KB4072698: คําแนะนําสําหรับ Windows Server และ Azure Stack HCI เพื่อป้องกันช่องโหว่ที่อาศัย microarchitectural และช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์จากซิลิคอน

บทความนี้ระบุถึงช่องโหว่ของการดําเนินการแบบคาดการณ์ต่อไปนี้:

• CVE-2017-5715 | CVE การใส่เป้าหมายสาขา
• CVE-2017-5753 | CVE-2017-5753 | CVE การเลี่ยงผ่านการตรวจสอบขอบเขต
• CVE-2017-5754 | CVE-2017-5754 | CVE โหลดแคชข้อมูลปลอม
• CVE-2018-3639 | CVE-2018 การเลี่ยงผ่านสโตร์แบบคาดการณ์

นอกจากนี้ Windows Update ยังมีการบรรเทาจาก Internet Explorer และ Edge อีกด้วย เราจะปรับปรุงการบรรเทาปัญหาเหล่านี้ต่อช่องโหว่ประเภทนี้ต่อไป

เมื่อต้องการเรียนรู้เพิ่มเติมเกี่ยวกับช่องโหว่ประเภทนี้ โปรดดู

• ADV180002 | คําแนะนําเพื่อลดช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์
• ADV180012 | คําแนะนําของ Microsoft สําหรับการเลี่ยงผ่าน Store แบบคาดการณ์

ในวันที่ 14 พฤษภาคม 2019 Intel ได้เผยแพร่ข้อมูลเกี่ยวกับคลาสย่อยใหม่ของช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์ที่เรียกว่าการสุ่มตัวอย่างข้อมูลสถาปัตยกรรมไมโครและบันทึกไว้ใน ADV190013 | Intel การสุ่มตัวอย่างข้อมูลสถาปัตยกรรมไมโคร พวกเขาได้รับมอบหมาย CVEs ต่อไปนี้:

• CVE-2019-11091 | CVE Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
• CVE-2018-12126 | CVE-2018 การสุ่มตัวอย่างข้อมูลบัฟเฟอร์ของที่เก็บ Microarchitectural (MSBDS)
• CVE-2018-12127 | CVE การสุ่มตัวอย่างข้อมูลบัฟเฟอร์การเติมแบบ Microarchitectural (MFBDS)
• CVE-2018-12130 | CVE การสุ่มตัวอย่างข้อมูลพอร์ตโหลดแบบไมโครเก็บถาวร (MLPDS)

Microsoft ได้เผยแพร่การอัปเดตเพื่อช่วยลดช่องโหว่เหล่านี้ หากต้องการรับการป้องกันที่พร้อมใช้งานทั้งหมด จําเป็นต้องอัปเดตเฟิร์มแวร์ (microcode) และซอฟต์แวร์ ซึ่งอาจรวมถึง Microcode จาก OEM ของอุปกรณ์ ในบางกรณี การติดตั้งการอัปเดตเหล่านี้จะมีผลต่อประสิทธิภาพการทํางาน นอกจากนี้ เรายังได้ดําเนินการเพื่อรักษาความปลอดภัยของบริการระบบคลาวด์ของเราอีกด้วย เราขอแนะนําให้ปรับใช้การอัปเดตเหล่านี้

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับปัญหานี้ ดูคําแนะนําด้านความปลอดภัยต่อไปนี้และใช้คําแนะนําตามสถานการณ์สมมติเพื่อระบุการดําเนินการที่จําเป็นเพื่อลดภัยคุกคาม:

• ADV190013 | คําแนะนําของ Microsoft ในการลดช่องโหว่การสุ่มตัวอย่างข้อมูลสถาปัตยกรรมไมโคร
• คําแนะนําสําหรับ Windows เพื่อป้องกันช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์

ในวันที่ 6 สิงหาคม 2019 Intel ได้เผยแพร่รายละเอียดเกี่ยวกับช่องโหว่การเปิดเผยข้อมูลเคอร์เนลของ Windows ช่องโหว่นี้เป็นตัวแปรของช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์ตัวแปรที่ 1 และได้รับการกําหนด CVE-2019-1125

เมื่อวันที่ 9 กรกฎาคม 2019 เราได้เผยแพร่การอัปเดตความปลอดภัยสําหรับระบบปฏิบัติการ Windows เพื่อช่วยบรรเทาปัญหานี้ โปรดทราบว่าเราได้จัดเอกสารฉบับนี้ต่อสาธารณชนจนกว่าการเปิดเผยอุตสาหกรรมประสานงานในวันอังคารที่ 6 สิงหาคม 2019

