KB4072698: Windows Server та Azure Керівництвом Stack HCI щодо захисту від мікроархітектури на основі кремнію та вразливостей стороннього каналу спекулятивного виконання

У цій статті розглядаються такі вразливості спекулятивного виконання:

• CVE-2017-5715 | Цільова ін'єкція гілки
• CVE-2017-5753 | Bounds Check Bypass
• CVE-2017-5754 | Завантаження кешу шахрайських даних
• CVE-2018-3639 | Спекулятивний обхід магазину

Windows UpdateWindows Update також забезпечить засоби послаблення ризиків для Internet Explorer і Edge. Ми й надалі вдосконалюватимемо ці засоби послаблення ризиків цього класу.

Докладні відомості про цей клас вразливостей див. в розділі

• ADV180002 | Рекомендації щодо мінімізації ризиків від вразливостей стороннього каналу спекулятивного виконання
• ADV180012 | Рекомендації корпорації Майкрософт щодо спекулятивного обходу магазинів

14 травня 2019 р. компанія Intel опублікувала інформацію про новий підклас вразливостей стороннього каналу спекулятивного виконання, відому як Microarchitectural Data Sampling і задокументовану в ADV190013 | Мікроархітектурна вибірка даних. Їм призначено такі CVE:

• CVE-2019-11091 | Мікроархітектурна вибірка даних Некешована пам'ять (MDSUM)
• CVE-2018-12126 | Вибірка буферних даних сховища мікроархітектури (MSBDS)
• CVE-2018-12127 | Мікроархітектурна вибірка даних буфера заповнення (MFBDS)
• CVE-2018-12130 | Мікроархітектурна вибірка даних порту навантаження (MLPDS)

Корпорація Майкрософт випустила оновлення, яке допоможе мінімізувати ризик цих вразливостей. Для максимального захисту потрібні оновлення мікропрограми (мікрокоманд) і програмного забезпечення. Це може включати мікрокоманди від виробників обладнання. У деяких випадках інсталяція цих оновлень впливає на продуктивність. Ми також вжили заходів, щоб захистити наші хмарні служби. Наполегливо рекомендуємо розгорнути ці оновлення.

Докладні відомості про цю проблему див. в таких порадах із безпеки та використовуйте рекомендації на основі сценаріїв, щоб визначити дії, необхідні для зменшення загрози:

• ADV190013 | Рекомендації корпорації Майкрософт щодо мінімізації ризиків від вразливостей вибірки мікроархітектурних даних
• Рекомендації Windows щодо захисту від вразливостей стороннього каналу спекулятивного виконання

6 серпня 2019 року компанія Intel оприлюднила подробиці про вразливість розкриття інформації ядра Windows. Ця вразливість – варіант вразливості стороннього каналу спекулятивного виконання Spectre, варіант 1. Їй призначено CVE-2019-1125.

9 липня 2019 року ми випустили оновлення системи безпеки для операційної системи Windows, які допомагають пом'якшити наслідки цієї проблеми. Будь ласка, зверніть увагу, що ми утрималися від публічного документування цього пом'якшення до скоординованого розкриття інформації галузі у вівторок, 6 серпня 2019 року.

Користувачі, які Windows Update активували та застосували оновлення системи безпеки, випущені 9 липня 2019 р., захищені автоматично. Подальша конфігурація не потрібна.

Докладні відомості про цю вразливість і відповідні оновлення див. в Посібнику з оновлень системи безпеки Microsoft:

• CVE-2019-1125 | Уразливість розкриття інформації в ядрі Windows

12 листопада 2019 р. компанія Intel опублікувала технічне консультування щодо® асинхронної аривації транзакцій Intel TSX, якій присвоєно CVE-2019-11135. Корпорація Майкрософт випустила оновлення, які допомагають мінімізувати ризики цієї вразливості. Захист ОС увімкнуто за замовчуванням для Windows Server 2019, але вимкнено для Windows Server 2016 і попередніх випусків ОС Windows Server.

