KB4073757. Захист пристроїв Windows від уразливостей стороннього каналу мікроархітектури та спекулятивного виконання на основі кремнію

Можливо, для усунення цих вразливостей знадобиться оновити мікропрограму (мікрокоманду) і програмне забезпечення. Рекомендовані дії наведено в рекомендаціях із системи безпеки Microsoft. Це стосується застосовних оновлень мікропрограм (мікрокоманд) від виробників пристроїв і, в деяких випадках, оновлень антивірусного програмного забезпечення. Рекомендуємо вам підтримувати свої пристрої в актуальному стані, щомісяця інсталюючи оновлення системи безпеки.

Для максимального захисту пристроїв та програм виконайте наступні дії, щоб отримати останні оновлення для програмного й апаратного забезпечення.

1. Регулярно оновлюйте пристрій Windows, увімкнувши автоматичне оновлення.

2. Переконайтеся, що інстальовано останнє оновлення системи безпеки для операційної системи Windows від корпорації Майкрософт. Якщо ввімкнуто автоматичні оновлення, ви отримаєте оновлення автоматично. Однак потрібно перевірити, чи їх інстальовано. Докладніше про те, як це зробити див. у розділі Windows Update: запитання й відповіді

3. Інсталюйте доступні оновлення мікропрограм (мікрокоманд) від виробника пристрою. Усім користувачам знадобиться звернутися до виробника пристрою, щоб завантажити та інсталювати оновлення апаратного забезпечення саме для вашого пристрою. Список веб-сайтів виробників пристроїв див. в розділі "Додаткові ресурси".

   Примітка.

   Користувачам слід інсталювати останні оновлення системи безпеки операційної системи Windows від корпорації Майкрософт, щоб скористатися перевагами доступного захисту. Спочатку слід інсталювати оновлення антивірусного програмного забезпечення. Оновлення операційної системи та мікропрограм будуть незабаром випущені. Рекомендуємо вам підтримувати свої пристрої в актуальному стані, щомісяця інсталюючи оновлення системи безпеки.

До уражених мікросхем відносяться мікросхеми виробництва Intel, AMD і ARM. Це означає, що всі пристрої під керуванням операційних систем Windows потенційно вразливі. Це стосується настільних комп'ютерів, ноутбуків, хмарних серверів і смартфонів. Пристроїв під керуванням інших операційних систем, наприклад Android, Chrome, iOS і macOS, це також стосується. Радимо користувачам, які використовують ці операційні системи, звернутися за рекомендаціями до їх постачальників.

На момент публікації ми не отримали жодної інформації для з'ясування того, що ці вразливості було використано для атаки на користувачів.

Починаючи із січня 2018 р., корпорація Майкрософт випустила оновлення для операційних систем Windows, браузерів Internet Explorer і Edge, щоб допомогти мінімізувати ризик від цих вразливостей та захистити користувачів. Ми також випустили оновлення для захисту наших хмарних служб.  Ми продовжуємо тісно співпрацювати з партнерами в галузі, зокрема виробниками мікросхем, виробниками обладнання та постачальниками програм, щоб захистити клієнтів від цього класу вразливостей.

Радимо завжди інсталювати щомісячні оновлення, щоб ваші пристрої завжди були в актуальному стані та були в безпеці.

Ми оновимо цю документацію, коли з'являться нові заходи щодо послаблення ризиків, і радимо регулярно перевіряти цю статтю.

Оновлення операційної системи Windows за липень 2019 р.

6 серпня 2019 р. компанія Intel розкрила відомості про вразливість системи безпеки CVE-2019-1125 | Уразливість розкриття інформації ядра Windows. Оновлення системи безпеки для цієї вразливості було випущено в рамках щомісячного випуску оновлень за липень 9 липня 2019 р.

9 липня 2019 р. корпорація Майкрософт випустила оновлення системи безпеки для операційної системи Windows, щоб допомогти вирішити цю проблему. Ми утрималися від публічного документування цього пом'якшення до скоординованого розкриття інформації галузі у вівторок, 6 серпня 2019 року.

Користувачі, які Windows Update активували та застосували оновлення системи безпеки, випущені 9 липня 2019 р., захищені автоматично. Зверніть увагу, що для цієї вразливості не потрібно оновлювати мікрокоманди від виробника пристрою (OEM).

Оновлення операційної системи Windows за травень 2019 р.

14 травня 2019 р. компанія Intel опублікувала відомості про новий підклас вразливостей стороннього каналу спекулятивного виконання, відому як мікроархітектурна вибірка даних . Їй було присвоєно такі CVE:

• CVE-2018-11091 – "Некешована пам'ять мікроархітектурних даних (MDSUM)"
• CVE-2018-12126 – "Вибірка даних буфера мікроархітектурного сховища (MSBDS)"
• CVE-2018-12127 – "Мікроархітектурна вибірка даних буфера заповнення (MFBDS)"
• CVE-2018-12130 – "Мікроархітектурна вибірка даних порту навантаження (MLPDS)"

Докладні відомості про цю проблему див. в таких рекомендаціях із безпеки та використанні рекомендацій на основі сценаріїв, описаних у статтях із рекомендаціями для Windows для клієнтів і серверів, щоб визначити дії, необхідні для зменшення загрози:

• ADV 190013 | Рекомендації корпорації Майкрософт щодо мінімізації ризиків від вразливостей вибірки мікроархітектурних даних
• KB 4073119 | Посібник із клієнта Windows IT Pro щодо захисту від вразливостей стороннього каналу спекулятивного виконання
• KB 4457951 | Windows ServerWindows Server Рекомендації щодо захисту від вразливостей стороннього каналу спекулятивного виконання

Корпорація Майкрософт випустила захист від нового підкласу вразливостей стороннього каналу спекулятивного виконання, відомої як мікроархітектурна вибірка даних для 64-розрядних версій (x64) Windows (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130).