ลูกค้าที่เปิดใช้งาน Windows Update และใช้การอัปเดตความปลอดภัยที่เผยแพร่ในวันที่ 9 กรกฎาคม 2019 จะได้รับการป้องกันโดยอัตโนมัติ ไม่มีการกําหนดค่าเพิ่มเติมที่จําเป็น

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่นี้และการอัปเดตที่เกี่ยวข้อง โปรดดู คู่มือการอัปเดตความปลอดภัย Microsoft:

• CVE-2019-1125 | CVE ช่องโหว่การเปิดเผยข้อมูลเคอร์เนลของ Windows

ในวันที่ 12 พฤศจิกายน 2019 Intel ได้เผยแพร่คําแนะนําทางเทคนิคเกี่ยวกับช่องโหว่ Intel® Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort ที่กําหนด CVE-2019-11135 Microsoft ได้เผยแพร่การอัปเดตเพื่อช่วยลดช่องโหว่นี้ และการป้องกันระบบปฏิบัติการจะเปิดใช้งานตามค่าเริ่มต้นสําหรับ Windows Server 2019 แต่ปิดใช้งานตามค่าเริ่มต้นสําหรับ Windows Server 2016 และเวอร์ชันก่อนหน้า Windows Server OS

เมื่อวันที่ 14 มิถุนายน 2022 เราได้เผยแพร่ ADV220002 คําแนะนําของ Microsoft เกี่ยวกับช่องโหว่ MMIO ข้อมูลลวงตาของตัวประมวลผล Intel และกําหนด CVEs เหล่านี้:

• CVE-2022-21123 | CVE การอ่านข้อมูลบัฟเฟอร์ที่ใช้ร่วมกัน (SBDR)
• CVE-2022-21125 | CVE การสุ่มตัวอย่างข้อมูลบัฟเฟอร์ที่ใช้ร่วมกัน (SBDS)
• CVE-2022-21127 | CVE การอัปเดตการสุ่มตัวอย่างข้อมูลบัฟเฟอร์การลงทะเบียนพิเศษ (การอัปเดต SRBDS)
• CVE-2022-21166 | CVE Device Register Partial Write (DRPW)

การดำเนินการที่แนะนำ

คุณควรดําเนินการต่อไปนี้เพื่อป้องกันช่องโหว่:

1. ใช้การอัปเดตระบบปฏิบัติการ Windows ที่พร้อมใช้งานทั้งหมด รวมถึงการอัปเดตความปลอดภัยของ Windows รายเดือน
2. ใช้การอัปเดตเฟิร์มแวร์ (microcode) ที่เกี่ยวข้องที่ได้รับจากผู้ผลิตอุปกรณ์
3. ประเมินความเสี่ยงต่อสภาพแวดล้อมของคุณตามข้อมูลที่ระบุในคําแนะนําด้านความปลอดภัยของ Microsoft: ADV180002ADV180012ADV190013ADV220002 นอกเหนือจากข้อมูลที่ระบุไว้ในบทความฐานความรู้นี้
4. ดําเนินการตามที่จําเป็นโดยใช้คําแนะนําและข้อมูลรีจิสทรีคีย์ที่มีอยู่ในบทความฐานความรู้นี้

เมื่อวันที่ 12 กรกฎาคม 2022 เราได้เผยแพร่ CVE-2022-23825 | AMD CPU Branch Type Confusion ซึ่งอธิบายว่านามแฝงในตัวคาดเดาสาขาอาจทําให้ตัวประมวลผล AMD บางตัวคาดการณ์ชนิดของสาขาที่ไม่ถูกต้อง ปัญหานี้อาจนําไปสู่การเปิดเผยข้อมูล

เพื่อช่วยป้องกันช่องโหว่นี้ เราขอแนะนําให้ติดตั้งการอัปเดต Windows ที่ลงวันที่หรือหลังจากเดือนกรกฎาคม 2022 แล้วดําเนินการตามที่จําเป็นโดย CVE-2022-23825และข้อมูลรีจิสทรีคีย์ที่มีอยู่ในบทความฐานความรู้นี้

สําหรับข้อมูลเพิ่มเติม โปรดดูประกาศด้านความปลอดภัยของ AMD-SB-1037

เมื่อวันที่ 8 สิงหาคม 2023 เราได้เผยแพร่ CVE-2023-20569 | Return Address Predictor (หรือที่เรียกว่า Inception) ซึ่งอธิบายการโจมตีช่องทางด้านข้างแบบคาดการณ์ใหม่ซึ่งอาจส่งผลให้เกิดการดําเนินการแบบคาดการณ์ที่ที่อยู่ที่ควบคุมโดยผู้โจมตี ปัญหานี้มีผลต่อตัวประมวลผล AMD บางตัว และอาจนําไปสู่การเปิดเผยข้อมูล

