KB4073119: Windows-klientvägledning för IT-proffs för skydd mot kiselbaserade mikroarkitektoniska och spekulativa exekveringar

Den 14 maj 2019 publicerade Intel information om en ny underklass av spekulativ exekvering som kallas Microarchitectural Data Sampling. Dessa säkerhetsproblem åtgärdas i följande CVE:er:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
• CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)
• CVE-2018-12130 | MLPDS (Microarchitectural Load Port Data Sampling)

Vi har släppt uppdateringar för att minska dessa säkerhetsbrister. För att få allt tillgängligt skydd krävs uppdateringar för inbyggd programvara (mikrokod) och programvara. Detta kan omfatta mikrokod från OEM-tillverkare av enheter. I vissa fall påverkas prestandan när du installerar uppdateringarna. Vi har också vidtagit åtgärder för att säkra våra molntjänster. Vi rekommenderar starkt att du distribuerar dessa uppdateringar.

Mer information om det här problemet finns i följande säkerhetsrådgivning och använder scenariobaserad vägledning för att fastställa vilka åtgärder som krävs för att minimera hotet:

• ADV190013 | Microsofts vägledning för att minska sårbarheter för datainsamling i mikroarkitektur
• Windows-vägledning för skydd mot spekulativ exekvering

Den 6 augusti 2019 släppte Intel information om en sårbarhet vid avslöjande av information i Windows-kernel. Den här sårbarheten är en variant av Spectre Variant 1-sårbarheten för spekulativ exekvering och har tilldelats CVE-2019-1125.

Den 9 juli 2019 släppte vi säkerhetsuppdateringar för Windows-operativsystemet för att hjälpa till att minimera problemet. Observera att vi väntade med att dokumentera den här begränsningen offentligt fram till den samordnade branschinformationen tisdagen den 6 augusti 2019.

Kunder som har aktiverat Windows Update och har installerat säkerhetsuppdateringarna från 9 juli 2019 skyddas automatiskt. Ingen ytterligare konfiguration krävs.

Mer information om den här säkerhetsrisken och tillämpliga uppdateringar finns i Microsofts Security Update Guide:

• CVE-2019-1125 | Säkerhetsrisker med avslöjande av information i Windows-kernel

Den 12 november 2019 publicerade Intel teknisk rådgivning om säkerhetsrisken Intel Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort som är tilldelad CVE-2019-11135. Vi har släppt uppdateringar för att minska den här säkerhetsrisken. Som standard är OS-skyddet aktiverat för Windows-klientoperativsystem.

Den 14 juni 2022 publicerade vi ADV220002 | Microsofts vägledning om säkerhetsproblem med inaktuella data i Intel-processorn i MMIO. Dessa säkerhetsproblem tilldelas i följande CVE:er:

• CVE-2022-21123 | Delad buffertdataläsning (SBDR)
• CVE-2022-21125 | SBDS (Shared Buffer Data Sampling)
• CVE-2022-21127 | Special Register Buffer Data Sampling Update (SRBDS Update)
• CVE-2022-21166 | Device Register Partial Write (DRPW)

Rekommenderade åtgärder

Du bör vidta följande åtgärder för att skydda dig mot dessa säkerhetsproblem:

1. Installera alla tillgängliga uppdateringar för Windows-operativsystem, inklusive de månatliga Windows-säkerhetsuppdateringarna.
2. Tillämpa tillämpliga uppdateringar för inbyggd programvara (mikrokod) som tillhandahålls av enhetstillverkaren.
3. Utvärdera risken för din miljö utifrån informationen i Microsofts säkerhetsrekommendationer ADV180002, ADV180012, ADV190013 och ADV220002, utöver informationen i den här artikeln.
4. Vidta de åtgärder som behövs med hjälp av de råd och den registernyckelinformation som finns i den här artikeln.

Den 12 juli 2022 publicerade vi CVE-2022-23825 | AMD CPU Branch Type Confusion som beskriver att alias i grenprediktorn kan orsaka att vissa AMD-processorer förutsäger fel grentyp. Det här problemet kan eventuellt leda till att information avslöjas.