Використовуйте параметри реєстру, як описано в статтях "Клієнт Windows" (KB4073119) і Windows Server (KB4457951). За замовчуванням ці параметри реєстру ввімкнуто для випусків ОС Windows Client і Windows Server OS.

Рекомендовано інсталювати всі останні оновлення з Windows Update, перш ніж інсталювати оновлення мікрокоманд.

Докладні відомості про цю проблему та рекомендовані дії див. в таких рекомендаціях із безпеки:

• ADV 190013 | Рекомендації корпорації Майкрософт щодо мінімізації ризиків від вразливостей вибірки мікроархітектурних даних

Компанія Intel випустила оновлення мікрокоманд для останніх платформ ЦП, щоб допомогти мінімізувати ризики CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130. У 4093836 Windows KB від 14 травня 2019 р. наведено певні статті бази знань за версіями ОС Windows.  Стаття також містить посилання на доступні оновлення мікрокоманд Intel за типом ЦП. Ці оновлення доступні в каталозі Microsoft.

Примітка. Ми рекомендуємо інсталювати всі останні оновлення Windows Update, перш ніж інсталювати оновлення мікрокоманд.

Ми раді повідомити, що Retpoline увімкнуто за замовчуванням на пристроях Windows 10 версії 1809 (для клієнта та сервера), якщо ввімкнуто Spectre Variant 2 (CVE-2017-5715). Увімкнувши Retpoline в останній версії Windows 10 в оновленні від 14 травня 2019 року (KB 4494441), ми очікуємо підвищення продуктивності, особливо на старих процесорах.

Клієнти мають переконатися, що в параметрах реєстру, описаних у клієнті Windows і статтях Windows Server, для попередньої ОС увімкнено захист від уразливостей Spectre, варіант 2. (За замовчуванням ці параметри реєстру ввімкнуто для випусків ОС Windows Client, але вимкнено для випусків ОС Windows Server). Додаткові відомості про "Retpoline" див. в статті Мінімізація ризиків для Spectre, варіант 2 за допомогою Retpoline у Windows.

Листопад 2018 р.: оновлення операційної системи Windows

Корпорація Майкрософт випустила засоби захисту операційної системи для Speculative Store Bypass (CVE-2018-3639) для процесорів (ЦП) AMD.

Корпорація Майкрософт випустила додаткові засоби захисту операційної системи для клієнтів, які використовують 64-розрядні процесори ARM. Зверніться до виробника оригінального обладнання для отримання підтримки мікропрограм, оскільки для захисту операційної системи ARM64, який мінімізує ризик CVE-2018-3639, Speculative Store Bypass, потрібно інсталювати останнє оновлення мікропрограми від виробника оригінального обладнання.

Вересень 2018 р. – оновлення операційної системи Windows

11 вересня 2018 року корпорація Майкрософт випустила Windows Server щомісячне зведене 4458010 2008 SP2 та 4457984 лише системи безпеки для Windows Server 2008 р., які забезпечують захист від нової вразливості стороннього каналу спекулятивного виконання, відомої як L1 Terminal Fault (L1TF), що впливає на процесори Intel® Core та процесори Intel® Xeon®® (CVE-2018-3620 та CVE-2018-3646).

Цей випуск завершує оновлення додаткових засобів захисту на всіх версіях системи Windows, що підтримуються до Windows Update. Докладні відомості та перелік продуктів, на які поширюються зміни, див. на сторінці ADV180018 | Рекомендації корпорації Майкрософт щодо мінімізації ризиків від варіанту L1TF.

Примітка. Windows Server 2008 із пакетом оновлень 2 (SP2) тепер діє стандартна модель зведення обслуговування Windows. Для отримання додаткової інформації про ці зміни, будь ласка, прочитайте наш блог Windows Server 2008 SP2 зміни. Клієнти, які використовують версію Windows Server 2008, повинні інсталювати 4458010 або 4457984 на додаток до оновлення системи безпеки 4341832, яке вийшло 14 серпня 2018 р. Клієнти також повинні переконатися, що попередні засоби захисту ОС від уразливостей Spectre Variant 2 і Meltdown увімкнено в параметрах реєстру, описаних у статтях БЗ клієнта Windows і Windows Server вказівок. За замовчуванням ці параметри реєстру ввімкнуто для випусків ОС Windows Client, але вимкнено для випусків ОС Windows Server.

Корпорація Майкрософт випустила додаткові засоби захисту операційної системи для клієнтів, які використовують 64-розрядні процесори ARM. Зверніться до виробника оригінального обладнання для отримання підтримки мікропрограми, оскільки для захисту операційної системи ARM64, який зменшує ризик CVE-2017-5715 – ін'єкція цільової гілки (Spectre, варіант 2), потрібне останнє оновлення мікропрограми від OEM вашого пристрою.

Оновлення операційної системи Windows за серпень 2018 р.