เพื่อช่วยป้องกันช่องโหว่นี้ เราขอแนะนําให้ติดตั้งการอัปเดต Windows ที่ลงวันที่หรือหลังจากเดือนสิงหาคม 2023 แล้วดําเนินการตามที่จําเป็นโดย CVE-2023-20569 และข้อมูลรีจิสทรีคีย์ที่มีอยู่ในบทความฐานความรู้นี้

สําหรับข้อมูลเพิ่มเติม โปรดดูประกาศด้านความปลอดภัยของ AMD-SB-7005

เมื่อวันที่ 9 เมษายน 2024 เราได้เผยแพร่ CVE-2022-0001 | การฉีดประวัติสาขาของ Intel ซึ่งอธิบายการฉีดประวัติสาขา (BHI) ซึ่งเป็นรูปแบบเฉพาะของ BTI ภายในโหมด ช่องโหว่นี้เกิดขึ้นเมื่อผู้โจมตีอาจจัดการประวัติสาขาก่อนที่จะเปลี่ยนจากผู้ใช้เป็นโหมดผู้ดูแล (หรือจากโหมดที่ไม่ใช่ราก/ผู้เยี่ยมชม VMX ไปเป็นโหมดราก) การจัดการนี้อาจทําให้ตัวทํานายสาขาทางอ้อมเลือกรายการตัวทํานายเฉพาะสําหรับสาขาทางอ้อม และโปรแกรมเบ็ดเตล็ดการเปิดเผยที่เป้าหมายที่ทํานายจะดําเนินการแบบชั่วคราว ซึ่งอาจเป็นไปได้เนื่องจากประวัติสาขาที่เกี่ยวข้องอาจมีสาขาที่นํามาในบริบทความปลอดภัยก่อนหน้านี้ และโดยเฉพาะอย่างยิ่ง โหมดตัวคาดเดาอื่นๆ

ตามค่าเริ่มต้น การป้องกันผู้ใช้ถึงเคอร์เนลสําหรับ CVE-2017-5715 จะถูกปิดใช้งานสําหรับ CPU AMD ลูกค้าต้องเปิดใช้งานการบรรเทาเพื่อรับการป้องกันเพิ่มเติมสําหรับ CVE-2017-5715  ดูข้อมูลเพิ่มเติมได้ที่ คําถามที่ถามบ่อย #15 ใน ADV180002

ตามค่าเริ่มต้น การป้องกันผู้ใช้ถึงเคอร์เนลสําหรับ CVE-2017-5715 จะถูกปิดใช้งานสําหรับตัวประมวลผล AMD ลูกค้าต้องเปิดใช้งานการบรรเทาเพื่อรับการป้องกันเพิ่มเติมสําหรับ CVE-2017-5715  ดูข้อมูลเพิ่มเติมได้ที่ คําถามที่ถามบ่อย #15 ใน ADV180002

เมื่อต้องการเปิดใช้งานการลดปัญหาสําหรับ CVE-2022-23825 บนตัวประมวลผล AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

เพื่อให้ได้รับการปกป้องอย่างเต็มรูปแบบ ลูกค้าอาจจําเป็นต้องปิดใช้งาน Hyper-Threading (หรือที่เรียกว่า Simultaneous Multi Threading (SMT)) โปรดดู KB4073757 สําหรับคําแนะนําเกี่ยวกับการปกป้องอุปกรณ์ Windows

เมื่อต้องการเปิดใช้งานการลดปัญหาสําหรับ CVE-2023-20569 บนตัวประมวลผล AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

เมื่อต้องการเปิดใช้งานการลดสําหรับ CVE-2022-0001 บนตัวประมวลผล Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

สําหรับคําอธิบายโดยละเอียดของผลลัพธ์ของสคริปต์ PowerShell ให้ดูที่ KB4074629

เพื่อช่วยหลีกเลี่ยงปัญหาที่ส่งผลเสียต่ออุปกรณ์ของลูกค้า การอัปเดตความปลอดภัยของ Windows ที่เผยแพร่ในเดือนมกราคมและกุมภาพันธ์ 2018 จึงไม่ได้เสนอให้กับลูกค้าทุกคน สําหรับรายละเอียด ให้ดูที่ KB407269

Microcode ส่งผ่านการอัปเดตเฟิร์มแวร์ ดู OEM ของคุณเกี่ยวกับเวอร์ชันเฟิร์มแวร์ที่มีการอัปเดตที่เหมาะสมสําหรับคอมพิวเตอร์ของคุณ

