KB4072698: Hướng dẫn Windows Server và Azure Stack HCI để bảo vệ chống lại các lỗ hổng vi kiến trúc dựa trên silicon và thực hiện suy đoán

Bài viết này đề cập đến các lỗ hổng thực thi suy đoán sau đây:

• CVE-2017-5715 | Chèn Mục tiêu Nhánh
• CVE-2017-5753 | Cấp phép Truy cập Kiểm tra Biên giới
• CVE-2017-5754 | Tải bộ đệm ẩn dữ liệu lậu
• CVE-2018-3639 | Speculative Store Bypass

Windows Update cũng sẽ cung cấp các biện pháp giảm thiểu Internet Explorer và Edge. Chúng tôi sẽ tiếp tục cải thiện các biện pháp giảm nhẹ này để chống lại lớp lỗ hổng này.

Để tìm hiểu thêm về lớp lỗ hổng này, hãy xem

• ADV180002 | Hướng dẫn giảm thiểu các lỗ hổng thực hiện suy đoán bên kênh
• ADV180012 | Hướng dẫn của Microsoft về Speculative Store Bypass

Vào ngày 14 tháng 5 năm 2019, Intel đã công bố thông tin về một phân lớp mới của các lỗ hổng thực hiện suy đoán phía kênh được gọi là Lấy mẫu dữ liệu vi kiến trúc và được ghi lại trong ADV190013 | Lấy mẫu dữ liệu vi kiến trúc. Họ đã được gán các CVE sau:

• CVE-2019-11091 | Lấy mẫu dữ liệu vi kiến trúc Bộ nhớ không thể lưu vào bộ nhớ đệm (MDSUM)
• CVE-2018-12126 | Lấy mẫu dữ liệu bộ đệm lưu trữ vi kiến trúc (MSBDS)
• CVE-2018-12127 | Lấy mẫu Dữ liệu Bộ đệm Tô Kiến trúc Vi mô (MFBDS)
• CVE-2018-12130 | Lấy mẫu dữ liệu cổng tải vi kiến trúc (MLPDS)

Microsoft đã phát hành các bản cập nhật để giúp giảm thiểu các lỗ hổng này. Để nhận được tất cả các tính năng bảo vệ có sẵn, bạn cần có các bản cập nhật phần mềm và vi chương trình. Điều này có thể bao gồm mã vi từ OEM thiết bị. Trong một số trường hợp, việc cài đặt các bản cập nhật này sẽ có ảnh hưởng đến hiệu suất. Chúng tôi cũng đã hành động để bảo mật các dịch vụ đám mây của mình. Chúng tôi khuyến nghị bạn nên triển khai các bản cập nhật này.

Để biết thêm thông tin về sự cố này, hãy xem Tư vấn Bảo mật sau và sử dụng hướng dẫn dựa trên kịch bản để xác định các hành động cần thiết nhằm giảm thiểu mối đe dọa:

• ADV190013 | Hướng dẫn của Microsoft để giảm thiểu các lỗ hổng Lấy mẫu dữ liệu Vi kiến trúc
• Hướng dẫn của Windows để bảo vệ khỏi các lỗ hổng thực hiện suy đoán phía kênh

Vào ngày 6 tháng 8 năm 2019, Intel đã công bố chi tiết về lỗ hổng tiết lộ thông tin nhân Windows. Lỗ hổng này là một biến thể của lỗ hổng thực hiện suy đoán Spectre, Biến thể 1 và đã được gán CVE-2019-1125.

Vào ngày 9 tháng 7 năm 2019, chúng tôi đã phát hành các bản cập nhật bảo mật cho hệ điều hành Windows để giúp giảm thiểu sự cố này. Xin lưu ý rằng chúng tôi đã trì hoãn việc ghi lại công khai biện pháp giảm thiểu này cho đến khi công bố công bố của ngành vào Thứ Ba, ngày 6 tháng 8 năm 2019.

Những khách hàng đã bật Windows Update và đã áp dụng các bản cập nhật bảo mật được phát hành vào ngày 9 tháng 7 năm 2019 sẽ được bảo vệ tự động. Không cần cấu hình thêm.

