KB4073225 – керівництво SQL Server, щоб захиститися від невідповідних, криза та мікро-архітектурних даних, які мають вразливості вибірки.

Загальні відомості

Корпорація Майкрософт знає про новий загальнодоступний клас вразливостей, який називають "спекулятивним побічним каналом", що впливає на багато сучасних процесорів і операційних систем. Це включає в себе Intel, AMD та ARM. Примітка. Ця проблема також впливає на інші системи, як-от Android, хром, iOS і MacOS. Тому ми радимо клієнтам звернутися до керівництва від цих постачальників.

Корпорація Майкрософт випустила кілька оновлень, які допоможуть пом'якшити ці вразливості. Ми також прийняли заходи, щоб убезпечити наші хмарні служби. Щоб отримати докладніші відомості, перегляньте наведені нижче розділи.

Корпорація Майкрософт не отримала жодної інформації, що вказує на те, що ці вразливості використовувалися для атак клієнтів на цей раз. Корпорація Майкрософт продовжує тісно співпрацювати з партнерами по галузі, зокрема чіпових виробниками, апаратними постачальниками та постачальниками програм, щоб захистити клієнтів. Щоб отримати доступ до всіх доступних засобів захисту, обладнання або прошивки та оновлення програмного забезпечення, потрібно. Це включає в себе мікропрограму з ПОТ пристроїв, а також, у деяких випадках, оновлень для антивірусного програмного забезпечення. Щоб отримати докладні відомості про вразливі дані, ознайомтеся зі службою Microsoft Security КОНСУЛЬТАТИВНОЇ ADV180002. Щоб виконати загальні вказівки, щоб пом'якшити цей клас вразливості, ознайомтеся з настановами з пом'якшення наслідків , які не відповідальні за сторони каналу

Корпорація Майкрософт опублікувала ADV190013-Microsoft, щоб пом'якшити вразливості вибірки з Мікроархітектурним даними в травні 2019. SQL Server не має особливих виправлень системи безпеки для цієї проблеми, описаної в ADV190013. У розділі рекомендації в цій статті наведено вказівки для середовищ, які впливають на ADV190013. Зверніть увагу, що ці рекомендації застосовуються лише до процесорів Intel.

Отримання та інсталяція оновлення

Це оновлення також можна отримати за допомогою служб оновлень Windows Server Services (WSUS) або веб-сайтукаталогу Microsoft Update.Примітка: це оновлення не завантажуватиметься та інсталюється автоматично за допомогою служби Windows Update.

Підтримувані версії SQL Server, які впливають на

Корпорація Майкрософт рекомендує всім клієнтам інсталювати оновлення SQL Server (наведено нижче) як частину звичайного циклу склеювання.  Клієнти, які працюють на сервері SQL Server в безпечному середовищі, де блокуються точки розширення, і всі треті сторони, що працюють на тому самому сервері, довіряють і затверджують цю проблему.

У наведених нижче версіях SQL Server доступні оновлення, коли вони запускаються в системах процесорів x86 і x64:

• SQL Server 2008

• SQL Server 2008R2

• SQL Server 2012

• SQL Server 2014

• SQL Server 2016

• SQL Server 2017

Ми не віримо, що IA64 (Microsoft SQL Server 2008) впливає. Служба аналітичної платформи Microsoft (APS) базується на Microsoft SQL Server 2014 або Microsoft SQL Server 2016, але це не залежить від цього. Деякі загальні вказівки для APS наведено в цій статті.

Рекомендації

У наведеній нижче таблиці описано, що слід робити клієнтам, залежно від середовища, у якому запущено SQL Server, і яку функціональність використовується. Корпорація Майкрософт рекомендує розгортати виправлення, використовуючи звичайні процедури для тестування нових двійкових файлів, перш ніж розгортати їх у виробничому середовищі.

Консультативна робота

Клієнти радять оцінити ефективність своїх конкретних програм, коли вони застосовують оновлення.

Корпорація Майкрософт радить всім клієнтам інсталювати оновлені версії сервера SQL Server і Windows. Ця дія має бути незначною за мінімальну продуктивність для наявної програми на основі перевірки Microsoft для навантаження SQL. Однак радимо перевірити всі оновлення, перш ніж розгортати їх у виробничому середовищі.