มีตัวแปรหลายตัวที่มีผลต่อประสิทธิภาพตั้งแต่เวอร์ชันของระบบไปจนถึงปริมาณงานที่กําลังรันอยู่ สําหรับบางระบบ ผลการทํางานจะเล็กน้อย สําหรับคนอื่น ๆ มันจะมาก

เราขอแนะนําให้คุณประเมินผลกระทบต่อประสิทธิภาพการทํางานในระบบของคุณและทําการปรับเปลี่ยนตามความจําเป็น

นอกเหนือจากคําแนะนําที่อยู่ในบทความนี้เกี่ยวกับเครื่องเสมือน คุณควรติดต่อผู้ให้บริการของคุณเพื่อให้แน่ใจว่าโฮสต์ที่ใช้งานเครื่องเสมือนของคุณได้รับการป้องกันอย่างเพียงพอ

สําหรับ Windows Server เครื่องเสมือนที่ทํางานใน Azure ให้ดู คําแนะนําสําหรับการลดช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์ใน Azure สําหรับคําแนะนําเกี่ยวกับการใช้ Azure Update Management เพื่อลดปัญหานี้บนเครื่องเสมือน guest โปรดดูที่ KB4077467

การอัปเดตที่เผยแพร่สําหรับคอนเทนเนอร์อิมเมจของ Windows Server สําหรับ Windows Server 2016 และ Windows 10 เวอร์ชัน 1709 มีการลดช่องโหว่สําหรับชุดของช่องโหว่นี้ ไม่จําเป็นต้องกําหนดค่าเพิ่มเติม

หมาย เหตุ คุณต้องตรวจสอบให้แน่ใจว่าโฮสต์ที่คอนเทนเนอร์เหล่านี้กําลังทํางานอยู่ได้รับการกําหนดค่าให้เปิดใช้งานการบรรเทาที่เหมาะสม

ไม่ ลําดับการติดตั้งไม่สําคัญ

ใช่ คุณต้องเริ่มระบบใหม่หลังจากอัปเดตเฟิร์มแวร์ (microcode) จากนั้นอีกครั้งหลังจากการอัปเดตระบบ

ต่อไปนี้เป็นรายละเอียดสําหรับรีจิสทรีคีย์:

FeatureSettingsOverride แสดงบิตแมปที่แทนที่การตั้งค่าเริ่มต้นและตัวควบคุมที่การลดปัญหาจะถูกปิดใช้งาน Bit 0 ควบคุมการลดปัญหาที่สอดคล้องกับ CVE-2017-5715 Bit 1 ควบคุมการลดปัญหาที่สอดคล้องกับ CVE-2017-5754 บิตจะถูกตั้งค่าเป็น 0 เพื่อเปิดใช้งานการลดปัญหาและ เป็น 1 เพื่อปิดใช้งานการลดปัญหา

FeatureSettingsOverrideMask แสดงรูปแบบบิตแมปที่ใช้ร่วมกับ FeatureSettingsOverride ในสถานการณ์นี้ เราใช้ค่า 3 (แสดงเป็น 11 ในเลขฐานสองหรือระบบตัวเลขฐาน 2) เพื่อระบุสองบิตแรกที่สอดคล้องกับการลดปัญหาที่พร้อมใช้งาน รีจิสทรีคีย์นี้ตั้งค่าเป็น 3 ทั้งสองอย่างเพื่อเปิดใช้งานหรือปิดใช้งานการแก้ไข

MinVmVersionForCpuBasedMitigations มีไว้สําหรับโฮสต์ Hyper-V รีจิสทรีคีย์นี้จะกําหนดเวอร์ชัน VM ขั้นต่ําที่จําเป็นสําหรับคุณในการใช้ความสามารถของเฟิร์มแวร์ที่อัปเดต (CVE-2017-5715) ตั้งค่าเป็น 1.0 เพื่อให้ครอบคลุม VM ทุกเวอร์ชัน โปรดสังเกตว่าค่ารีจิสทรีนี้จะถูกละเว้น (อ่อนโยน) บนโฮสต์ที่ไม่ใช่ Hyper-V สําหรับรายละเอียดเพิ่มเติม โปรดดูที่ การป้องกันเครื่องเสมือนแบบ Guest จาก CVE-2017-5715 (การใส่เป้าหมายสาขา)

ใช่ จะไม่มีผลข้างเคียงหากการตั้งค่ารีจิสทรีเหล่านี้ถูกนําไปใช้ก่อนที่จะติดตั้งการแก้ไขที่เกี่ยวข้องกับเดือนมกราคม 2018