Để biết thêm thông tin về lỗ hổng này và các bản cập nhật hiện hành, hãy xem Hướng dẫn Cập nhật Bảo mật của Microsoft:

• CVE-2019-1125 | Lỗ hổng tiết lộ thông tin nhân Windows

Vào ngày 12 tháng 11 năm 2019, Intel đã xuất bản một tư vấn kỹ thuật xung quanh lỗ hổng Huỷ bỏ không đồng bộ giao dịch giao dịch của Intel® (Intel TSX) được gán CVE-2019-11135. Microsoft đã phát hành các bản cập nhật để giúp giảm thiểu lỗ hổng này và các tính năng bảo vệ HĐH được bật theo mặc định cho Windows Server 2019 nhưng bị tắt theo mặc định cho Windows Server 2016 và các phiên bản HĐH Windows Server cũ hơn.

Vào Tháng Sáu 14 2022, chúng tôi đã xuất bản ADV220002 | Hướng dẫn của Microsoft về các lỗ hổng dữ liệu cũ MMIO của bộ xử lý Intel và đã gán các CVE sau:

• CVE-2022-21123 | Đọc Dữ liệu Bộ đệm Chung (SBDR)
• CVE-2022-21125 | Lấy mẫu Dữ liệu Bộ đệm Chung (SBDS)
• CVE-2022-21127 | Cập nhật Lấy mẫu Dữ liệu Bộ đệm Ghi chú Đặc biệt (Cập nhật SRBDS)
• CVE-2022-21166 | Ghi một phần đăng ký thiết bị (DRPW)

Các hành động được đề xuất

Bạn nên thực hiện các hành động sau để giúp bảo vệ khỏi các lỗ hổng:

1. Áp dụng tất cả các bản cập nhật hệ điều hành Windows có sẵn, bao gồm các bản cập nhật bảo mật Windows hàng tháng.
2. Áp dụng bản cập nhật vi chương trình (vi mã) hiện hành do nhà sản xuất thiết bị cung cấp.
3. Đánh giá rủi ro với môi trường của bạn dựa trên thông tin được cung cấp trên Tư vấn Bảo mật của Microsoft: ADV180002, ADV180012, ADV190013 và ADV220002, ngoài thông tin được cung cấp trong bài viết cơ sở tri thức này.
4. Thực hiện hành động theo yêu cầu bằng cách sử dụng thông tin tư vấn và khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Vào ngày 12 tháng 7 năm 2022, chúng tôi đã phát hành CVE-2022-23825 | Nhầm lẫn Loại Nhánh CPU AMD mô tả rằng các biệt danh trong bộ dự đoán nhánh có thể khiến cho một số bộ xử lý AMD nhất định dự đoán sai loại nhánh. Sự cố này có thể dẫn đến việc tiết lộ thông tin.

Để giúp bảo vệ khỏi lỗ hổng này, chúng tôi khuyên bạn nên cài đặt các bản cập nhật Windows có ngày vào hoặc sau tháng 7 năm 2022, sau đó thực hiện hành động theo yêu cầu của CVE-2022-23825 và thông tin khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Để biết thêm thông tin, hãy xem bản tin bảo mật AMD-SB-1037 .

Vào ngày 8 tháng 8 năm 2023, chúng tôi đã phát hành CVE-2023-20569 | Trả về Bộ dự đoán địa chỉ (còn được gọi là Inception) mô tả một cuộc tấn công kênh bên suy đoán mới có thể dẫn đến việc thực hiện suy đoán tại địa chỉ do kẻ tấn công kiểm soát. Sự cố này ảnh hưởng đến một số bộ xử lý AMD nhất định và có khả năng dẫn đến việc tiết lộ thông tin.

Để giúp bảo vệ khỏi lỗ hổng này, chúng tôi khuyên bạn nên cài đặt các bản cập nhật Windows có ngày vào hoặc sau tháng 8 năm 2023, sau đó thực hiện hành động theo yêu cầu của CVE-2023-20569 và thông tin khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Để biết thêm thông tin, hãy xem bản tin bảo mật AMD-SB-7005 .