14 серпня 2018 року було оголошено про L1 Terminal Fault (L1TF) і присвоєно кілька CVE. Ці нові вразливості стороннього каналу спекулятивного виконання можуть бути використані для зчитування вмісту пам'яті через надійні межі та, у разі їх використання, це може призвести до розкриття інформації. Існує кілька векторів, за допомогою яких зловмисник може викликати вразливості залежно від налаштованого середовища. L1TF впливає на процесори Intel® Core® і процесори Intel® Xeon®.

Докладні відомості про L1TF і детальний опис відповідних сценаріїв, включно з підходом корпорації Майкрософт до пом'якшення наслідків L1TF, див. в таких ресурсах:

• ADV180018 | Рекомендації Microsoft щодо пом'якшення наслідків штаму L1TF
• Security Advisory Security Research Blog
• Вказівки для сервера щодо несправності термінала L1

Оновлення операційної системи Windows за липень 2018 р.

Ми раді повідомити, що корпорація Майкрософт завершила випуск додаткових засобів захисту для всіх підтримуваних версій системи Windows через Windows Update для таких вразливостей:

• Spectre Variant 2 для процесорів AMD
• Спекулятивний обхід магазину для процесорів Intel

13 червня 2018 року було оголошено про додаткову вразливість, пов'язану зі спекулятивним виконанням стороннього каналу, відому як Lazy FP State Restore, якій присвоєно CVE-2018-3665. Для Lazy Restore FP Recover не потрібні параметри конфігурації (реєстру).

Докладні відомості про цю вразливість, продукти, на які впливає проблема, та рекомендовані дії див. в таких рекомендаціях щодо безпеки:

• ADV180016 | Рекомендації Microsoft щодо лінивого відновлення стану FP

12 червня Microsoft оголосила про підтримку Windows Speculative Store Bypass Disable (SSBD) у процесорах Intel. Для виконання оновлень потрібні відповідні оновлення мікропрограми (мікрокоманд) та реєстру для функціональності. Інформацію про оновлення та кроки, які слід застосувати, щоб увімкнути SSBD, див. в розділі "Рекомендовані дії" на сторінці ADV180012 | Рекомендації корпорації Майкрософт щодо спекулятивного обходу магазину.

Оновлення операційної системи Windows за травень 2018 р.

У січні 2018 року корпорація Майкрософт оприлюднила інформацію про нещодавно виявлений клас вразливостей обладнання (відомих як Spectre і Meltdown), які включають сторонні канали спекулятивного виконання, що в тій чи іншій мірі впливають на процесори AMD, ARM і Intel. 21 травня 2018 року Google Project Zero (GPZ), Microsoft та Intel розкрили дві нові вразливості мікросхем, пов'язані з проблемами Spectre та Meltdown, відомі як Speculative Store Bypass (SSB) та Rogue System Registry Read.

Клієнтський ризик від обох розголошень низький.

Докладні відомості про ці вразливості див. в таких статтях:

• Захисний комплекс Microsoft Advisory дляспекулятивного обходу магазину:MSRC ADV180012 і CVE-2018-3639
• Захисний комплекс Microsoft Advisory forRogue System Register Читайте: MSRC ADV180013 і CVE-2018-3640
• Дослідження та захист у сфері безпеки:Аналіз і запобігання спекулятивному обходу магазинів (CVE-2018-3639)

Застосовується до: Windows 10 версії 1607, Windows Server 2016, Windows Server 2016 (інсталяція серверного ядра) і Windows Server версії 1709 (інсталяція серверного ядра)

Надано підтримку для керування використанням IBPB у деяких процесорах AMD (ЦП) для захисту від CVE-2017-5715, Spectre Variant 2 під час переходу від контексту користувача до контексту ядра. (Додаткові відомості див. у розділі Рекомендації щодо архітектури AMD стосовно Indirect Branch Control та AMD Security Оновлення).

Користувачам, які використовують Windows 10 версії 1607, Windows Server 2016, Windows Server 2016 (інсталяція серверного ядра) і Windows Server версії 1709 (інсталяція серверного ядра), необхідно інсталювати оновлення системи безпеки 4103723 для додаткових заходів послаблення ризиків для процесорів AMD у зв'язку з CVE-2017-5715, Branch Цільова ін'єкція. Це оновлення також доступне через Windows UpdateWindows Update.

Дотримуйтеся вказівок, наведених у 4073119 для клієнта Windows (для ІТ-спеціалістів) і 4072698 статті бази знань для Windows Server, щоб увімкнути використання IBPB у деяких процесорах AMD (ЦП) для захисту від Spectre, варіант 2 під час переходу від контексту користувача до контексту ядра.

Корпорація Майкрософт забезпечує доступ до наявних перевірених Intel мікрокоманд стосовно вразливостей Spectre Variant 2 (CVE-2017-5715, "Ін'єкція цільової гілки**"**). Щоб отримувати останні оновлення мікрокоманд через Windows Update, клієнти повинні мати інстальовані мікрокоманди Intel на пристроях під керуванням операційної системи Windows 10 до установлення оновлення Windows 10 за квітень 2018 р. (версія 1803).

Оновлення мікрокоманд також доступне безпосередньо з Каталогу, якщо вони не були установлені на пристрої до виконання оновлення операційної системи. Мікрокоманди Intel доступні через Windows Update, WSUS або Каталог Microsoft Update. Докладні відомості та інструкції щодо завантаження див. на сторінці 4100347 бази знань.

Ми пропонуватимемо додаткові оновлення мікрокоманд від Intel для операційної системи Windows, щойно вони стануть доступними для корпорації Майкрософт.