För att skydda mot den här säkerhetsrisken rekommenderar vi att du installerar Windows-uppdateringar som är daterade juli 2022 eller senare och sedan vidtar åtgärder efter behov enligt CVE-2022-23825 och registernyckelinformation som tillhandahålls i den här kunskapsbasen artikel.

Mer information finns i säkerhetsbulletinen AMD-SB-1037 .

Den 8 augusti 2023 publicerade vi CVE-2023-20569 | AMD CPU Return Address Predictor (kallas även Inception) som beskriver en ny spekulativ sidokanalsattack som kan resultera i spekulativ körning på en angriparekontrollerad adress. Det här problemet påverkar vissa AMD-processorer och kan eventuellt leda till att information röjs.

För att skydda mot den här säkerhetsrisken rekommenderar vi att du installerar Windows-uppdateringar som är daterade augusti 2023 eller senare och sedan vidtar åtgärder efter behov enligt CVE-2023-20569 och registernyckelinformation som tillhandahålls i den här kunskapsbasen artikel.

Mer information finns i säkerhetsbulletinen AMD-SB-7005 .

Den 9 april 2024 publicerade vi CVE-2022-0001 | Intel Branch History Injection som beskriver Branch History Injection (BHI) som är en specifik form av BTI inom läge. Denna sårbarhet uppstår när en angripare kan manipulera grenhistorik innan övergång från användarläge till övervakarläge (eller från VMX icke-rot/gästläge till rotläge). Den här manipulationen kan leda till att en indirekt grenprediktor väljer en specifik prediktorpost för en indirekt gren, och en informationsgadget vid det förutsagda målet körs tillfälligt. Detta kan vara möjligt eftersom den relevanta grenhistoriken kan innehålla grenar som tagits i tidigare säkerhetskontexter, och i synnerhet andra förutsägelselägen.

Som standard är user-to-kernel-skydd för CVE-2017-5715 inaktiverat för AMD- och ARM-processorer. Du måste aktivera åtgärden för att få ytterligare skydd för CVE-2017-5715. Mer information finns i Vanliga frågor och svar #15 i ADV180002 för AMD-processorer och Vanliga frågor och svar #20 i ADV180002 för ARM-processorer.

Som standard är user-to-kernel-skyddet för CVE-2017-5715 inaktiverat för AMD-processorer. Kunder måste aktivera åtgärden för att få ytterligare skydd för CVE-2017-5715.  Mer information finns i Vanliga frågor och svar #15 i ADV180002.

Så här aktiverar du åtgärden för CVE-2022-23825 på AMD-processorer:**

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

För att vara helt skyddade kan kunder också behöva inaktivera Hyper-Threading (kallas även Simultaneous Multi Threading (SMT)). Se KB4073757 för vägledning om hur du skyddar Windows-enheter.

Så här aktiverar du åtgärden för CVE-2023-20569 på AMD-processorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Så här aktiverar du åtgärden för CVE-2022-0001 på Intel-processorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

En detaljerad beskrivning av PowerShell-skriptets utdata finns i KB4074629.

Mikrokoden levereras via en uppdatering av den inbyggda programvaran. Kontrollera med CPU-kretsuppsättningen och enhetstillverkarna om det finns tillgängliga säkerhetsuppdateringar för den inbyggda programvaran för deras specifika enheter, inklusive Intels Microcode Revision Guidance.

Det är en stor utmaning att åtgärda sårbarheter i maskinvaran genom en programvaruuppdatering. Lösningar för äldre operativsystem kräver dessutom omfattande ändringar av arkitekturen. Vi arbetar med berörda kretstillverkare för att fastställa det bästa sättet att tillhandahålla lösningar, som kan levereras i framtida uppdateringar.

Uppdateringar för Microsoft Surface-enheter levereras till kunder via Windows Update tillsammans med uppdateringar för Windows-operativsystemet. En lista över tillgängliga uppdateringar av inbyggd programvara för Surface-enheter (mikrokod) finns i KB4073065.

Om din enhet inte kommer från Microsoft använder du inbyggd programvara från enhetstillverkaren. Kontakta OEM-enhetstillverkaren om du vill ha mer information.

I februari och mars 2018 släppte Microsoft ytterligare skydd för vissa x86-baserade system. Mer information finns i KB4073757 och Microsofts Security Advisory ADV180002.

