KB4072698: Windows Server och Azure Stack HCI-vägledning för att skydda mot kiselbaserade mikroarkitektoniska och spekulativa exekveringar

I den här artikeln behandlas följande säkerhetsrisker vid spekulativ körning:

• CVE-2017-5715 | Branch Target Injection
• CVE-2017-5753 | Kringgå gränskontroll
• CVE-2017-5754 | Falsk inläsning av datacache
• CVE-2018-3639 | Speculative Store Bypass

Windows Update tillhandahåller även Internet Explorer- och Edge-begränsningar. Vi kommer att fortsätta att förbättra dessa lösningar mot denna typ av sårbarheter.

Mer information om den här typen av säkerhetsrisker finns i

• ADV180002 | Vägledning för att minska sårbarheten för spekulativ exekvering
• ADV180012 | Microsofts vägledning för Speculative Store Bypass

Den 14 maj 2019 publicerade Intel information om en ny underklass av spekulativ exekvering som kallas Microarchitectural Data Sampling och dokumenteras i ADV190013 | Mikroarkitektonisk datasampling. De har tilldelats följande CVE:er:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
• CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
• CVE-2018-12130 | MLPDS (Microarchitectural Load Port Data Sampling)

Microsoft har släppt uppdateringar för att minska dessa säkerhetsbrister. För att få allt tillgängligt skydd krävs uppdateringar för inbyggd programvara (mikrokod) och programvara. Detta kan omfatta mikrokod från OEM-tillverkare av enheter. I vissa fall påverkas prestandan när du installerar uppdateringarna. Vi har också vidtagit åtgärder för att säkra våra molntjänster. Vi rekommenderar starkt att du distribuerar dessa uppdateringar.

Mer information om det här problemet finns i följande säkerhetsrådgivning och använder scenariobaserad vägledning för att fastställa vilka åtgärder som krävs för att minimera hotet:

• ADV190013 | Microsofts vägledning för att minska sårbarheter för datainsamling i mikroarkitektur
• Windows-vägledning för skydd mot spekulativ exekvering

Den 6 augusti 2019 släppte Intel information om en sårbarhet vid avslöjande av information i Windows-kernel. Den här sårbarheten är en variant av sidokanalssårbarheten Spectre, Variant 1, och den har tilldelats CVE-2019-1125.

Den 9 juli 2019 släppte vi säkerhetsuppdateringar för Windows-operativsystemet för att hjälpa till att minimera problemet. Observera att vi väntade med att dokumentera den här begränsningen offentligt fram till den samordnade branschinformationen tisdagen den 6 augusti 2019.

Kunder som har aktiverat Windows Update och har installerat säkerhetsuppdateringarna från 9 juli 2019 skyddas automatiskt. Ingen ytterligare konfiguration krävs.

Mer information om den här säkerhetsrisken och tillämpliga uppdateringar finns i Microsofts Security Update Guide:

• CVE-2019-1125 | Säkerhetsrisker med avslöjande av information i Windows-kernel

Den 12 november 2019 publicerade Intel teknisk rådgivning om säkerhetsrisken® Intel Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort som är tilldelad CVE-2019-11135. Microsoft har släppt uppdateringar för att minska den här säkerhetsrisken och OS-skyddet är aktiverat som standard för Windows Server 2019 men inaktiverat som standard för Windows Server 2016 och tidigare Windows Server OS-utgåvor.

Den 14 juni 2022 publicerade vi ADV220002 | Microsofts vägledning om säkerhetsproblem med inaktuella data i Intel-processorer och tilldelade följande CVE:er:

• CVE-2022-21123 | Delad buffertdataläsning (SBDR)
• CVE-2022-21125 | SBDS (Shared Buffer Data Sampling)
• CVE-2022-21127 | Special Register Buffer Data Sampling Update (SRBDS Update)
• CVE-2022-21166 | Device Register Partial Write (DRPW)

Rekommenderade åtgärder

Du bör vidta följande åtgärder för att skydda dig mot säkerhetsproblemen:

1. Installera alla tillgängliga uppdateringar för Windows-operativsystem, inklusive de månatliga Windows-säkerhetsuppdateringarna.
2. Tillämpa tillämpliga uppdateringar för inbyggd programvara (mikrokod) som tillhandahålls av enhetstillverkaren.
3. Utvärdera risken för din miljö utifrån informationen i Microsofts säkerhetsråd: ADV180002, ADV180012, ADV190013 och ADV220002, utöver den information som ges i den här kunskapsbas artikeln.
4. Vidta åtgärder efter behov med hjälp av rådgivning och registernyckelinformation som tillhandahålls i den här kunskapsbasen artikeln.