14 червня 2022 року ми опублікували ADV220002 | Рекомендації корпорації Майкрософт щодо вразливостей застарілих даних процесора Intel MMIO та призначено такі CVE:

• CVE-2022-21123 | Читання спільних буферних даних (SBDR)
• CVE-2022-21125 | Shared Buffer Data Sampling (SBDS)
• CVE-2022-21127 | Оновлення вибірки спеціальних буферних даних реєстру (оновлення SRBDS)
• CVE-2022-21166 | Часткове записування в регістр пристрою (DRPW)

Рекомендовані дії

Щоб захиститися від уразливостей, потрібно виконати наведені нижче дії.

1. Застосуйте всі доступні оновлення операційної системи Windows, зокрема щомісячні оновлення системи безпеки Windows.
2. Застосуйте відповідне оновлення мікропрограми (мікрокоманд), надане виробником пристрою.
3. Оцінюйте ризик для свого середовища на основі інформації, наведеної в рекомендаціях корпорації Майкрософт щодо безпеки: ADV180002, ADV180012, ADV190013 та ADV220002, а також на основі інформації, наведеної в цій статті база знань.
4. Уживайте необхідних заходів, користуючись рекомендаціями та відомостями про розділи реєстру, наведеними в цій статті база знань.

12 липня 2022 р. ми опублікували CVE-2022-23825 | Плутаність типу розгалуження ЦП AMD , яка описує, що псевдоніми в предикторі гілок можуть призвести до того, що певні процесори AMD передбачатимуть неправильний тип гілки. Ця проблема потенційно може призвести до розкриття інформації.

Щоб захиститися від цієї вразливості, радимо інсталювати оновлення Windows, датовані липнем 2022 р. або пізніше, а потім вживати заходів відповідно до вимог CVE-2022-23825 і відомостей про розділи реєстру, наведених у цій база знань статті.

Додаткові відомості див. у бюлетені безпеки AMD-SB-1037 .

8 серпня 2023 р. ми опублікували CVE-2023-20569 | Предиктор зворотної адреси (також відомий як Inception), який описує нову спекулятивну атаку на сторонньому каналі, яка може призвести до спекулятивного виконання за адресою, контрольованою зловмисником. Ця проблема впливає на певні процесори AMD й потенційно може призвести до розголошення інформації.

Щоб захиститися від цієї вразливості, радимо інсталювати оновлення Windows, датовані серпнем 2023 р. або пізніше, а потім виконати необхідні дії відповідно до вимог CVE-2023-20569 та відомостей розділу реєстру, наведених у цій база знань статті.

Додаткові відомості див. у бюлетені безпеки AMD-SB-7005 .

9 квітня 2024 р. ми опублікували CVE-2022-0001 | Intel Branch History Injection , яка описує Branch History Injection (BHI), яка є специфічною формою інтрамодового BTI. Ця вразливість виникає, коли зловмисник може маніпулювати історією гілок перед переходом з режиму користувача в режим супервізора (або з режиму VMX non-root/guest в режим root). Ця маніпуляція може призвести до того, що предиктор непрямої гілки вибере конкретний вхід предиктора для непрямої гілки, і гаджет розкриття інформації на передбаченій цілі тимчасово виконає. Це може бути можливим завдяки тому, що відповідна історія гілок може містити гілки, взяті в попередніх контекстах безпеки, і, зокрема, інші режими прогнозування.

За замовчуванням захист користувача в ядрі для CVE-2017-5715 вимкнуто для ЦП AMD. Клієнти повинні ввімкнути засіб послаблення ризиків, щоб отримати додатковий захист для CVE-2017-5715.  Для отримання додаткової інформації дивіться FAQ #15 в ADV180002.

За замовчуванням захист користувача та ядра для CVE-2017-5715 вимкнуто для процесорів AMD. Клієнти повинні ввімкнути засіб послаблення ризиків, щоб отримати додатковий захист для CVE-2017-5715.  Для отримання додаткової інформації дивіться FAQ #15 у ADV180002.