Vào ngày 9 tháng 4 năm 2024, chúng tôi đã phát hành CVE-2022-0001 | Intel Branch History Injection mô tả Branch History Injection (BHI), một dạng cụ thể của BTI nội chế độ. Lỗ hổng này xảy ra khi kẻ tấn công có thể thao túng lịch sử nhánh trước khi chuyển từ chế độ người dùng sang chế độ giám sát (hoặc từ VMX không phải root/khách sang chế độ root). Tác động này có thể khiến cho một bộ dự đoán nhánh gián tiếp chọn một mục dự đoán cụ thể cho một nhánh gián tiếp và một tiện ích tiết lộ tại mục tiêu được dự đoán sẽ thực hiện tạm thời. Điều này có thể xảy ra vì lịch sử nhánh liên quan có thể chứa các nhánh được thực hiện trong bối cảnh bảo mật trước đó và đặc biệt là các chế độ dự đoán khác.

Theo mặc định, tính năng bảo vệ từ người dùng đến hạt nhân cho CVE-2017-5715 bị vô hiệu hóa đối với CPU AMD. Khách hàng phải bật biện pháp giảm nhẹ để nhận được các biện pháp bảo vệ bổ sung cho CVE-2017-5715.  Để biết thêm thông tin, hãy xem Câu hỏi thường gặp #15 trong ADV180002.

Theo mặc định, tính năng bảo vệ từ người dùng đến hạt nhân đối với CVE-2017-5715 bị vô hiệu hóa đối với bộ xử lý AMD. Khách hàng phải bật biện pháp giảm nhẹ để nhận được các biện pháp bảo vệ bổ sung cho CVE-2017-5715.  Để biết thêm thông tin, hãy xem Câu hỏi thường gặp #15 trong ADV180002.

Để bật tính năng giảm thiểu CVE-2022-23825 trên bộ xử lý AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Để được bảo vệ đầy đủ, khách hàng cũng có thể cần phải tắt Hyper-Threading (còn được gọi là Đa luồng đồng thời (SMT)). Vui lòng xem KB4073757 để biết hướng dẫn về cách bảo vệ thiết bị Windows.

Để bật tính năng giảm thiểu CVE-2023-20569 trên bộ xử lý AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

Để bật tính năng giảm thiểu CVE-2022-0001 trên bộ xử lý Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Để biết giải thích chi tiết về đầu ra của tập lệnh PowerShell, hãy xem KB4074629 .

Để giúp tránh gây ảnh hưởng bất lợi đến thiết bị của khách hàng, các bản cập nhật bảo mật Windows đã được phát hành trong tháng 1 và tháng 2 năm 2018 đã không được cung cấp cho tất cả khách hàng. Để biết chi tiết, hãy xem KB407269 .

Mã vi mô được gửi thông qua một bản cập nhật vi chương trình. Tham khảo ý kiến OEM về phiên bản vi chương trình có bản cập nhật thích hợp cho máy tính của bạn.

Có nhiều biến số ảnh hưởng đến hiệu năng, từ phiên bản hệ thống đến khối lượng công việc đang chạy. Đối với một số hệ thống, hiệu ứng sẽ không đáng kể. Đối với những người khác, nó sẽ đáng kể.

Chúng tôi khuyên bạn nên đánh giá ảnh hưởng của hiệu suất lên hệ thống của bạn và thực hiện điều chỉnh nếu cần.

Ngoài hướng dẫn trong bài viết này liên quan đến máy ảo, bạn nên liên hệ với nhà cung cấp dịch vụ của mình để đảm bảo rằng các máy chủ đang chạy máy ảo của bạn được bảo vệ đầy đủ.

Đối với các máy ảo Windows Server đang chạy trong Azure, hãy xem Hướng dẫn để giảm thiểu các lỗ hổng thực hiện suy đoán phía kênh trong Azure. Để biết hướng dẫn về cách sử dụng Azure Update Management để giảm thiểu sự cố này trên máy ảo khách, hãy xem KB4077467.

Các bản cập nhật đã được phát hành cho hình ảnh bộ chứa Windows Server cho Windows Server 2016 và Windows 10, phiên bản 1709 bao gồm các biện pháp giảm nhẹ cho nhóm lỗ hổng này. Không yêu cầu cấu hình bổ sung.

Lưu ý Bạn vẫn phải đảm bảo rằng máy chủ mà trên đó các bộ chứa này đang chạy được đặt cấu hình để kích hoạt các biện pháp giảm nhẹ thích hợp.

Không, thứ tự cài đặt không quan trọng.