Корпорація Майкрософт вимірювали ефект затінення віртуальної адреси ядра (KVAS), таблиці сторінок ядра (KPTI) і зменшення прогнозно-відповідного прогнозування гілок (IBP) на різних місцях SQL в різних середовищах, і знайшли певні навантаження з значною деградацією. Радимо перевірити ефект ефективності ввімкнення цих функцій, перш ніж розгортати їх у виробничому середовищі. Якщо ефект ефективності ввімкнення цих функцій занадто високий для наявної програми, можна визначити, чи є ізоляція SQL Server від ненадійного коду, який працює на тому ж комп'ютері, – це найкращий спосіб пом'якшення цієї програми.

Докладні відомості про ефект продуктивності від непрямого підтримки обладнання для запобігання прогнозуванням гілок (IBP) докладно наведено тут.

Корпорація Майкрософт оновить цей розділ, щоб отримати докладні відомості, коли вона доступна.

Увімкнення затінення віртуальної адреси ядра (KVAS в ОС Windows) і таблиці "ядро" на сторінці ядра (KPTI на Linux)

KVAS і KPTI відповідно до CVE 2017-5754, також відомий як "криза" або "варіант 3" в розкритті GPZ.

SQL Server працює в багатьох середовищах: фізичні комп'ютери, віртуальні машини в загальнодоступному та приватному хмарному середовищі, у системах Linux і Windows. Незалежно від середовища, програма запускається на комп'ютері або в ВМ. Викличте цю межубезпеки.

Якщо всі коди в цій межі мають доступ до всіх даних у цій межі, дія не потрібна. Якщо це не так, межа вважається кількома орендарями. Знайдено вразливості, які дають змогу для будь-якого коду, навіть з обмеженими дозволами, які виконуються в будь-якому процесі в цій межі, щоб прочитати будь-які інші дані в цій межі. Якщо в межі недовіреного коду є будь-який процес, це може використовувати ці вразливості, щоб читати дані з інших процесів. Цей ненадійний код може бути ненадійним кодом, використовуючи механізми розширюваність SQL Server або інші процеси в межі, на якому запущено Недовірений код.

Щоб захиститися від ненадійного коду в межі багатоклієнтської частини, скористайтеся одним із наведених нижче способів.

• Видаліть ненадійний код. Додаткові відомості про те, як це зробити для механізмів розширення SQL Server, наведено нижче. Щоб видалити ненадійний код з інших програм, у тій самій межі, зазвичай необхідні зміни, які стосуються програми. Наприклад, поділ на дві віртуальні машини.

• Увімкніть KVAS або KPTI. Це матиме ефект продуктивності. Додаткові відомості, як описано вище в цій статті.

Щоб отримати докладні відомості про ввімкнення KVAS для Windows, ознайомтеся з KB4072698. Щоб отримати докладні відомості про ввімкнення функції KPTI на Linux, проконсультуйтеся з постачальником операційної системи.

Приклад сценарію, у якому настійно рекомендовано KVAS або KPTI

Локальний фізичний комп'ютер, який хостів SQL Server як обліковий запис, який не є системним адміністратором, дає змогу клієнтам надсилати довільні сценарії R для запуску через SQL Server (що використовує вторинні процеси для запуску цих сценаріїв за межами sqrserr. exe). Потрібно ввімкнути KVAS і KPTI, щоб захиститися від розкриття даних у процесі Sqrserr. exe, а також захиститися від розкриття даних у пам'яті ядра системи. Примітка. Механізм розширюваність в SQL Server не автоматично вважається небезпечним тільки тому, що він використовується. Ці механізми можна безпечно використовувати в SQL Server, доки для кожної залежності розуміється та довірена Замовник. Крім того, є інші продукти, які вбудовані на основі SQL, які можуть знадобитися для правильної роботи механізмів розширення. Наприклад, якщо запакована програма, яка будується поверх SQL Server, може знадобитися для правильної роботи зв'язаного сервера або CLR-збереженої процедури. Корпорація Майкрософт не рекомендує видаляти ці дані як частину пом'якшення. Натомість перегляньте кожне використання, щоб визначити, чи є цей код зрозумілим і надійним, як початкова дія. Ці вказівки допоможуть клієнтам визначити, чи вони знаходяться в ситуації, у якій вони мають активувати KVAS. Це пояснюється тим, що ця дія має значні наслідки продуктивності.