ดูคําอธิบายโดยละเอียดของผลลัพธ์สคริปต์ที่ KB4074629: ทําความเข้าใจเอาต์พุตสคริปต์ SpeculationControl PowerShell

ได้ สําหรับโฮสต์ Hyper-V Windows Server 2016 ที่ยังไม่มีการอัปเดตเฟิร์มแวร์ เราได้เผยแพร่คําแนะนําเพิ่มเติมที่สามารถช่วยบรรเทา VM เป็น VM หรือ VM เพื่อโฮสต์การโจมตี ดู การป้องกันทางเลือกสําหรับ Windows Server 2016 Hyper-V Hosts จากช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์

การอัปเดตความปลอดภัยเท่านั้นไม่ใช่การอัปเดตแบบสะสม คุณอาจต้องติดตั้งการอัปเดตความปลอดภัยหลายรายการเพื่อการป้องกันเต็มรูปแบบ ทั้งนี้ขึ้นอยู่กับเวอร์ชันของระบบปฏิบัติการของคุณ โดยทั่วไป ลูกค้าจะต้องติดตั้งการอัปเดตประจําเดือนมกราคม กุมภาพันธ์ มีนาคม และเมษายน 2018 ระบบที่มีตัวประมวลผล AMD ต้องการการอัปเดตเพิ่มเติมดังที่แสดงในตารางต่อไปนี้:

เราขอแนะนําให้คุณติดตั้งการอัปเดตความปลอดภัยเท่านั้นตามลําดับการเผยแพร่

ไม่ การอัปเดตความปลอดภัย KB4078130 เป็นการแก้ไขเฉพาะเพื่อป้องกันลักษณะการทํางานของระบบที่คาดเดาไม่ได้ ปัญหาด้านประสิทธิภาพ และการเริ่มระบบใหม่ที่ไม่คาดคิดหลังจากการติดตั้ง Microcode การใช้การอัปเดตความปลอดภัยบนระบบปฏิบัติการไคลเอ็นต์ Windows ช่วยให้สามารถบรรเทาปัญหาทั้งสามอย่างได้ บนระบบปฏิบัติการ Windows Server คุณยังคงต้องเปิดใช้งานการลดปัญหาหลังจากที่คุณทําการทดสอบที่เหมาะสม สําหรับข้อมูลเพิ่มเติม ให้ดูที่ KB4072698

ปัญหานี้แก้ไขได้ใน KB4093118

ในเดือนกุมภาพันธ์ 2018 Intel ประกาศ ว่าพวกเขาได้ทําการตรวจสอบความถูกต้องและเริ่มเผยแพร่ Microcode สําหรับแพลตฟอร์ม CPU ที่ใหม่กว่า Microsoft กําลังทําให้การอัปเดต Microcode ที่ได้รับการตรวจสอบของ Intel ซึ่งเกี่ยวข้องกับ Spectre ตัวแปรที่ 2 Spectre ตัวแปรที่ 2 (CVE-2017-5715 | การฉีดเป้าหมายสาขา)  KB4093836 แสดงรายการบทความฐานความรู้ที่เฉพาะเจาะจงตามเวอร์ชันของ Windows แต่ละบทความ KB มีการอัปเดต Microcode ของ Intel ที่พร้อมใช้งานตาม CPU

เมื่อวันที่ 11 มกราคม 2018 Intel ได้รายงานปัญหา ใน Microcode ที่เผยแพร่ล่าสุดซึ่งหมายถึง Spectre ตัวแปรที่ 2 (CVE-2017-5715 | การฉีดเป้าหมายสาขา) โดยเฉพาะอย่างยิ่ง Intel สังเกตว่า Microcode นี้อาจทําให้เกิด "การเริ่มต้นระบบใหม่ที่สูงกว่าที่คาดไว้และลักษณะการทํางานของระบบที่คาดเดาไม่ได้อื่นๆ" และสถานการณ์เหล่านี้อาจทําให้เกิด "ข้อมูลสูญหายหรือเสียหาย" ประสบการณ์ของเราคือความไม่เสถียรของระบบอาจทําให้เกิดการสูญเสียข้อมูลหรือความเสียหายในบางสถานการณ์ ในวันที่ 22 มกราคม Intel แนะนําให้ลูกค้า หยุดการปรับใช้ Microcode เวอร์ชันปัจจุบัน ในตัวประมวลผลที่ได้รับผลกระทบ ในขณะที่ Intel ทําการทดสอบเพิ่มเติมเกี่ยวกับโซลูชันที่อัปเดตแล้ว เราเข้าใจว่า Intel ยังคงตรวจสอบผลกระทบที่อาจเกิดขึ้นของ Microcode เวอร์ชันปัจจุบัน เราขอแนะนําให้ลูกค้าทบทวนคําแนะนําของพวกเขาอย่างต่อเนื่องเพื่อแจ้งการตัดสินใจของพวกเขา