Uppdateringar till Windows 10 för HoloLens är tillgängliga för HoloLens-kunder via Windows Update.

Efter att ha installerat Windows-säkerhet Update februari 2018 behöver HoloLens-kunder inte vidta ytterligare åtgärder för att uppdatera enhetens inbyggda programvara. Dessa lösningar inkluderas också i alla framtida versioner av Windows 10 för HoloLens.

Nej. Endast säkerhetsuppdateringar är inte kumulativa. Beroende på vilken version av operativsystemet du har måste du installera säkerhetsrelaterade uppdateringar varje månad för att skydda dig mot dessa säkerhetsproblem. Om du till exempel kör Windows 7 för 32-bitarssystem på en berörd Intel-processor måste du installera alla säkerhetsrelaterade uppdateringar. Vi rekommenderar att dessa säkerhetsrelaterade uppdateringar installeras i den ordning de släpps.

Anteckning I en tidigare version av dessa vanliga frågor och svar angavs felaktigt att säkerhetsuppdateringen för februari innehöll de säkerhetskorrigeringar som släpptes i januari. Faktum är att det inte gör det.

Nej. Säkerhetsuppdatering 4078130 var en specifik korrigering för att förhindra oförutsägbara systembeteenden, prestandaproblem och/eller oväntade omstarter efter installation av mikrokod. Om du installerar februari-säkerhetsuppdateringarna på Windows klientoperativsystem möjliggörs alla tre lösningarna.

Intel meddelade nyligen att de har slutfört sina verifieringar och har börjat publicera mikrokod för nyare CPU-plattformar. Microsoft tillgängliggör Intel-verifierade mikrokoduppdateringar angående Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 visas specifika Knowledge Base-artiklar efter Windows-version. Varje specifik KB innehåller de tillgängliga Intel-mikrokoduppdateringarna efter CPU.

Det här problemet löstes i KB4093118.

AMD meddelade nyligen att de har börjat släppa mikrokod för nyare CPU-plattformar runt Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Mer information finns i AMD Security Uppdateringar and AMD Whitepaper: Architecture Guidelines around Indirect Branch Control. Dessa är tillgängliga från OEM-kanalen för inbyggd programvara.

Vi tillgängliggör Intel-validerade mikrokoduppdateringar angående Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). För att kunna hämta Intels senaste mikrokoduppdateringar via Windows Update måste kunderna ha installerat Intels mikrokod på enheter som kör operativsystemet Windows 10 före uppgraderingen till april 2018-uppdateringen för Windows 10 (version 1803).

Mikrokoduppdateringen finns även tillgänglig direkt från Catalog om den inte hade installerats på enheten innan operativsystemet uppgraderades. Intels mikrokod är tillgänglig via Windows Update, WSUS eller Microsoft Update Catalog. Mer information och instruktioner för nedladdning finns i KB4100347.

Mer information finns i följande avsnitt:

• ADV180012 | Microsofts vägledning för Speculative Store Bypass för CVE-2018-3639
• ADV180013 | Microsofts vägledning för falskt systemregister Läs för CVE-2018-3640 och KB4073065
• Microsofts säkerhetsforsknings- och försvarsblogg
• Utvecklarvägledning för Speculative Store Bypass

Mer information finns i avsnitten "Rekommenderade åtgärder" och "Vanliga frågor och svar" i ADV180012 | Microsofts vägledning för Speculative Store Bypass.

För att verifiera statusen för SSBD uppdaterades Get-SpeculationControlSettings PowerShell-skriptet för att identifiera berörda processorer, status för uppdateringar av SSBD-operativsystemet och tillstånd för processorns mikrokod om tillämpligt. Mer information och PowerShell-skriptet finns i KB4074629.

Den 13 juni 2018 tillkännagavs ytterligare en sårbarhet som innefattar spekulativ sidokanalsexekvering, känd som Lazy FP State Restore, och tilldelades CVE-2018-3665. Inga konfigurationsinställningar (register) krävs för Lazy Restore FP Restore.

Mer information om den här säkerhetsrisken och rekommenderade åtgärder finns i säkerhetsmeddelande ADV180016 | Microsofts vägledning för Lazy FP State Restore.