Увімкнення підтримки апаратного забезпечення для непрямого зменшення прогнозу (ПББ)

IBP пом'якшує відповідні значення 2017-5715, також відомий як половина привид або "варіант 2" в розкритті GPZ.

У цій статті описано, як активувати KVAS у Windows, а також ввімкнути IBP. Однак, IBP також вимагає оновлення прошивки від виробника устаткування. Окрім інструкцій у KB4072698 , щоб увімкнути захист у Windows, клієнти мають отримувати та інсталювати оновлення зі свого постачальника обладнання.

Приклад сценарію, у якому настійно рекомендується використовувати IBP

Локальний фізичний комп'ютер – це хостинг SQL Server поруч із програмою, яка дає змогу ненадійним користувачам передавати та виконувати довільний код JavaScript. Якщо припустити, що в базі даних SQL існують конфіденційні дані, ми настійно рекомендуємо, щоб захиститися від розкриття інформації про процес до процесу.

У ситуаціях, у яких підтримка обладнання IBP не відображається, корпорація Майкрософт рекомендує відділяти Недовірені процеси та надійне процес на різні фізичні комп'ютери або віртуальні машини.

Користувачі Linux: зверніться до постачальника операційної системи, щоб отримати відомості про захист від варіанту 2 (c 2017-5715).

Запропоновано приклад сценарію, у якому наполегливо рекомендується використовувати для вразливості дискретизації Мікроархітектурних даних.

Розглянемо приклад розташування локального сервера, на якому запущено два екземпляри SQL Server, які розміщують два різні бізнес-програми на двох різних віртуальних машинах на тому ж самому фізичному хості. Припустимо, що ці два бізнес-програми не можуть читати дані, які зберігалися в екземплярах SQL Server. Зловмисник, який успішно використовував ці уразливості, може мати можливість читати дані привілейованих даних через цільові межі, використовуючи ненадійний код, який працює на комп'ютері, як окремий процес або ненадійний код, який виконується за допомогою засобу розширення SQL Server (див. розділ нижче для параметрів розширюваності сервера SQL Server). У середовищах спільного ресурсу (наприклад, у деяких конфігураціях хмарних служб) ці вразливості можуть дозволити неправильно отримувати доступ до інформації в одній віртуальній машині. У сценаріях, які не переглядають в автономному режимі, зловмисник має знадобитися попередній доступ до системи або можливість запускати спеціально створений застосунок на цільовій системі, щоб використовувати ці вразливості.

Ненадійні механізми розширюваність SQL Server

SQL Server містить багато функцій розширюваності та механізмів. Більшість цих механізмів вимкнуто за замовчуванням. Проте ми радимо клієнтам переглянути кожний екземпляр виробництва для використання функції розширення. Рекомендується, щоб кожний із цих функцій обмежувала мінімальний набір двійкових файлів, а клієнти обмежують доступ для запобігання виконанню довільного коду на тому ж комп'ютері, що й SQL Server. Ми радимо клієнтам визначити, чи потрібно довіряти кожному двійковому, а також вимкнути або видалити ненадійні двійкові файли.

• Збірки SQL CLR

• Пакунки r і Python, які виконуються через механізм зовнішніх сценаріїв або виконуються з ізольовану студію R/машинного навчання на тому ж фізичному комп'ютері, що й SQL Server

• Точки розширюваність агента SQL, які виконуються на тому ж фізичному комп'ютері, що й SQL Server (скрипти ActiveX)

• Постачальники, які не належать до Microsoft OLE DB, які використовуються на зв'язаних серверах

• Розширені процедури, які не належать до корпорації Майкрософт

• Об'єкти COM, виконані в межах сервера (доступні через sp_OACreate)

• Програми, виконані через xp_cmdshell

Якщо використовується ненадійний код у SQL Server, можна не лише використовувати її.