorkovanje podataka u mikroarhitekturalnom softveru

Dodatna uputstva se mogu pronaći u Windows vodiču za zaštitu od spekulativnih ranjivosti na strani kanala izvršavanja

Pogledajte uputstva u Uputstvima za Windows da biste se zaštitili od spekulativnih ranjivosti bočnog kanala izvršavanja

Za Azure uputstva pogledajte ovaj članak: Uputstva za umanjivanje spekulativnih ranjivosti na bočnom kanalu izvršavanja u usluzi Azure.  

Više informacija o omogućavanju retpolina potražite u našoj objavi na blogu: Ublažavanje spektra varijante 2 pomoću retpolina u operativnom sistemu Windows. 

Detalje o ovoj ranjivosti potražite u Microsoft vodiču za bezbednost: CVE-2019-1125 | Ranjivost otkrivanja informacija o Windows jezgru.

Ne znamo nijednu instancu ovog otkrivanja informacija koje utiču na infrastrukturu usluge u oblaku.

Čim smo postali svesni ovog problema, brzo smo radili na tome da ga rešimo i izdamo ispravku. Mi čvrsto verujemo u bliska partnerstva sa istraživačima i partnerima u industriji kako bismo klijente učinili bezbednijim i nismo objavili detalje do utorka, 6. avgusta, u skladu sa koordinisanim praksama otkrivanja ranjivosti.

Dalja uputstva možete pronaći u Windows uputstvima da biste se zaštitili od spekulativnih ranjivosti na bočnom kanalu izvršavanja.

Dalja uputstva možete pronaći u Windows uputstvima da biste se zaštitili od spekulativnih ranjivosti na bočnom kanalu izvršavanja.

Dalja uputstva možete pronaći u vodiču za onemogućavanje mogućnosti Intel® Transactional Synchronization Extensions (Intel® TSX).

Pružamo kontakt informacije nezavisnih proizvođača koje će vam pomoći da pronađete tehničku podršku. Ove kontakt informacije mogu da se promene bez obaveštenja. Ne garantujemo tačnost ove kontakt informacije nezavisnog proizvođača.