Có, bạn phải khởi động lại sau khi cập nhật chương trình cơ sở (vi mã) và sau khi cập nhật hệ thống.

Sau đây là chi tiết về khóa đăng ký:

FeatureSettingsOverride đại diện cho một bitmap ghi đè cài đặt mặc định và điều khiển những biện pháp giảm nhẹ nào sẽ bị tắt. Bit 0 kiểm soát giảm thiểu tương ứng với CVE-2017-5715. Bit 1 kiểm soát giảm thiểu tương ứng với CVE-2017-5754. Các bit được đặt thành 0 để bật giảm thiểu và thành 1 để tắt giảm nhẹ.

FeatureSettingsOverrideMask đại diện cho mặt nạ bitmap được sử dụng cùng với FeatureSettingsOverride. Trong tình huống này, chúng tôi sử dụng giá trị 3 (được biểu thị là 11 trong hệ thống số nhị phân hoặc cơ số 2) để chỉ ra hai bit đầu tiên tương ứng với các biện pháp giảm thiểu có sẵn. Khóa đăng ký này được đặt thành 3 để bật hoặc tắt các biện pháp giảm nhẹ.

MinVmVersionForCpuBasedMitigations dành cho máy chủ Hyper-V. Khóa đăng ký này xác định phiên bản máy ảo tối thiểu cần thiết để bạn sử dụng các chức năng của vi chương trình được cập nhật (CVE-2017-5715). Đặt tùy chọn này thành 1.0 để bao gồm tất cả các phiên bản máy ảo. Lưu ý rằng giá trị sổ đăng ký này sẽ bị bỏ qua (thông báo) trên máy chủ không phải Hyper-V. Để biết thêm chi tiết, hãy xem mục Bảo vệ máy ảo khách khỏi CVE-2017-5715 (tiêm mục tiêu nhánh).

Có, sẽ không có tác dụng phụ nào nếu các cài đặt sổ đăng ký này được áp dụng trước khi cài đặt các bản sửa lỗi liên quan đến Tháng Một 2018.

Xem mô tả chi tiết về đầu ra tập lệnh tại KB4074629: Hiểu đầu ra script PowerShell SpeculationControl .

Có, đối với các máy chủ Hyper-V Windows Server 2016 chưa có sẵn bản cập nhật vi chương trình, chúng tôi đã xuất bản hướng dẫn thay thế có thể giúp giảm thiểu các cuộc tấn công từ máy ảo đến máy ảo hoặc máy ảo đến máy chủ. Xem Các biện pháp bảo vệ thay thế cho Máy chủ Windows Server 2016 Hyper-V trước các lỗ hổng thực hiện suy đoán phía kênh .

Các bản cập nhật chỉ dành cho bảo mật không mang tính chất tích lũy. Tùy thuộc vào phiên bản hệ điều hành, bạn có thể cần cài đặt một vài bản cập nhật bảo mật để được bảo vệ đầy đủ. Nhìn chung, khách hàng sẽ cần cài đặt các bản cập nhật Tháng Một, Tháng Hai, Tháng Ba và Tháng Tư 2018. Các hệ thống có bộ xử lý AMD cần có bản cập nhật bổ sung như được minh họa trong bảng sau:

Chúng tôi khuyên bạn nên cài đặt các bản cập nhật dành riêng cho Bảo mật theo thứ tự phát hành.

Không. Bản cập nhật bảo mật KB4078130 là bản sửa lỗi cụ thể nhằm ngăn chặn các hành vi hệ thống không thể đoán trước, các vấn đề về hiệu suất và việc khởi động lại bất ngờ sau khi cài đặt microcode. Việc áp dụng các bản cập nhật bảo mật trên hệ điều hành máy khách Windows sẽ kích hoạt cả ba biện pháp giảm nhẹ. Trên các hệ điều hành Windows Server, bạn vẫn phải bật các biện pháp giảm nhẹ sau khi thực hiện kiểm tra thích hợp. Để biết thêm thông tin, hãy xem KB4072698.

Sự cố này đã được giải quyết trong KB4093118.