Застосовується до: Windows 10Windows 10, версія 1709

Надано підтримку для керування використанням IBPB у деяких процесорах AMD (ЦП) для захисту від CVE-2017-5715, Spectre Variant 2 під час переходу від контексту користувача до контексту ядра. (Додаткові відомості див. у розділі Рекомендації щодо архітектури AMD стосовно Indirect Branch Control та AMD Security Оновлення).

Дотримуйтеся вказівок, наведених у керівництві KB 4073119 для клієнта Windows (для ІТ-спеціалістів), щоб увімкнути використання IBPB у деяких процесорах AMD (ЦП) для захисту від Spectre, варіант 2 під час переходу від контексту користувача до контексту ядра.

Корпорація Майкрософт забезпечує доступ до наявних перевірених Intel мікрокоманд стосовно вразливостей Spectre Variant 2 (CVE-2017-5715 "Ін'єкція цільової гілки"). KB4093836 наведено список окремих статей бази знань за версіями Windows. Кожен окремий KБ містить останні доступні оновлення мікрокоманд Intel, упорядковані за типом ЦП.

Ми пропонуватимемо додаткові оновлення мікрокоманд від Intel для операційної системи Windows, щойно вони стануть доступними для корпорації Майкрософт.

Березень 2018 р. та пізніші оновлення операційної системи Windows

23 березня, TechNet Security Research & Defense: KVA Shadow: Mitigating Meltdown on Windows

14 березня, Security Tech Center: умови програми Bounty Channel на сторонньому каналі спекулятивного виконання

13 березня, blog: Березень 2018 р. Windows SecurityБезпека у Windows Update – розширення наших зусиль із захисту клієнтів

1 березня, блоґ: оновлення щодо оновлень системи безпеки Spectre і Meltdown для пристроїв Windows

Починаючи з березня 2018 р., корпорація Майкрософт випустила оновлення системи безпеки, які забезпечують послаблення ризиків для пристроїв під керуванням наведених далі операційних систем Windows на базі x86-процесорів. Користувачам слід інсталювати останні оновлення системи безпеки операційної системи Windows, щоб скористатися перевагами доступного захисту. Ми працюємо над забезпеченням захисту для інших підтримуваних версій Windows, але наразі не маємо графіка випусків. Слідкуйте за оновленнями тут. Докладні відомості див. у відповідній статті бази знань, щоб дізнатися технічну інформацію, а також у розділі "Запитання й відповіді".

Починаючи з березня 2018 р., корпорація Майкрософт випустила оновлення системи безпеки, які забезпечують послаблення ризиків для пристроїв під керуванням наведених нижче операційних систем Windows на базі x64-процесорів. Користувачам слід інсталювати останні оновлення системи безпеки операційної системи Windows, щоб скористатися перевагами доступного захисту. Ми працюємо над забезпеченням захисту для інших підтримуваних версій Windows, але наразі не маємо графіка випусків. Слідкуйте за оновленнями тут. Щоб отримати додаткові відомості, див. відповідну статтю база знань, щоб дізнатися технічну інформацію, а також розділ "FAQ".

Це оновлення усуває вразливість ядра Windows у 64-розрядній версії (x64) версії Windows. Цю вразливість описано в CVE-2018-1038. Щоб отримати повний захист від цієї вразливості, користувачі мають застосувати це оновлення, якщо їхні комп'ютери було оновлено до січня 2018 року або пізніше, застосувавши будь-яке з оновлень, перелічених у цій статті бази знань:

Оновлення ядра Windows для CVE-2018-1038

Це оновлення системи безпеки усуває кілька виявлених вразливостей в Internet Explorer. Щоб дізнатися більше про ці вразливості, див. розділ "Поширені вразливості та вразливості корпорації Майкрософт".

Оновлення операційної системи Windows за лютий 2018 р.

Блог: Windows Analytics тепер допомагає оцінити захист від вразливостей Spectre і Meltdown

Наведені нижче оновлення системи безпеки забезпечують додатковий захист для пристроїв під керуванням 32-розрядних (x86) операційних систем Windows. Корпорація Майкрософт рекомендує користувачам інсталювати оновлення, якнайшвидше воно стане доступним. Корпорація Майкрософт продовжує забезпечувати захист для інших підтримуваних версій Windows, але наразі не має графіка випусків. Слідкуйте за оновленнями тут.

Зверніть увагу Windows 10 щомісячні оновлення системи безпеки накопичуються щомісяця та автоматично завантажуються й інсталюються з Windows Update. Якщо у вас інстальовано попередні оновлення, на пристрій буде завантажено й інстальовано лише нові частини. Докладні відомості див. у відповідній статті бази знань, щоб дізнатися технічну інформацію, а також у розділі "Запитання й відповіді".

Січень 2018 р.: оновлення операційної системи Windows

Блог: Розуміння впливу на продуктивність мінімізації ризиків від Spectre і Meltdown в системах Windows

Починаючи із січня 2018 р., корпорація Майкрософт випустила оновлення системи безпеки, щоб мінімізувати ризики для пристроїв під керуванням наведених далі операційних систем Windows на базі x64-процесорів. Користувачам слід інсталювати останні оновлення системи безпеки операційної системи Windows, щоб скористатися перевагами доступного захисту. Ми працюємо над забезпеченням захисту для інших підтримуваних версій Windows, але наразі не маємо графіка випусків. Слідкуйте за оновленнями тут. Докладні відомості див. у відповідній статті бази знань, щоб дізнатися технічну інформацію, а також у розділі "Запитання й відповіді".