Щоб активувати засіб захисту від CVE-2022-23825 на процесорах AMD, виконайте наведені нижче дії.

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Щоб забезпечити повний захист, користувачам може знадобитися вимкнути функцію Hyper-Threading (також відому як синхронна багатопоточність (SMT)). Інструкції із захисту пристроїв Windows див. в KB4073757 .

Щоб активувати засіб захисту від CVE-2023-20569 на процесорах AMD, виконайте наведені нижче дії.

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Щоб активувати захист від CVE-2022-0001 на процесорах Intel, виконайте наведені нижче дії.

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Докладні пояснення кінцевих результатів сценарію PowerShell див. в статті KB4074629

Щоб уникнути негативного впливу на пристрої користувачів, оновлення системи безпеки Windows, які були випущені в січні та лютому 2018 р., пропонувалися не всім користувачам. Детальніше дивіться в розділі KB407269 .

Мікрокоманда надходить через оновлення мікропрограми. Зверніться до виробника оригінального обладнання з відомостями про версію мікропрограми, для якої інстальовано відповідне оновлення для комп'ютера.

На продуктивність впливає безліч змінних, починаючи від версії системи і закінчуючи запущеним навантаженням. Для деяких систем ефект від швидкодії буде незначним. Для інших він буде чималим.

Радимо оцінити вплив на продуктивність ваших систем і за необхідності внести корективи.

На додачу до вказівок щодо віртуальних машин, наведених у цій статті, зверніться до постачальника послуг, щоб переконатися, що хости, на яких запущено ваші віртуальні машини, належним чином захищені.

Для Windows Server віртуальних машин, що працюють у Azure, перегляньте Рекомендації щодо мінімізації ризиків від вразливостей стороннього каналу спекулятивного виконання в Azure . Інструкції з використання Azure Update Management для пом'якшення цієї проблеми на гостьових віртуальних машинах див. в KB4077467.

Оновлення, випущені для образів контейнерів Windows Server для Windows Server 2016 і Windows 10 версії 1709, включають засоби послаблення ризику для цього набору вразливостей. Додаткові налаштування не потрібні.

Примітка Але потрібно переконатися, що хост, на якому запущено ці контейнери, налаштовано на ввімкнення відповідних заходів послаблення ризиків.

Ні, порядок встановлення не має значення.

Так, необхідно перезавантажити пристрій після оновлення мікропрограми (мікрокоманди), а потім ще раз після оновлення системи.

Нижче наведено відомості про розділи реєстру.

FeatureSettingsOverride являє собою точковий рисунок, який перевизначає стандартний параметр і керує тим, які заходи послаблення ризику буде вимкнуто. Біт 0 керує захистом від ризику, що відповідає CVE-2017-5715. Біт 1 керує захистом від ризику, який відповідає CVE-2017-5754. Для бітів встановлюється значення 0 , щоб увімкнути послаблення ризику, і значення 1 , щоб вимкнути його.

FeatureSettingsOverrideMask – це маска точкового рисунка, яка використовується разом із функцією FeatureSettingsOverride. У цій ситуації ми використовуємо значення 3 (представлене як 11 у двійковій системі числення або системі числення з основою 2) для позначення перших двох бітів, які відповідають наявним пом'якшенням. Для цього розділу реєстру встановлено значення 3 для увімкнення та вимкнення засобів послаблення ризиків.

MinVmVersionForCpuBasedMitigations призначено для вузлів Hyper-V. Цей розділ реєстру визначає мінімальну версію віртуальної машини, яка потрібна для використання оновлених можливостей мікропрограми (CVE-2017-5715). Установіть значення 1.0 , щоб охопити всі версії віртуальних машин. Зверніть увагу, що це значення реєстру ігноруватиметься (доброякісне) на хостах інших типів, відмінних від Hyper-V. Докладніші відомості див. в розділі "Захист гостьових віртуальних машин від CVE-2017-5715 (ін'єкції цільової гілки)".