Vào tháng 2 năm 2018, Intel thông báo rằng họ đã hoàn thành xác thực và bắt đầu phát hành microcode cho các nền tảng CPU mới hơn. Microsoft đang cung cấp các bản cập nhật mã vi mô được Intel xác thực liên quan đến Spectre Biến thể 2 Spectre Variant 2 (CVE-2017-5715 | Tiêm mục tiêu nhánh).  KB4093836 liệt kê các bài viết cơ sở tri thức cụ thể theo phiên bản Windows. Mỗi bài viết KB cụ thể chứa các bản cập nhật mã vi mô Intel có sẵn theo CPU.

Vào ngày 11 tháng 1 năm 2018, Intel đã báo cáo sự cố trong microcode được phát hành gần đây nhằm giải quyết Spectre biến thể 2 (CVE-2017-5715 | Tiêm mục tiêu nhánh). Cụ thể, Intel lưu ý rằng mã vi này có thể gây ra "lần khởi động lại cao hơn dự kiến và hành vi hệ thống không thể đoán trước khác" và những tình huống này có thể gây ra "mất hoặc hỏng dữ liệu". Kinh nghiệm của chúng tôi cho thấy sự không ổn định của hệ thống có thể gây mất hoặc hỏng dữ liệu trong một số trường hợp. Vào ngày 22 tháng 1, Intel khuyến nghị khách hàng ngừng triển khai phiên bản microcode hiện tại trên các bộ xử lý bị ảnh hưởng trong khi Intel thực hiện thử nghiệm bổ sung trên giải pháp cập nhật. Chúng tôi hiểu rằng Intel đang tiếp tục điều tra tác động tiềm ẩn của phiên bản vi mã hiện tại. Chúng tôi khuyến khích khách hàng liên tục xem lại hướng dẫn của họ để đưa ra quyết định của họ.

Trong khi Intel kiểm tra, cập nhật và triển khai mã vi mô mới, chúng tôi đang cung cấp bản cập nhật ngoài băng tần (OOB), KB4078130, chỉ tắt đặc biệt giảm thiểu chống lại CVE-2017-5715. Trong thử nghiệm của chúng tôi, bản cập nhật này đã được phát hiện để ngăn chặn hành vi được mô tả. Để biết danh sách đầy đủ các thiết bị, hãy xem hướng dẫn sửa đổi vi mã từ Intel. Bản cập nhật này bao gồm Windows 7 Gói dịch vụ 1 (SP1), Windows 8.1 và tất cả các phiên bản Windows 10, cả máy khách và máy chủ. Nếu bạn đang chạy một thiết bị bị ảnh hưởng, bạn có thể áp dụng bản cập nhật này bằng cách tải xuống từ trang web Danh mục Microsoft Update. Việc áp dụng tải trọng này cụ thể chỉ tắt giảm thiểu chống lại CVE-2017-5715.

Tính đến thời điểm này, không có báo cáo nào đã biết cho thấy Spectre Biến thể 2 này (CVE-2017-5715 | Branch Target Injection) đã được sử dụng để tấn công khách hàng. Chúng tôi khuyên rằng, khi thích hợp, người dùng Windows bật lại biện pháp giảm thiểu đối với CVE-2017-5715 khi Intel báo cáo rằng hành vi hệ thống không dự đoán này đã được giải quyết cho thiết bị của bạn.

Vào tháng 2 năm 2018, Intel thông báo rằng họ đã hoàn thành xác thực và bắt đầu phát hành microcode cho các nền tảng CPU mới hơn. Microsoft đang cung cấp các bản cập nhật mã vi mô được Intel xác thực liên quan đến Spectre Biến thể 2 Spectre Biến thể 2 (CVE-2017-5715 | Tiêm mục tiêu nhánh). KB4093836 liệt kê các bài viết cơ sở tri thức cụ thể theo phiên bản Windows. KB liệt kê các bản cập nhật vi mã Intel có sẵn theo CPU.

Để biết thêm thông tin, hãy xem các Bản Cập nhật Bảo mật AMD và Tài liệu trắng AMD: Hướng dẫn kiến trúc xung quanh Kiểm soát Nhánh Gián tiếp. Các phần mềm này có sẵn từ kênh chương trình cơ sở OEM.