BCBS (Bounds Check Bypass Store) avslöjades den 10 juli 2018 och tilldelades CVE-2018-3693. Vi anser att BCBS tillhör samma klass av sårbarheter som Bounds Check Bypass (variant 1). Vi känner för närvarande inte till några förekomster av BCBS i vår programvara, men vi fortsätter att undersöka den här sårbarhetsklassen och kommer att arbeta med branschpartners för att släppa lösningar vid behov. Vi fortsätter att uppmuntra forskare att skicka in alla relevanta resultat till Microsofts Speculative Execution Side Channel bounty-program, inklusive eventuella exploaterbara förekomster av BCBS. Programvaruutvecklare bör läsa den utvecklarvägledning som uppdaterades för BCBS i https://aka.ms/sescdevguide.

Den 14 augusti 2018 meddelades och tilldelades L1 Terminal Fault (L1TF) flera CVE:er. Dessa nya säkerhetsproblem med spekulativ exekvering kan användas för att läsa innehållet i minnet över en betrodd gräns och kan, om de utnyttjas, leda till att information avslöjas. En angripare kan utlösa sårbarheterna via flera vektorer, beroende på den konfigurerade miljön. L1TF påverkar Intel Core-processorer®® och Intel Xeon-processorer®®.

Mer information om den här säkerhetsrisken och en detaljerad vy över påverkade scenarier, inklusive Microsofts metod för att minimera L1TF, finns i följande resurser:

• ADV180018 | Microsofts vägledning för att minimera L1TF-varianten
• Security Advisory Security Research Blog
• Servervägledning för L1-terminalfel

Kunder som använder 64-bitars ARM-processorer bör kontakta enhetens OEM-tillverkare för stöd för inbyggd programvara eftersom ARM64-operativsystemskydd som begränsar riskerna för CVE-2017-5715 | Branch target injection (Spectre, Variant 2) kräver att den senaste uppdateringen av den inbyggda programvaran från OEM-tillverkare av enheter börjar gälla.

Mer information finns i följande säkerhetsrekommendationer

• Intels säkerhetsrådgivning
• ADV190013 | Microsofts vägledning för att minska sårbarheter för datainsamling i mikroarkitektur

Mer information finns i följande säkerhetsrekommendationer

• Intels säkerhetsrådgivning
• ADV190013 | Microsofts vägledning för att minska sårbarheter för datainsamling i mikroarkitektur

Mer vägledning finns i Windows-vägledningen för att skydda mot spekulativ exekvering

Se vägledningen i Windows-vägledningen för att skydda mot spekulativ exekvering

Azure vägledning finns i den här artikeln: Vägledning för att minska sårbarheter vid spekulativ exekvering i Azure.

Mer information om Retpoline-aktivering finns i vårt blogginlägg: Mitigating Spectre variant 2 with Retpoline on Windows.

Mer information om den här säkerhetsrisken finns i Microsofts säkerhetsguide: CVE-2019-1125 | Sårbarhet vid avslöjande av information i Windows-kernel.

Vi känner inte till något fall där den här sårbarheten för avslöjande av information påverkar vår molntjänstinfrastruktur.

Så snart vi blev medvetna om problemet arbetade vi snabbt med att åtgärda det och släppa en uppdatering. Vi tror starkt på nära partnerskap med både forskare och branschpartners för att göra kunderna säkrare, och publicerade inte detaljer förrän tisdagen den 6 augusti, i enlighet med samordnade metoder för avslöjande av sårbarheter.

Mer vägledning finns i Windows-vägledningen för att skydda mot säkerhetsrisker med spekulativ exekvering.

Mer vägledning finns i Windows-vägledningen för att skydda mot säkerhetsrisker med spekulativ exekvering.

Mer vägledning finns i Vägledning för att inaktivera Intel® Transactional Synchronization Extensions (Intel® TSX)-kapacitet.

Vi tillhandahåller kontaktinformation från tredje part som hjälper dig att hitta teknisk support. Denna kontaktinformation kan ändras utan föregående meddelande. Vi kan inte garantera att den här kontaktinformationen från tredje part är korrekt.