9 квітня 2024 р. ми опублікували CVE-2022-0001 | Intel Branch History Injection , яка описує Branch History Injection (BHI), яка є специфічною формою інтрамодового BTI. Ця вразливість виникає, коли зловмисник може маніпулювати історією гілок перед переходом з режиму користувача в режим супервізора (або з режиму VMX non-root/guest в режим root). Ця маніпуляція може призвести до того, що предиктор непрямої гілки вибере конкретний вхід предиктора для непрямої гілки, і гаджет розкриття інформації на передбаченій цілі тимчасово виконає. Це може бути можливим завдяки тому, що відповідна історія гілок може містити гілки, взяті в попередніх контекстах безпеки, і, зокрема, інші режими прогнозування.

Дотримуйтеся вказівок, наведених у рекомендаціях KB4073119 для клієнта Windows (для ІТ-спеціалістів) і KB4072698 для Windows Server, щоб зменшити вразливості, описані на сторінці CVE-2022-0001 | Intel Branch History Injection.

Поради корпорації Майкрософт із питань безпеки у зв'язку з L1 Terminal Fault (L1TF):MSRC ADV180018, CVE-2018-3615, CVE-2018-3620 і CVE-2018-3646

Дослідження та захист у сфері безпеки:Аналіз і запобігання спекулятивному обходу магазинів (CVE-2018-3639)

Захисний комплекс Microsoft Advisory дляспекулятивного обходу магазину:MSRC ADV180012 і CVE-2018-3639

Захисний комплекс Microsoft Advisory for Rogue System Register Читати | Посібник з оновлень системи безпеки для Surface: MSRC ADV180013 і CVE-2018-3640

Дослідження та захист у сфері безпеки:Аналіз і запобігання спекулятивному обходу магазинів (CVE-2018-3639)

TechNet Security Research & Defense:KVA Shadow: Mitigating Meltdown on Windows

Технологічний центр безпеки:Умови програми Bounty на сторонньому каналі спекулятивного виконання

Блог Microsoft Experience:Оновлення оновлень системи безпеки для пристроїв Windows Spectre і Meltdown

Блог Windows для бізнесу: Windows Analytics тепер допомагає оцінити захист від вразливостей Spectre і Meltdown

Блог Безпека Microsoft: Основні відомості про вплив на продуктивність мінімізації ризиків від Spectre і Meltdown в системах Windows

Блог розробників Microsoft Edge: Мінімізація ризиків атак стороннього каналу спекулятивного виконання в Microsoft Edge і Internet Explorer

Блог Azure: Захист користувачів Azure від вразливості ЦП

Рекомендації для SCCM: Додаткові рекомендації для мінімізації ризиків від вразливостей стороннього каналу спекулятивного виконання

Поради з корпорації Майкрософт.

• ADV180002 | Рекомендації щодо мінімізації ризиків від вразливостей стороннього каналу спекулятивного виконання
• ADV180012 | Рекомендації корпорації Майкрософт щодо спекулятивного обходу магазинів
• ADV180013 | Рекомендації корпорації Майкрософт щодо реєстрації шахрайської системи Читати
• ADV180016 | Рекомендації Microsoft щодо лінивого відновлення стану FP
• ADV180018 | Рекомендації Microsoft щодо пом'якшення наслідків штаму L1TF

Intel: Security Advisory

ARM: Security Advisory

AMD: Security Advisory

NVIDIA:Security Advisory

Рекомендації для користувачів: Захист пристрою від уразливостей системи безпеки, пов’язаних із мікросхемами

Рекомендації з антивірусного програмного забезпечення: Оновлення системи безпеки Windows, випущеного 3 січня 2018 року та антивірусне програмне забезпечення

Рекомендації щодо блокування оновлення системи безпеки ОС Windows для AMD: KB4073707: блокування оновлення системи безпеки ОС Windows для деяких пристроїв на базі AMD

Оновлення з метою вимкнення засобу захисту від Spectre, варіант 2: KB4078130: компанія Intel виявила проблеми перезавантаження, пов’язані з мікрокомандою, на деяких старих процесорах

Рекомендації для Surface: рекомендації для Surface щодо захисту від вразливостей стороннього каналу спекулятивного виконання

Перевірка стану засобів послаблення ризиків на стороні спекулятивного виконання: Загальні відомості Get-SpeculationControlSettings виводі сценарію PowerShell

Рекомендації для ІТ-спеціалістів: Рекомендації для клієнта Windows щодо захисту від вразливостей стороннього каналу спекулятивного виконання для ІТ-спеціалістів

Рекомендації для серверів: Рекомендації для Windows Server щодо захисту від вразливостей стороннього каналу спекулятивного виконання.

Вказівки для сервера щодо несправності термінала L1: Windows Server вказівки щодо захисту від несправності термінала L1

Керівництво для розробників:Керівництво для розробників щодо спекулятивного обходу магазину

Рекомендації для Hyper-V Server

• Елементи керування ресурсами віртуальної машини
• Керування ресурсами ЦП вузла Hyper-V

KB Azure: KB4073235: захист Microsoft Cloud від вразливостей стороннього каналу спекулятивного виконання

Рекомендації щодо Azure Stack: KB4073418: рекомендації для Azure Stack щодо захисту від вразливостей стороннього каналу спекулятивного виконання

AzureAzure надійність: AzureAzure Портал надійності

Рекомендації для SQL Server: KB4073225: рекомендації для SQL Server щодо захисту від вразливостей стороннього каналу спекулятивного виконання

Посилання на виробників оригінального обладнання та серверних пристроїв для отримання оновлень для захисту від вразливостей Spectre і Meltdown

Щоб допомогти усунути ці вразливості, потрібно оновити апаратне та програмне забезпечення. Скористайтеся наведеними нижче посиланнями, щоб звернутися до виробника пристрою для отримання відповідних оновлень мікропрограм (мікрокоманд).