Chúng tôi đang cung cấp các bản cập nhật mã vi mô được Intel xác thực liên quan đến Spectre Biến thể 2 (CVE-2017-5715 | Tiêm mục tiêu nhánh). Để nhận được các bản cập nhật mã vi mô Intel mới nhất thông qua Windows Update, khách hàng phải cài đặt mã vi mô Intel trên thiết bị chạy hệ điều hành Windows 10 trước khi nâng cấp lên Bản cập nhật Windows 10 tháng 4 năm 2018 (phiên bản 1803).

Bản cập nhật vi mã cũng có sẵn trực tiếp từ Danh mục Microsoft Update nếu nó không được cài đặt trên thiết bị trước khi nâng cấp hệ thống. Mã vi mô Intel có sẵn thông qua Windows Update, Windows Server Update Services (WSUS) hoặc Danh mục Microsoft Update. Để biết thêm thông tin và tải xuống hướng dẫn, hãy xem KB4100347.

Để biết thêm thông tin, hãy xem các tài nguyên sau:

• ADV180012 | Hướng dẫn của Microsoft về Speculative Store Bypass cho CVE-2018-3639
• ADV180013 | Hướng dẫn của Microsoft về hệ thống lậu Đăng ký đọc CVE-2018-3640 và KB 4073065 | Hướng dẫn dành cho khách hàng Surface
• Blog Nghiên cứu và Quốc phòng Bảo mật của Microsoft
• Hướng dẫn dành cho Nhà phát triển về Speculative Store Bypass

Xem mục "Hành động được đề xuất" và "Câu hỏi thường gặp" của ADV180012 | Hướng dẫn của Microsoft về bỏ qua Cửa hàng Đầu cơ.

Để xác minh trạng thái của SSBD, tập lệnh PowerShell Get-SpeculationControlSettings đã được cập nhật để phát hiện các bộ xử lý bị ảnh hưởng, trạng thái của các bản cập nhật hệ điều hành SSBD và trạng thái của vi mã bộ xử lý, nếu có. Để biết thêm thông tin và để có được tập lệnh PowerShell, hãy xem KB4074629.

Vào ngày 13 tháng 6 năm 2018, một lỗ hổng bổ sung liên quan đến thực thi suy đoán kênh bên, được gọi là Lazy FP State Restore, đã được công bố và gán CVE-2018-3665 . Để biết thông tin về lỗ hổng này và các hành động được đề xuất, hãy xem ADV180016 tư vấn bảo mật | Hướng dẫn của Microsoft về Khôi phục Trạng thái FP lười biếng .

Lưu ý Không có cài đặt cấu hình (sổ đăng ký) bắt buộc nào cho Khôi phục Lười Khôi phục FP.

Bounds Check Bypass Store (BCBS) đã được tiết lộ vào ngày 10 tháng 7 năm 2018 và được gán CVE-2018-3693. Chúng tôi coi BCBS thuộc cùng loại lỗ hổng với Bounds Check Bypass (Biến thể 1). Chúng tôi hiện không biết về bất kỳ trường hợp BCBS nào trong phần mềm của chúng tôi. Tuy nhiên, chúng tôi vẫn tiếp tục nghiên cứu loại lỗ hổng này và sẽ làm việc với các đối tác trong ngành để phát hành các biện pháp giảm nhẹ khi có yêu cầu. Chúng tôi khuyến khích các nhà nghiên cứu gửi bất kỳ phát hiện nào có liên quan đến chương trình tiền thưởng cho Kênh Thực hiện Suy đoán của Microsoft, bao gồm bất kỳ trường hợp BCBS nào có thể khai thác. Các nhà phát triển phần mềm nên xem lại hướng dẫn dành cho nhà phát triển đã được cập nhật cho BCBS tại C++ Hướng dẫn dành cho nhà phát triển cho các kênh bên thực hiện suy đoán

Vào ngày 14 tháng 8 năm 2018, Lỗi đầu cuối L1 (L1TF) đã được thông báo và gán nhiều CVE. Những lỗ hổng thực hiện suy đoán mới này có thể được sử dụng để đọc nội dung của bộ nhớ qua ranh giới đáng tin cậy và nếu bị khai thác, có thể dẫn đến tiết lộ thông tin. Có nhiều vectơ mà kẻ tấn công có thể kích hoạt các lỗ hổng, tùy thuộc vào môi trường được cấu hình. L1TF ảnh hưởng đến bộ xử lý Intel® Core® và bộ xử lý Intel® Xeon®.