Den 12 juli 2022 publicerade vi CVE-2022-23825 | AMD CPU Branch Type Confusion som beskriver att alias i grenprediktorn kan orsaka att vissa AMD-processorer förutsäger fel grentyp. Det här problemet kan eventuellt leda till att information avslöjas.

För att skydda mot den här säkerhetsrisken rekommenderar vi att du installerar Windows-uppdateringar som är daterade juli 2022 eller senare och sedan vidtar åtgärder efter behov enligt CVE-2022-23825 och registernyckelinformation som tillhandahålls i den här kunskapsbasen artikel.

Mer information finns i säkerhetsbulletinen AMD-SB-1037 .

Den 8 augusti 2023 publicerade vi CVE-2023-20569 | Return Address Predictor (kallas även Inception), som beskriver en ny spekulativ sidokanalattack som kan resultera i spekulativ körning på en angriparekontrollerad adress. Det här problemet påverkar vissa AMD-processorer och kan eventuellt leda till att information röjs.

För att skydda mot den här säkerhetsrisken rekommenderar vi att du installerar Windows-uppdateringar som är daterade augusti 2023 eller senare och sedan vidtar åtgärder efter behov enligt CVE-2023-20569 och registernyckelinformation som tillhandahålls i den här kunskapsbasen artikel.

Mer information finns i säkerhetsbulletinen AMD-SB-7005 .

Den 9 april 2024 publicerade vi CVE-2022-0001 | Intel Branch History Injection som beskriver Branch History Injection (BHI) som är en specifik form av BTI inom läge. Denna sårbarhet uppstår när en angripare kan manipulera grenhistorik innan övergång från användarläge till övervakarläge (eller från VMX icke-rot/gästläge till rotläge). Den här manipulationen kan leda till att en indirekt grenprediktor väljer en specifik prediktorpost för en indirekt gren, och en informationsgadget vid det förutsagda målet körs tillfälligt. Detta kan vara möjligt eftersom den relevanta grenhistoriken kan innehålla grenar som tagits i tidigare säkerhetskontexter, och i synnerhet andra förutsägelselägen.

Som standard är user-to-kernel-skyddet för CVE-2017-5715 inaktiverat för AMD-processorer. Kunder måste aktivera åtgärden för att få ytterligare skydd för CVE-2017-5715.  Mer information finns i Vanliga frågor och svar #15 i ADV180002.

Som standard är user-to-kernel-skyddet för CVE-2017-5715 inaktiverat för AMD-processorer. Kunder måste aktivera åtgärden för att få ytterligare skydd för CVE-2017-5715.  Mer information finns i Vanliga frågor och svar #15 i ADV180002.

Så här aktiverar du åtgärden för CVE-2022-23825 på AMD-processorer :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

För att vara helt skyddade kan kunder också behöva inaktivera Hyper-Threading (kallas även Simultaneous Multi Threading (SMT)). Se KB4073757 för vägledning om hur du skyddar Windows-enheter.

Så här aktiverar du åtgärden för CVE-2023-20569 på AMD-processorer :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Så här aktiverar du åtgärden för CVE-2022-0001 på Intel-processorer :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

En detaljerad beskrivning av PowerShell-skriptets utdata finns i KB4074629 .

För att undvika en negativ påverkan på kundernas enheter erbjöds inte Windows-säkerhetsuppdateringarna som släpptes januari och februari 2018 till alla kunder. Mer information finns i KB407269 .

Mikrokoden levereras via en uppdatering av den inbyggda programvaran. Kontakta OEM-tillverkaren om vilken version av inbyggd programvara som har rätt uppdatering för din dator.

Det finns flera variabler som påverkar prestanda, allt från systemversionen till de arbetsbelastningar som körs. För vissa system blir prestandaeffekten försumbar. För andra kommer det att vara betydande.

Vi rekommenderar att du utvärderar prestandaeffekterna på dina system och gör justeringar vid behov.

Förutom vägledningen i den här artikeln om virtuella datorer bör du kontakta tjänstleverantören för att se till att värdarna som kör de virtuella datorerna är tillräckligt skyddade.