Скористайтеся наведеними нижче посиланнями, щоб звернутися до виробника пристрою для отримання оновлень мікропрограм (мікрокоманд). Вам доведеться інсталювати оновлення для операційної системи та мікропрограм (мікропрограм) для максимального доступного захисту.

Знадобиться звернутися до виробника пристрою, щоб отримати оновлення мікропрограм (мікрокоманд). Якщо виробника пристрою немає в таблиці, зверніться до нього безпосередньо.

Оновлення для пристроїв Microsoft Surface доступні користувачам через Windows Update. Список доступних оновлень мікропрограм (мікрокоманд) пристрою Surface див. в статті 4073065 бази знань.

Якщо ваш пристрій вироблено не корпорацією Майкрософт, застосуйте оновлення мікропрограм від виробника пристрою. Щоб отримати додаткові відомості, зверніться до виробника пристрою.

Вирішення проблеми вразливості обладнання за допомогою оновлення програмного забезпечення обумовлює значні перевірки і послаблення ризиків для попередніх версій операційних систем і може вимагати масштабних змін архітектури. Ми продовжуємо працювати з виробниками уражених мікросхем, щоб знайти найкращий спосіб послаблення ризиків. Її може бути включено в майбутні оновлення. Заміна старих пристроїв під керуванням операційних систем старіших версій, а також оновлення антивірусного програмного забезпечення мають вирішити проблему залишкового ризику.

Хоча на системи на основі Windows XP впливають ці вразливості, корпорація Майкрософт не видаватиме оновлення для них, оскільки необхідні комплексні зміни архітектури поставлять під загрозу стабільність системи та призведуть до проблем сумісності програм. Рекомендуємо користувачам, для яких важлива безпека, оновити ОС до новішої підтримуваної версії, щоб іти в ногу з мінливим ландшафтом загроз порушення безпеки та користуватися перевагами більш надійного захисту, які надають нові операційни системи.

Оновлення Windows 10 для HoloLens доступні користувачам HoloLens через Windows Update.

Після застосуванняоновлення Безпека у Windows за лютий 2018 р. користувачам HoloLens не потрібно виконувати жодних додаткових дій для оновлення мікропрограми пристрою. Ці засоби послаблення ризику також будуть включені в усі майбутні випуски Windows 10Windows 10 for HoloLens.

Щоб отримати докладніші відомості, зверніться до виробника оригінального обладнання.

Для повного захисту пристрою потрібно інсталювати останні оновлення системи безпеки операційної системи Windows на пристрої та відповідні оновлення мікропрограм (мікрокоманд) від виробника пристрою. Ці оновлення повинні бути доступні на веб-сайті виробника пристрою. Спочатку слід інсталювати оновлення антивірусного програмного забезпечення. Оновлення операційної системи і мікропрограм можна інсталювати в будь-якому порядку.

Щоб усунути цю вразливість, знадобиться оновити апаратне та програмне забезпечення. Для забезпечення більш комплексного захисту необхідно буде також інсталювати відповідні оновлення мікропрограм (мікрокоманд) від виробника пристрою. Рекомендуємо вам підтримувати свої пристрої в актуальному стані, щомісяця інсталюючи оновлення системи безпеки.

У кожному оновленні функцій Windows 10 ми вбудовуємо в операційну систему останні технології безпеки, забезпечуючи можливості глибокого захисту, що запобігає впливу всіх класів зловмисного програмного забезпечення на пристрій. Випуск нових функцій запланований двічі на рік. У щомісячних покращеннях ми додаємо ще один рівень безпеки, за допомогою якого відстежується виникнення нових та зміна існуючих тенденцій у сфері шкідливого програмного забезпечення, щоб зробити оновлені системи безпечнішими в умовах загроз, які постійно змінюються і вдосконалюються.

Корпорація Майкрософт скасувала перевірку сумісності антивірусного програмного забезпечення для оновлень безпеки Windows для підтримуваних версій пристроїв Windows 10, Windows 8.1 і Windows 7 із пакетом оновлень 1 (SP1) через Windows Update. 

Рекомендації.

• Переконайтеся, що на пристрої інстальовано останні оновлення системи безпеки від корпорації Майкрософт і виробника апаратного забезпечення. Додаткові відомості про те, як підтримувати пристрій в актуальному стані, див. у розділі Windows Update: запитання й відповіді.
• Продовжуйте проявляти розумну обережність, коли відвідуєте веб-сайти невідомого походження, і не залишайтеся на сайтах, яким ви не довіряєте. Корпорація Майкрософт рекомендує всім користувачам захищати свої пристрої, використовуючи підтримувану антивірусну програму. Користувачі також можуть скористатися вбудованим захистом від вірусів: Захисником Windows для пристроїв під керуванням Windows 10 або Захисний комплекс Microsoft Essentials для пристроїв під керуванням Windows 7. Ці рішення прийнятні у випадках, коли користувачі не можуть інсталювати або використовувати антивірусне програмне забезпечення.