Để biết thêm thông tin về lỗ hổng này và chế độ xem chi tiết về các tình huống bị ảnh hưởng, bao gồm cách tiếp cận của Microsoft để giảm thiểu L1TF, hãy xem các tài nguyên sau:

• ADV180018 | Hướng dẫn của Microsoft để giảm thiểu biến thể L1TF
• Blog nghiên cứu bảo mật tư vấn bảo mật
• Hướng dẫn máy chủ cho lỗi thiết bị đầu cuối L1

Các bước để vô hiệu hóa Hyper-Threading khác nhau giữa các OEM nhưng thường là một phần của các công cụ cấu hình và thiết lập BIOS hoặc vi chương trình.

Những khách hàng sử dụng bộ xử lý ARM 64 bit nên liên hệ với OEM của thiết bị để được hỗ trợ vi chương trình, vì các biện pháp bảo vệ hệ điều hành ARM64 giảm thiểu CVE-2017-5715 | Tiêm mục tiêu nhánh (Spectre, Biến thể 2) yêu cầu bản cập nhật vi chương trình mới nhất từ OEM thiết bị để có hiệu lực.

Để biết thêm thông tin, hãy tham khảo các tư vấn bảo mật sau đây

• Tư vấn bảo mật của Intel
• ADV190013 | Hướng dẫn của Microsoft để giảm thiểu các lỗ hổng Lấy mẫu dữ liệu Vi kiến trúc

Bạn có thể tìm thấy hướng dẫn thêm trong hướng dẫn của Windows để bảo vệ khỏi các lỗ hổng thực hiện suy đoán phía kênh

Vui lòng tham khảo hướng dẫn trong hướng dẫn của Windows để bảo vệ khỏi các lỗ hổng thực hiện suy đoán phía kênh

Để biết hướng dẫn về Azure, vui lòng tham khảo bài viết này: Hướng dẫn giảm thiểu các lỗ hổng thực hiện suy đoán phía kênh trong Azure.

Để biết thêm thông tin về việc bật Retpoline, hãy tham khảo bài đăng blog của chúng tôi: Giảm thiểu Spectre biến thể 2 bằng Retpoline trên Windows .

Để biết chi tiết về lỗ hổng này, hãy xem Hướng dẫn Bảo mật của Microsoft: CVE-2019-1125 | Lỗ hổng tiết lộ thông tin nhân Windows.

Chúng tôi không biết về bất kỳ trường hợp nào của lỗ hổng tiết lộ thông tin này ảnh hưởng đến cơ sở hạ tầng dịch vụ đám mây của chúng tôi.

Ngay khi biết về sự cố này, chúng tôi đã nhanh chóng giải quyết sự cố và phát hành bản cập nhật. Chúng tôi tin tưởng mạnh mẽ vào quan hệ đối tác chặt chẽ với cả các nhà nghiên cứu và đối tác trong ngành để giúp khách hàng an toàn hơn và đã không công bố chi tiết cho đến thứ Ba, ngày 6 tháng 8, phù hợp với các biện pháp tiết lộ lỗ hổng được phối hợp.

Bạn có thể tìm thấy hướng dẫn thêm trong hướng dẫn của Windows để bảo vệ khỏi các lỗ hổng thực hiện suy đoán bên kênh.

Bạn có thể tìm thấy hướng dẫn thêm trong hướng dẫn của Windows để bảo vệ khỏi các lỗ hổng thực hiện suy đoán bên kênh.

Bạn có thể tìm thấy hướng dẫn thêm trong Hướng dẫn tắt chức năng Intel Transactional Synchronization Extensions (Intel TSX).

Các sản phẩm của bên thứ ba thảo luận trong bài viết này được sản xuất bởi những công ty độc lập với Microsoft. Chúng tôi không đưa ra sự đảm bảo, dù là ngụ ý hay theo một hình thức khác, về hiệu suất hoặc mức độ tin cậy của những sản phẩm này.

Chúng tôi cung cấp thông tin liên hệ của bên thứ ba để giúp bạn tìm kiếm hỗ trợ kỹ thuật. Thông tin liên hệ này có thể thay đổi mà không cần thông báo. Chúng tôi không đảm bảo tính chính xác của thông tin liên hệ của bên thứ ba này.