För virtuella Windows Server-datorer som körs i Azure läser du Vägledning för att minska sårbarheten för spekulativ exekvering i Azure. Vägledning om hur du använder Azure Uppdateringshantering för att minimera problemet på virtuella gästdatorer finns i KB4077467.

Uppdateringarna som släpptes för Windows Server behållaravbildningar för Windows Server 2016 och Windows 10 version 1709 innehåller åtgärder för den här uppsättningen säkerhetsrisker. Ingen ytterligare konfiguration krävs.

Anteckning Du måste fortfarande se till att värden som dessa containrar körs på är konfigurerad för att aktivera lämpliga åtgärder.

Nej, installationsordningen spelar ingen roll.

Ja, du måste starta om efter uppdateringen av den inbyggda programvaran (mikrokod) och sedan igen efter systemuppdateringen.

Här följer information om registernycklarna:

FeatureSettingsOverride representerar en bitmapp som åsidosätter standardinställningen och styr vilka åtgärder som ska inaktiveras. Bit 0 styr begränsningen som motsvarar CVE-2017-5715. Bit 1 styr åtgärden som motsvarar CVE-2017-5754. Bitarna anges till 0 för att aktivera åtgärden och 1 för att inaktivera åtgärden.

FeatureSettingsOverrideMask representerar en bitmappsmask som används tillsammans med FeatureSettingsOverride. I det här fallet använder vi värdet 3 (representeras som 11 i det binära talsystemet eller talsystemet med basen 2) för att ange de två första bitarna som motsvarar de tillgängliga lindringarna. Den här registernyckeln är inställd på 3 både för att aktivera eller inaktivera riskerna.

MinVmVersionForCpuBasedMitigations är för Hyper-V-värdar. Den här registernyckeln definierar den lägsta VM-version som krävs för att du ska kunna använda de uppdaterade funktionerna för inbyggd programvara (CVE-2017-5715). Ange detta till 1.0 för att täcka alla VM-versioner. Observera att det här registervärdet ignoreras (godartat) på icke-Hyper-V-värdar. Mer information finns i Skydda virtuella gästdatorer från CVE-2017-5715 (branch target injection).

Ja, det finns inga biverkningar om dessa registerinställningar tillämpas innan korrigeringarna för januari 2018 installeras.

Se en detaljerad beskrivning av skriptutdata på KB4074629: Förstå SpeculationControl PowerShell-skriptutdata .

Ja, för Windows Server 2016 Hyper-V-värdar som ännu inte har uppdateringen av den inbyggda programvaran tillgänglig har vi publicerat alternativ vägledning som kan hjälpa dig att mildra VM till VM eller VM till värd för attacker. Se Alternativa skydd för Windows Server 2016 Hyper-V-värdar mot spekulativ exekvering av sidokanaler.

Uppdateringar som endast innehåller säkerhetsuppdateringar är inte kumulativa. Beroende på din operativsystemversion kan du behöva installera flera säkerhetsuppdateringar för att få fullständigt skydd. I allmänhet måste kunderna installera uppdateringarna för januari, februari, mars och april 2018. System med AMD-processorer behöver ytterligare en uppdatering enligt följande tabell:

Vi rekommenderar att du installerar endast säkerhetsuppdateringar i den ordning de släpps.

Nej. Säkerhetsuppdatering KB4078130 var en specifik korrigering för att förhindra oförutsägbara systembeteenden, prestandaproblem och oväntade omstarter efter installationen av mikrokod. Genom att tillämpa säkerhetsuppdateringar på Windows klientoperativsystem möjliggörs alla tre lösningarna. På Windows Server operativsystem måste du fortfarande aktivera lindringarna när du har gjort ordentlig testning. Mer information finns i KB4072698.

Det här problemet löstes i KB4093118.

I februari 2018 meddelade Intel att de hade slutfört sina valideringar och börjat släppa mikrokod för nyare CPU-plattformar. Microsoft tillgängliggör Intel-validerade mikrokoduppdateringar gällande Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection).  KB4093836 visar specifika kunskapsbas artiklar efter Windows-version. Varje specifik KB-artikel innehåller de tillgängliga Intel-mikrokoduppdateringarna efter CPU.