Щоб запобігти негативному впливу на пристрої користувачів, оновлення системи безпеки Windows, випущені в січні або лютому, пропонуються не всім користувачам. Докладні відомості див. у статті бази знань Microsoft 4072699.

Компанія Intel повідомила про проблеми , пов'язані з нещодавно випущеною мікрокомандою, призначеною для боротьби зі Spectre Variant 2 (CVE-2017-5715 – "Ін'єкція цільової гілки"). Зокрема, Intel зазначила, що цей мікрокод може спричинити «вищі, ніж очікувалося, перезавантаження та іншу непередбачувану поведінку системи», а також що такі ситуації можуть спричинити «втрату або пошкодження даних».  На власному досвіді ми вважаємо, що за певних обставин нестабільність системи може призвести до втрати або пошкодження даних. 22 січня компанія Intel рекомендувала користувачам не розгортати поточну версію мікрокоманд на процесорах, яких це стосується, а також повідомила, що проводить додаткове тестування оновленого рішення. Ми розуміємо, що компанія Intel продовжує вивчати потенційний вплив на поточну версію мікрокоманд, тому радимо користувачам регулярно переглядати її посібник, у якому вона інформуватиме про свої рішення.

Поки компанія Intel тестує, оновлює й розгортає нову мікропрограму, ми представляємо позасмугове оновлення ( OOB) KB 4078130, яке спеціально вимикає лише засіб захисту від CVE-2017-5715 – "Ін'єкцію цільової гілки". Під час тестування було встановлено, що це оновлення запобігає описаній поведінці. Повний список пристроїв наведено в Посібнику з редакціями мікрокоманд компанії Intel. Це оновлення стосується Windows 7 (SP1), Windows 8.1 та всіх версій Windows 10 для клієнта та сервера. Якщо ви використовуєте пристрій, якого це стосується, застосуйте це оновлення, завантаживши його з веб-сайту Каталог Microsoft Update. Застосування цього вмісту пакета спеціально вимикає лише засіб захисту від CVE-2017-5715 – "Ін'єкція цільової гілки".

Станом на 25 січня відсутні звіти, які б вказували на те, що ця вразливість Spectre, варіант 2 (CVE-2017-5715), використовувалася для атаки на користувачів. Ми рекомендуємо, за необхідності, користувачам Windows повторно ввімкнути засіб захисту від CVE-2017-5715, коли компанія Intel повідомить, що цю непередбачувану поведінку системи вирішено для вашого пристрою.

Ні. Оновлення лише системи безпеки не є сукупними. Залежно від версії операційної системи, яку ви використовуєте, необхідно інсталювати всі випущені оновлення системи безпеки, щоб бути захищеними від цих вразливостей. Наприклад, якщо ви використовуєте Windows 7 для 32-розрядних систем на ураженому ЦП Intel, потрібно інсталювати всі оновлення лише системи безпеки, починаючи з січня 2018 р. Радимо інсталювати ці оновлення лише системи безпеки в порядку їх випуску.
 
Примітка У попередній версії цих запитань і відповідей неправильно зазначалося, що лютневе оновлення лише системи безпеки містить виправлення системи безпеки, випущені в січні. Насправді це не так.

Ні. Оновлення системи безпеки 4078130 було спеціальним виправленням, яке запобігає непередбачуваній роботі системи, проблемам із продуктивністю та несподіваним перезавантаженням після інсталяції мікрокоманд. Застосування лютневих оновлень системи безпеки в клієнтських операційних системах Windows забезпечує послаблення ризиків для всіх трьох компонентів. В операційних системах Windows Server вам все одно потрібно ввімкнути засоби послаблення ризиків після проведення відповідного тестування. Докладні відомості див. в статті бази знань Microsoft 4072698 .

Нещодавно AMD оголосила , що починає випуск мікрокоманд для нових платформ ЦП навколо Spectre Variant 2 (CVE-2017-5715 "Ін'єкція цільової гілки"). Додаткові відомості див. в Оновлення AMD Security таWhitepaper AMD (Технічний документ AMD: Architecture Guidelines around Indirect Branch Control). Вони доступні через канал мікропрограми від виробника оригінального обладнання.

Корпорація Intel нещодавно анонсувала завершення необхідних перевірок і початок випуску мікрокоманд для нових платформ ЦП. Корпорація Майкрософт забезпечує доступ до наявних перевірених Intel мікрокоманд стосовно вразливостей Spectre Variant 2 (CVE-2017-5715 "Ін'єкція цільової гілки"). У статті бази знань 4093836 наведено окремі статті бази знань за версіями Windows. Кожен окремий KБ містить доступні оновлення мікрокоманд Intel, упорядковані за типом ЦП.

Корпорація Майкрософт забезпечує доступ до наявних перевірених Intel мікрокоманд стосовно вразливостей Spectre Variant 2 (CVE-2017-5715, "Ін'єкція цільової гілки**"**). Щоб отримувати останні оновлення мікрокоманд через Windows Update, клієнти повинні мати інстальовані мікрокоманди Intel на пристроях під керуванням операційної системи Windows 10 до установлення оновлення Windows 10 за квітень 2018 р. (версія 1803).

Оновлення мікрокоманд також доступне безпосередньо з каталогу оновлень, якщо вони не були інстальовані на пристрої до оновлення системи. Мікрокоманди Intel доступні через Windows Update, WSUS або Каталог Microsoft Update. Докладні відомості та інструкції щодо завантаження див. на сторінці 4100347 бази знань.