Так, якщо ці параметри реєстру застосувати до інсталяції виправлень, пов'язаних із січнем 2018 р., побічних ефектів немає.

Докладний опис виводу сценарію див. в статті KB4074629: Докладні відомості про вивід сценарію PowerShell від SpeculationControl .

Так, для вузлів Hyper-V Windows Server 2016, для яких ще не доступне оновлення мікропрограми, ми опублікували альтернативні рекомендації, які можуть допомогти мінімізувати атаки з віртуальної машини на віртуальну машину або віртуальну машину. Див. статтю Альтернативний захист для вузлів Hyper-V Windows Server 2016 від вразливостей стороннього каналу спекулятивного виконання.

Оновлення, що стосуються лише системи безпеки, не є сукупними. Залежно від версії операційної системи, для забезпечення повного захисту вам може знадобитися інсталювати кілька оновлень системи безпеки. Загалом користувачам потрібно інсталювати оновлення за січень, лютий, березень і квітень 2018 р. Системи з процесорами AMD потребують додаткового оновлення, як показано в таблиці нижче.

Радимо інсталювати оновлення лише системи безпеки в порядку їх випуску.

Ні. Оновлення системи безпеки KB4078130 – це спеціальне виправлення, яке запобігає непередбачуваній роботі системи, проблемам із продуктивністю та несподіваним перезавантаженням після інсталяції мікрокоманд. Застосування оновлень системи безпеки в клієнтських операційних системах Windows дає змогу зменшити ризики для всіх трьох компонентів. У Windows Server операційних системах вам все одно доведеться ввімкнути засоби послаблення ризиків після належного тестування. Додаткові відомості див. в KB4072698.

Цю проблему вирішено в KB4093118.

У лютому 2018 року Intel оголосила , що завершила перевірки та почала випуск мікрокоманд для нових платформ ЦП. Корпорація Майкрософт випускає підтверджені Intel оновлення мікрокоманд, які стосуються Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Цільова ін'єкція гілки).  KB4093836 список конкретних статей база знань за версіями Windows. Кожна окрема стаття бази знань містить доступні оновлення мікрокоманд Intel за типом ЦП.

11 січня 2018 р. компанія Intel повідомила про проблеми з нещодавно випущеною мікрокомандою, призначеною для вирішення проблеми зі Spectre, варіант 2 (CVE-2017-5715 | Цільова ін'єкція гілки). Зокрема, Intel зазначила, що цей мікрокод може спричинити "вищі, ніж очікувалося, перезавантаження та іншу непередбачувану поведінку системи", і що ці сценарії можуть спричинити "втрату або пошкодження даних". На нашому досвіді ми показує, що за певних обставин нестабільність системи може призвести до втрати або пошкодження даних. 22 січня компанія Intel рекомендувала клієнтам не розгортати поточну версію мікрокоманд на процесорах, яких це стосується, поки Intel проводить додаткове тестування оновленого рішення. Ми розуміємо, що компанія Intel продовжує вивчати потенційний вплив поточної версії мікрокоманд. Радимо клієнтам регулярно переглядати цей посібник, у якому він орієнтований на рішення.

Поки компанія Intel тестує, оновлює й розгортає нову мікропрограму, ми представляємо позапланове оновлення (OOB) KB4078130, яке спеціально вимикає лише засіб захисту від CVE-2017-5715. Під час тестування було встановлено, що це оновлення запобігає описаній поведінці. Повний список пристроїв наведено в посібниках із редакціями мікрокоманд від компанії Intel. Це оновлення охоплює Windows 7 із пакетом оновлень 1 (SP1), Windows 8Windows 8.1 і всі версії Windows 10Windows 10, як клієнтські, так і серверні. Якщо використовується пристрій, якого це стосується, застосуйте це оновлення, завантаживши його з веб-сайту каталогу Microsoft Update. Застосування цього вмісту пакета спеціально вимикає лише засіб захисту від CVE-2017-5715.