ในขณะที่ Intel ทําการทดสอบ อัปเดต และปรับใช้ Microcode ใหม่ เรากําลังทําให้การอัปเดต (OOB) (OOB) พร้อมใช้งาน KB4078130 ซึ่งจะปิดใช้งานเฉพาะการลดปัญหาจาก CVE-2017-5715 เท่านั้น ในการทดสอบของเรา พบการอัปเดตนี้เพื่อป้องกันลักษณะการทํางานที่อธิบายไว้ สําหรับรายการอุปกรณ์ทั้งหมด ดู ที่ คําแนะนําการแก้ไข microcode จาก Intel การอัปเดตนี้ครอบคลุม Windows 7 Service Pack 1 (SP1), Windows 8.1 และ Windows 10 ทุกเวอร์ชัน ทั้งไคลเอ็นต์และเซิร์ฟเวอร์ หากคุณกําลังใช้งานอุปกรณ์ที่ได้รับผลกระทบ คุณสามารถนําการอัปเดตนี้ไปใช้ได้โดยการดาวน์โหลดจากเว็บไซต์ Microsoft Update Catalog แอปพลิเคชันของส่วนข้อมูลนี้จะปิดใช้งานเฉพาะการลดปัญหาจาก CVE-2017-5715 เท่านั้น

ณ เวลานี้ ไม่มีรายงานที่ทราบแล้วที่ระบุว่า Spectre ตัวแปรที่ 2 นี้ (CVE-2017-5715 | ใช้การฉีดเป้าหมายสาขา) เพื่อโจมตีลูกค้า เราขอแนะนําให้ผู้ใช้ Windows เปิดใช้งานการลดปัญหาจาก CVE-2017-5715 อีกครั้งเมื่อ Intel รายงานว่าลักษณะการทํางานของระบบที่คาดเดาไม่ได้นี้ได้รับการแก้ไขสําหรับอุปกรณ์ของคุณแล้ว

ในเดือนกุมภาพันธ์ 2018 Intel ประกาศ ว่าพวกเขาได้ทําการตรวจสอบความถูกต้องและเริ่มเผยแพร่ Microcode สําหรับแพลตฟอร์ม CPU ที่ใหม่กว่า Microsoft กําลังทําการอัปเดต Microcode ที่ได้รับการตรวจสอบโดย Intel ซึ่งเกี่ยวข้องกับ Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Microsoft การฉีดเป้าหมายสาขา) KB4093836 แสดงรายการบทความฐานความรู้ที่เฉพาะเจาะจงตามเวอร์ชันของ Windows รายการ KB มีการอัปเดต Microcode ของ Intel ตาม CPU

สําหรับข้อมูลเพิ่มเติม ให้ดู Updates ความปลอดภัยของ AMD และเอกสารขาวของ AMD: คําแนะนําด้านสถาปัตยกรรมเกี่ยวกับ Indirect Branch Control ตัวเลือกเหล่านี้จะพร้อมใช้งานจากช่องสัญญาณเฟิร์มแวร์ OEM

เรากําลังทําการอัปเดต Microcode ที่ได้รับการตรวจสอบโดย Intel ที่เกี่ยวกับ Spectre ตัวแปรที่ 2 (CVE-2017-5715 | การฉีดเป้าหมายสาขา) เมื่อต้องการรับการอัปเดต Microcode ของ Intel ผ่าน Windows Update ลูกค้าต้องติดตั้ง Microcode ของ Intel บนอุปกรณ์ที่ใช้ระบบปฏิบัติการ Windows 10 ก่อนที่จะอัปเกรดเป็นการปรับปรุง Windows 10 เดือนเมษายน 2561 (เวอร์ชัน 1803)

การอัปเดต Microcode จะพร้อมใช้งานโดยตรงจาก Microsoft Update Catalog หากไม่ได้ติดตั้งบนอุปกรณ์ก่อนที่จะอัปเกรดระบบ Microcode ของ Intel สามารถใช้งานได้ผ่าน Windows Update Windows Server Update Services (WSUS) หรือ Microsoft Update Catalog สําหรับข้อมูลเพิ่มเติมและคําแนะนําในการดาวน์โหลด โปรดดูที่ KB4100347