Додаткові відомості див. в таких статтях:

• ADV180012 | Рекомендації корпорації Майкрософт щодо обходу спекулятивного магазину для CVE-2018-3639
• ADV180013 | Рекомендації корпорації Майкрософт щодо реєстрації шахрайської системи Читайте CVE-2018-3640 і KB 4073065 | Рекомендації для користувачів Surface
• Блоґ, присвячений дослідженням і обороні в галузі безпеки корпорації Майкрософт
• Посібник для розробників щодо спекулятивного обходу магазинів

Докладні відомості див. в розділах "Рекомендовані дії" та "Запитання й відповіді" на сторінці ADV180012 | Рекомендації корпорації Майкрософт щодо спекулятивного обходу магазину.

Щоб перевірити стан SSBD, оновлено сценарій Get-SpeculationControlSettings PowerShell для виявлення уражених процесорів, стану оновлень операційної системи SSBD та стану мікрокоманд процесора, якщо це можливо. Докладні відомості та отримання сценарію PowerShell див. в KB4074629.

13 червня 2018 року було оголошено про додаткову вразливість, пов'язану зі спекулятивним виконанням стороннього каналу, відому як Lazy FP State Restore, якій присвоєно CVE-2018-3665. Для Lazy Restore FP Recover не потрібні параметри конфігурації (реєстру).

Докладні відомості про цю вразливість та рекомендовані дії див. в рекомендаціях з безпеки: ADV180016 | Рекомендації Microsoft щодо лінивого відновлення стану FP

Примітка Для Lazy Restore FP Recover не потрібні параметри конфігурації (реєстру).

Bounds Check Bypass Store (BCBS) було оприлюднено 10 липня 2018 року та призначено CVE-2018-3693. Ми вважаємо, що BCBS належить до того ж класу вразливостей, що і Bounds Check Bypass (варіант 1). Наразі нам не відомо про випадки застосування BCBS у нашому програмному забезпеченні, але ми продовжуємо вивчати цей клас вразливості та працюватимемо з галузевими партнерами, щоб випустити засоби послаблення ризиків за потреби. Ми продовжуємо заохочувати дослідників надсилати будь-які відповідні висновки до програми винагород корпорації Майкрософт за допомогою стороннього каналу спекулятивного виконання, включно з будь-якими прикладами BCBS, які можна використовувати. Розробникам програмного забезпечення слід ознайомитися з посібником для розробників, оновленим для BCBS на сайті https://aka.ms/sescdevguide.

14 серпня 2018 року було оголошено про L1 Terminal Fault (L1TF) і присвоєно кілька CVE. Ці нові вразливості стороннього каналу спекулятивного виконання можуть бути використані для зчитування вмісту пам'яті через надійні межі та, у разі їх використання, це може призвести до розкриття інформації. Існує кілька векторів, за допомогою яких зловмисник може викликати вразливості залежно від налаштованого середовища. L1TF впливає на процесори Intel® Core® і процесори Intel® Xeon®.

Докладні відомості про цю вразливість і детальний опис відповідних сценаріїв, зокрема підходу корпорації Майкрософт до мінімізації наслідків L1TF, див. в таких ресурсах:

• ADV180018 | Рекомендації Microsoft щодо пом'якшення наслідків штаму L1TF
• Security Advisory Security Research Blog
• Вказівки для сервера щодо несправності термінала L1

Для користувачів Microsoft Surface: Користувачі, які використовують продукти Microsoft Surface і Surface Book, повинні дотримуватися вказівок для клієнта Windows, наведених у рекомендаціях із безпеки: ADV180018 | Рекомендації корпорації Майкрософт щодо мінімізації ризиків від варіанту L1TF. Докладні відомості про продукти Surface, яких це стосується, і доступність оновлень мікрокоманд див. також у статті бази знань Microsoft 4073065.

Клієнти Microsoft HoloLens: Microsoft HoloLensНа Microsoft HoloLens L1TF не впливає, оскільки він не використовує процесор Intel, якого це стосується.

Дії, необхідні для вимкнення Hyper-Threading, відрізняються від виробника оригінального обладнання, але зазвичай вони входять до складу засобів настроювання та конфігурації BIOS або мікропрограми.

Клієнтам, які використовують 64-розрядні процесори ARM, слід звернутися до виробника пристрою за підтримкою мікропрограм, оскільки захист операційної системи ARM64, який зменшує вплив CVE-2017-5715 – ін'єкція цільової гілки (Spectre, варіант 2), вимагає останнього оновлення мікропрограми від виробників пристроїв, щоб воно діяло.

Докладні відомості про цю вразливість див. в посібнику з безпеки Microsoft: CVE-2019-1125 | Уразливість розкриття інформації ядра Windows.

Нам не відомо про будь-який випадок уразливості цього розголошення інформації, який би впливав на інфраструктуру наших хмарних служб.

Дізнавшись про цю проблему, ми швидко відреагували та випустили оновлення. Ми твердо віримо в тісні партнерські відносини як з дослідниками, так і з галузевими партнерами, щоб зробити клієнтів більш захищеними, і не публікували подробиці до вівторка, 6 серпня, відповідно до скоординованої практики розкриття вразливостей.

Корпорація Майкрософт надає контактну інформацію сторонніх виробників, щоб допомогти вам знайти додаткову інформацію з цього питання. Ці відомості можуть змінюватися без попередження. Корпорація Майкрософт не гарантує точність контактної інформації сторонніх виробників.