11 januari 2018 rapporterade Intel om problem i den nyligen släppta mikrokoden som var avsedd att motverka Spectre variant 2 (CVE-2017-5715 | Branch Target Injection). Specifikt noterade Intel att denna mikrokod kan orsaka "högre omstarter än väntat och annat oförutsägbart systembeteende" och att dessa scenarier kan orsaka "dataförlust eller korruption". Vi vet att instabila system i vissa fall kan leda till att data går förlorade eller skadas. 22 januari rekommenderade Intel kunderna att sluta distribuera aktuell mikrokodversion på berörda processorer medan Intel utför ytterligare tester på den uppdaterade lösningen. Intel fortsätter att utreda den potentiella effekten av den aktuella mikrokodversionen. Vi uppmuntrar kunderna att löpande granska sin vägledning för att fatta välgrundade beslut.

Medan Intel testar, uppdaterar och distribuerar ny mikrokod tillgängliggör vi en OOB-uppdatering (out-of-band) KB4078130 som bara inaktiverar skyddet mot CVE-2017-5715. I våra tester har visat att den här uppdateringen förhindrar det beskrivna beteendet. En fullständig lista över enheter finns i Intels vägledning för mikrokodsrevision . Den här uppdateringen omfattar Windows 7 Service Pack 1 (SP1), Windows 8.1 och alla versioner av Windows 10, både klient och server. Om du kör en enhet som påverkas kan du tillämpa uppdateringen genom att ladda ned den från webbplatsen Microsoft Update Catalog. Tillämpningen av den här nyttolasten inaktiverar endast åtgärder mot CVE-2017-5715.

Det finns ännu inga kända rapporter som visar att detta Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection) har använts för att attackera kunder. Vi rekommenderar att Windows-användare, när det är lämpligt, återaktiverar skyddet mot CVE-2017-5715 när Intel meddelar att det här oförutsägbara systembeteendet har åtgärdats för din enhet.

I februari 2018 meddelade Intel att de hade slutfört sina valideringar och börjat släppa mikrokod för nyare CPU-plattformar. Microsoft tillgängliggör Intel-validerade mikrokoduppdateringar som är relaterade till Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection). KB4093836 visar specifika kunskapsbas artiklar efter Windows-version. I KB visas tillgängliga Intel-mikrokoduppdateringar efter CPU.

Mer information finns i AMD Security Uppdateringar och AMD Whitepaper: Architecture Guidelines around Indirect Branch Control . Dessa är tillgängliga från OEM-kanalen för inbyggd programvara.

Vi tillhandahåller Intel-validerade mikrokoduppdateringar som gäller Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection). För att kunna hämta Intels senaste mikrokoduppdateringar via Windows Update måste kunderna ha installerat Intels mikrokod på enheter som kör operativsystemet Windows 10 före uppgraderingen till april 2018-uppdateringen för Windows 10 (version 1803).

Mikrokoduppdateringen är även tillgänglig direkt från Microsoft Update Catalog om den inte hade installerats på enheten innan systemet uppgraderades. Intels mikrokod är tillgänglig via Windows Update, Windows Server Update Services (WSUS) eller Microsoft Update Catalog. Mer information och instruktioner för nedladdning finns i KB4100347.

Mer information finns i följande avsnitt:

• ADV180012 | Microsofts vägledning för Speculative Store Bypass för CVE-2018-3639
• ADV180013 | Microsofts vägledning för falskt systemregister Läs för CVE-2018-3640 och KB 4073065 | Vägledning för Surface-kunder
• Microsofts säkerhetsforsknings- och försvarsblogg
• Utvecklarvägledning för Speculative Store Bypass

Se avsnitten "Rekommenderade åtgärder" och "Vanliga frågor och svar" i ADV180012 | Microsofts vägledning för Speculative Store Bypass.

För att verifiera statusen för SSBD har PowerShell-skriptet Get-SpeculationControlSettings uppdaterats för att identifiera berörda processorer, status för uppdateringar av SSBD-operativsystemet och tillstånd för processorns mikrokod, om tillämpligt. Mer information och PowerShell-skriptet finns i KB4074629.

13 juni 2018 tillkännagavs ytterligare en sårbarhet som omfattar spekulativ sidokanalsexekvering, känd som Lazy FP State Restore, och tilldelades CVE-2018-3665 . Information om den här säkerhetsrisken och rekommenderade åtgärder finns i Security Advisory ADV180016 | Microsofts vägledning för Lazy FP State Restore .

Anteckning Det finns inga nödvändiga konfigurationsinställningar (register) för Lazy Restore FP Restore.