Станом на цей час відсутні звіти, які б вказували на те, що цей Spectre Variant 2 (CVE-2017-5715 | Branch Target Injection) використовувався для атаки на клієнтів. Ми рекомендуємо, за необхідності, користувачам Windows повторно ввімкнути засіб захисту від CVE-2017-5715, коли компанія Intel повідомить, що цю непередбачувану поведінку системи вирішено для вашого пристрою.

У лютому 2018 року Intel оголосила , що завершила перевірки та почала випуск мікрокоманд для нових платформ ЦП. Корпорація Майкрософт випускає перевірені Intel оновлення мікрокоманд, пов'язані зі Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 | Цільова ін'єкція гілки). KB4093836 список конкретних статей база знань за версіями Windows. Доступні оновлення мікрокоманд Intel за типом ЦП у списку KB.

Додаткові відомості див. в розділі AMD Security Оновлення та AMD Whitepaper: Architecture Guidelines around Indirect Branch Control . Вони доступні через канал мікропрограми від виробника оригінального обладнання.

Ми надаємо підтверджені Intel оновлення мікрокоманд, які стосуються Spectre Variant 2 (CVE-2017-5715 | Цільова ін'єкція гілки). Щоб отримувати останні оновлення мікрокоманд через Windows Update, клієнти повинні мати інстальовані мікрокоманди Intel на пристроях під керуванням операційної системи Windows 10 до установлення оновлення Windows 10 за квітень 2018 р. (версія 1803).

Оновлення мікрокоманд також доступне безпосередньо з Каталогу Microsoft Update, якщо їх не було інстальовано на пристрої перед оновленням системи. Мікрокоманди Intel доступні через Windows Update, служби Windows Server Update Services (WSUS) або Каталог Microsoft Update. Докладні відомості та завантаження інструкцій див. в KB4100347.

Додаткові відомості див. в таких статтях:

• ADV180012 | Рекомендації корпорації Майкрософт щодо обходу спекулятивного магазину для CVE-2018-3639
• ADV180013 | Рекомендації корпорації Майкрософт щодо реєстрації шахрайської системи Читайте CVE-2018-3640 і KB 4073065 | Рекомендації для користувачів Surface
• Блоґ, присвячений дослідженням і обороні в галузі безпеки корпорації Майкрософт
• Посібник для розробників щодо спекулятивного обходу магазинів

Дивіться розділи "Рекомендовані дії" та "Запитання й відповіді" на ADV180012 | Рекомендації корпорації Майкрософт щодо спекулятивного обходу магазину.

Щоб перевірити стан SSBD, оновлено сценарій PowerShell Get-SpeculationControlSettings для виявлення уражених процесорів, стану оновлень операційної системи SSBD і стану мікрокоманд процесора, якщо є. Докладні відомості та отримання сценарію PowerShell див. в KB4074629.

13 червня 2018 року було оголошено про додаткову вразливість, пов'язану з спекулятивним виконанням стороннього каналу, відому як Lazy FP State Restore, якій присвоєно CVE-2018-3665 . Відомості про цю вразливість та рекомендовані дії див. в розділі Security Advisory ADV180016 | Рекомендації Microsoft щодо відновлення стану лінивого FP .

Примітка Немає обов'язкових параметрів конфігурації (реєстру) для Lazy Restore FP Restore.

10 липня 2018 року було оприлюднено Bounds Check Bypass Store (BCBS) і призначено CVE-2018-3693. Ми вважаємо, що BCBS належить до того ж класу вразливостей, що і Bounds Check Bypass (варіант 1). Наразі нам не відомо про випадки використання BCBS у нашому програмному забезпеченні. Однак ми продовжуємо вивчати цей клас вразливостей і будемо працювати з галузевими партнерами, щоб за потреби випускати заходи щодо послаблення ризиків. Ми радимо дослідникам надсилати будь-які відповідні висновки до програми винагород за виїзд на сторонньому каналі спекулятивного виконання корпорації Майкрософт, включно з будь-якими прикладами BCBS, які можна використовувати. Розробникам програмного забезпечення слід переглянути посібник для розробників, оновлений для BCBS на сайті C++ Developer Guidance for Speculative Execution Side Channels