สำหรับข้อมูลเพิ่มเติม ให้ดูที่หัวข้อต่อไปนี้

• ADV180012 | คําแนะนําจาก Microsoft สําหรับการเลี่ยงผ่านสโตร์แบบคาดการณ์ สําหรับ CVE-2018-3639
• ADV180013 | Microsoft Guidance for Rogue System Register Read for CVE-2018-3640 and KB 4073065 | คําแนะนําสําหรับลูกค้า Surface
• บล็อก Microsoft Security Research and Defense
• คําแนะนําสําหรับนักพัฒนาสําหรับ Speculative Store Bypass

ดูส่วน "การดําเนินการที่แนะนํา" และ "คําถามที่ถามบ่อย" ของ ADV180012 | คําแนะนําของ Microsoft สําหรับการเลี่ยงผ่าน Store แบบคาดการณ์

เพื่อตรวจสอบสถานะของ SSBD สคริปต์ Get-SpeculationControlSettings PowerShell ได้รับการอัปเดตเพื่อตรวจหาตัวประมวลผลที่ได้รับผลกระทบ สถานะของการอัปเดตระบบปฏิบัติการ SSBD และสถานะของ Microcode ตัวประมวลผล ถ้ามี สําหรับข้อมูลเพิ่มเติมและรับสคริปต์ PowerShell โปรดดูที่ KB4074629

ในวันที่ 13 มิถุนายน 2018 ช่องโหว่เพิ่มเติมที่เกี่ยวข้องกับการดําเนินการแบบคาดการณ์ของช่องทางด้านข้าง ที่เรียกว่าการคืนค่าสถานะ Lazy FP ได้รับการประกาศและกําหนด CVE-2018-3665 สําหรับข้อมูลเกี่ยวกับช่องโหว่นี้และการดําเนินการที่แนะนํา โปรดดู ADV180016 คําแนะนําด้านความปลอดภัย | คําแนะนําของ Microsoft สําหรับการคืนค่าสถานะ Lazy FP

หมาย เหตุ ไม่มีการตั้งค่าการกําหนดค่า (รีจิสทรี) ที่จําเป็นสําหรับการคืนค่า FP แบบ Lazy

Bounds Check Bypass Store (BCBS) ถูกเปิดเผยเมื่อวันที่ 10 กรกฎาคม 2018 และกําหนด CVE-2018-3693 เราพิจารณาว่า BCBS อยู่ในระดับช่องโหว่เดียวกันกับช่องโหว่ขอบเขต ตรวจสอบบายพาส (ตัวแปรที่ 1) ขณะนี้เรายังไม่ทราบถึงอินสแตนซ์ของ BCBS ในซอฟต์แวร์ของเรา อย่างไรก็ตาม เรายังคงค้นคว้าระดับช่องโหว่นี้อย่างต่อเนื่อง และจะทํางานร่วมกับคู่ค้าในอุตสาหกรรมเพื่อเผยแพร่การแก้ไขปัญหาตามที่ต้องการ เราสนับสนุนให้นักวิจัยส่งผลการค้นหาที่เกี่ยวข้องไปยัง โปรแกรม Microsoft Speculative Execution Side Bounty Channel รวมถึงอินสแตนซ์ที่ใช้ประโยชน์ได้ของ BCBS นักพัฒนาซอฟต์แวร์ควรตรวจสอบคําแนะนําสําหรับนักพัฒนาที่ได้รับการอัปเดตสําหรับ BCBS ที่ C++ คําแนะนําสําหรับนักพัฒนาสําหรับช่องทางที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์

ในวันที่ 14 สิงหาคม 2018 มีการประกาศและกําหนด L1 Terminal Fault (L1TF) หลายรายการ ช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์ใหม่เหล่านี้สามารถใช้เพื่ออ่านเนื้อหาของหน่วยความจําในขอบเขตที่เชื่อถือได้ และหากถูกนําไปใช้อาจทําให้เกิดการเปิดเผยข้อมูลได้ มีเวกเตอร์หลายรายการที่ผู้โจมตีอาจทริกเกอร์ช่องโหว่ ขึ้นอยู่กับสภาพแวดล้อมที่กําหนดค่าไว้ L1TF มีผลต่อตัวประมวลผล Intel® Core® และตัวประมวลผล Intel® Xeon®

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่นี้และมุมมองโดยละเอียดของสถานการณ์ที่ได้รับผลกระทบ รวมถึงแนวทางของ Microsoft ในการลด L1TF ให้ดูแหล่งข้อมูลต่อไปนี้:

• ADV180018 | คําแนะนําของ Microsoft เพื่อลดตัวเลือก L1TF
• บล็อกการวิจัยด้านความปลอดภัยของคําแนะนําด้านความปลอดภัย
• คําแนะนําสําหรับเซิร์ฟเวอร์สําหรับ L1 Terminal Fault

ขั้นตอนในการปิดใช้งาน Hyper-Threading แตกต่างจาก OEM เป็น OEM แต่โดยทั่วไปแล้วเป็นส่วนหนึ่งของ BIOS หรือการตั้งค่าเฟิร์มแวร์และเครื่องมือการกําหนดค่า

ลูกค้าที่ใช้ตัวประมวลผล ARM รุ่น 64 บิตควรติดต่อ OEM ของอุปกรณ์เพื่อรับการสนับสนุนเฟิร์มแวร์เนื่องจากการป้องกันระบบปฏิบัติการ ARM64 ที่ลด CVE-2017-5715 | การใส่เป้าหมายสาขา (Spectre, Variant 2) ต้องการการอัปเดตเฟิร์มแวร์ล่าสุดจาก OEM ของอุปกรณ์เพื่อให้มีผล

สําหรับข้อมูลเพิ่มเติม โปรดดูคําแนะนําด้านความปลอดภัยต่อไปนี้

• คําแนะนําด้านความปลอดภัยของ Intel
• ADV190013 | คําแนะนําของ Microsoft ในการลดช่องโหว่การสุ่มตัวอย่างข้อมูลสถาปัตยกรรมไมโคร

สามารถดูคําแนะนําเพิ่มเติมได้ใน คําแนะนําของ Windows เพื่อป้องกันช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์

โปรดดูคําแนะนําในคําแนะนําของ Windows เพื่อป้องกันช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์

สําหรับคําแนะนํา Azure โปรดดูบทความนี้: คําแนะนําสําหรับการลดช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์ใน Azure

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับการเปิดใช้งาน Retpoline โปรดดูบล็อกโพสต์ของเรา: การลด Spectre ตัวแปรที่ 2 ด้วย Retpoline บน Windows

สําหรับรายละเอียดเกี่ยวกับช่องโหว่นี้ ดูคู่มือความปลอดภัยของ Microsoft: CVE-2019-1125 | ช่องโหว่การเปิดเผยข้อมูลเคอร์เนลของ Windows

เราไม่ทราบถึงอินสแตนซ์ของช่องโหว่การเปิดเผยข้อมูลนี้ที่ส่งผลกระทบต่อโครงสร้างพื้นฐานบริการระบบคลาวด์ของเรา

ทันทีที่เราตระหนักถึงปัญหานี้ เราทํางานอย่างรวดเร็วเพื่อแก้ไขปัญหาและเผยแพร่การอัปเดต เราเชื่อเป็นอย่างยิ่งในการเป็นหุ้นส่วนที่ใกล้ชิดกับทั้งนักวิจัยและคู่ค้าในอุตสาหกรรมเพื่อทําให้ลูกค้าปลอดภัยมากขึ้นและไม่ได้เผยแพร่รายละเอียดจนถึงวันอังคารที่ 6 สิงหาคมสอดคล้องกับแนวทางการเปิดเผยช่องโหว่ที่ประสานงาน

สามารถดูคําแนะนําเพิ่มเติมได้ในคําแนะนําของ Windows เพื่อป้องกันช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์

สามารถดูคําแนะนําเพิ่มเติมได้ในคําแนะนําของ Windows เพื่อป้องกันช่องโหว่ที่อาศัยผลข้างเคียงจากการดําเนินการแบบคาดการณ์

สามารถดูคําแนะนําเพิ่มเติมได้ใน คําแนะนําสําหรับการปิดใช้งานความสามารถ Intel Transactional Synchronization Extensions (Intel TSX)

ผลิตภัณฑ์ของบริษัทอื่นที่บทความนี้กล่าวถึงผลิตขึ้นโดยบริษัทที่ไม่ได้ขึ้นอยู่กับ Microsoft เราไม่รับประกันทั้งโดยนัยหรือโดยลักษณะอื่นเกี่ยวกับประสิทธิภาพหรือความน่าเชื่อถือของผลิตภัณฑ์ดังกล่าว

เราให้ข้อมูลติดต่อของบริษัทภายนอกเพื่อช่วยให้คุณค้นหาการสนับสนุนทางเทคนิค ข้อมูลที่ติดต่อนี้อาจเปลี่ยนแปลงได้โดยไม่ต้องแจ้งให้ทราบล่วงหน้า เราไม่รับประกันความถูกต้องของข้อมูลที่ติดต่อของบริษัทภายนอกนี้