BCBS (Bounds Check Bypass Store) avslöjades den 10 juli 2018 och tilldelades CVE-2018-3693. Vi anser att BCBS tillhör samma klass av sårbarheter som Bounds Check Bypass (variant 1). Vi känner för närvarande inte till några förekomster av BCBS i vår programvara. Vi fortsätter dock att undersöka den här sårbarhetsklassen och kommer att arbeta med branschpartners för att släppa lösningar vid behov. Vi uppmuntrar forskare att skicka in alla relevanta resultat till Microsoft Speculative Execution Side Channel bounty-programmet, inklusive eventuella exploaterbara instanser av BCBS. Programvaruutvecklare bör granska utvecklarvägledningen som har uppdaterats för BCBS på C++ Developer Guidance for Speculative Execution Side Channels

Den 14 augusti 2018 meddelades och tilldelades L1 Terminal Fault (L1TF) flera CVE:er. Dessa nya säkerhetsproblem med spekulativ exekvering kan användas för att läsa innehållet i minnet över en betrodd gräns och kan, om de utnyttjas, leda till att information avslöjas. Det finns flera vektorer genom vilka en angripare kan utlösa sårbarheterna, beroende på den konfigurerade miljön. L1TF påverkar Intel Core-processorer®® och Intel Xeon-processorer®®.

Mer information om den här säkerhetsrisken och en detaljerad vy över påverkade scenarier, inklusive Microsofts metod för att minimera L1TF, finns i följande resurser:

• ADV180018 | Microsofts vägledning för att minimera L1TF-varianten
• Security Advisory Security Research Blog
• Servervägledning för L1-terminalfel

Stegen för att inaktivera Hyper-Threading skiljer sig från OEM till OEM, men är vanligtvis en del av BIOS eller konfigurationsverktygen för installation och konfiguration av inbyggd programvara.

Kunder som använder 64-bitars ARM-processorer bör kontakta enhetens OEM-tillverkare för stöd för inbyggd programvara eftersom ARM64-operativsystemskydd som mildrar riskerna för CVE-2017-5715 | Branch target injection (Spectre, Variant 2) kräver att den senaste uppdateringen av den inbyggda programvaran från OEM-tillverkare av enheter börjar gälla.

Mer information finns i följande säkerhetsrekommendationer

• Intels säkerhetsrådgivning
• ADV190013 | Microsofts vägledning för att minska sårbarheter för datainsamling i mikroarkitektur

Mer vägledning finns i Windows-vägledningen för att skydda mot spekulativ exekvering

Se vägledningen i Windows-vägledningen för att skydda dig mot spekulativ exekvering

Azure vägledning finns i den här artikeln: Vägledning för att minska sårbarheter vid spekulativ exekvering i Azure.

Mer information om Retpoline-aktivering finns i vårt blogginlägg: Mitigating Spectre variant 2 with Retpoline on Windows .

Mer information om den här säkerhetsrisken finns i Microsofts säkerhetsguide: CVE-2019-1125 | Sårbarhet vid avslöjande av information i Windows-kernel.

Vi känner inte till något fall där den här sårbarheten för avslöjande av information påverkar vår molntjänstinfrastruktur.

Så snart vi blev medvetna om problemet arbetade vi snabbt med att åtgärda det och släppa en uppdatering. Vi tror starkt på nära partnerskap med både forskare och branschpartners för att göra kunderna säkrare, och publicerade inte detaljer förrän tisdagen den 6 augusti, i enlighet med samordnade metoder för avslöjande av sårbarheter.

Mer vägledning finns i Windows-vägledningen för att skydda mot säkerhetsrisker med spekulativ exekvering.

Mer vägledning finns i Windows-vägledningen för att skydda mot säkerhetsrisker med spekulativ exekvering.

Mer vägledning finns i Vägledning för att inaktivera Intel Transactional Synchronization Extensions (Intel TSX)-kapacitet.

Produkter från andra leverantörer som nämns i den här artikeln tillverkas av företag som inte har någon anknytning till Microsoft. Vi lämnar ingen garanti, underförstådd eller på annat sätt, om dessa produkters prestanda eller tillförlitlighet.

Vi tillhandahåller kontaktinformation från tredje part som hjälper dig att hitta teknisk support. Denna kontaktinformation kan ändras utan föregående meddelande. Vi kan inte garantera att den här kontaktinformationen från tredje part är korrekt.