14 серпня 2018 року було оголошено про L1 Terminal Fault (L1TF) і присвоєно кілька CVE. Ці нові вразливості стороннього каналу спекулятивного виконання можуть бути використані для зчитування вмісту пам'яті через довірений кордон і, якщо їх використати, це може призвести до розкриття інформації. Існує кілька векторів, за допомогою яких зловмисник може спровокувати вразливості, залежно від налаштованого середовища. L1TF впливає на процесори Intel® Core® і процесори Intel® Xeon®.

Докладні відомості про цю вразливість і детальний опис відповідних сценаріїв, зокрема підходу корпорації Майкрософт до пом'якшення наслідків L1TF, див. в таких ресурсах:

• ADV180018 | Рекомендації Microsoft щодо пом'якшення наслідків штаму L1TF
• Security Advisory Security Research Blog
• Вказівки для сервера щодо несправності термінала L1

Дії з вимкнення Hyper-Threading відрізняються від виробника оригінального обладнання, але зазвичай вони входять до складу засобів настроювання та конфігурації мікропрограми BIOS або мікропрограми.

Клієнтам, які використовують 64-розрядні процесори ARM, слід звернутися до виробника оригінального обладнання для отримання підтримки мікропрограми, оскільки захист операційної системи ARM64 зменшує ризик CVE-2017-5715 | Для ін'єкції цільової гілки (Spectre, варіант 2) потрібне останнє оновлення мікропрограми від виробників пристрою.

Докладні відомості див. в таких рекомендаціях щодо безпеки

• Поради з питань безпеки компанії Intel
• ADV190013 | Рекомендації корпорації Майкрософт щодо мінімізації ризиків від вразливостей вибірки мікроархітектурних даних

Додаткові вказівки можна знайти в керівництві для Windows щодо захисту від вразливостей стороннього каналу спекулятивного виконання

Зверніться до вказівок у керівництві для Windows щодо захисту від вразливостей стороннього каналу спекулятивного виконання

Вказівки щодо Azure див. в цій статті: Рекомендації щодо мінімізації ризиків від вразливостей стороннього каналу спекулятивного виконання в Azure.

Для отримання додаткових відомостей про ввімкнення Retpoline див. нашу публікацію в блозі: Мінімізація ризиків для Spectre, варіант 2 за допомогою Retpoline у Windows .

Докладні відомості про цю вразливість див. в посібнику з безпеки Microsoft: CVE-2019-1125 | Уразливість розкриття інформації ядра Windows.

Нам не відомо про будь-який випадок уразливості цього розголошення інформації, який би впливав на інфраструктуру наших хмарних служб.

Дізнавшись про цю проблему, ми швидко відреагували та випустили оновлення. Ми твердо віримо в тісні партнерські відносини як з дослідниками, так і з галузевими партнерами, щоб зробити клієнтів більш захищеними, і не публікували подробиці до вівторка, 6 серпня, відповідно до скоординованої практики розкриття вразливостей.

Додаткові вказівки можна знайти в керівництві для Windows щодо захисту від вразливостей стороннього каналу спекулятивного виконання.

Додаткові вказівки можна знайти в керівництві для Windows щодо захисту від вразливостей стороннього каналу спекулятивного виконання.

Додаткові вказівки можна знайти в Керівництві з вимкнення можливостей розширень транзакційної синхронізації Intel (Intel TSX).

Продукти сторонніх виробників, згадані в цій статті, виготовлено незалежними від корпорації Майкрософт компаніями. Ми не надаємо жодних гарантій (непрямих та інших) щодо продуктивності або надійності цих продуктів.

Ми надаємо контактну інформацію сторонніх виробників, щоб допомогти вам отримати технічну підтримку. Ці відомості можуть змінюватися без попередження. Ми не гарантуємо точність наданої контактної інформації сторонніх виробників.