KB4072698：Windows Server 和 Azure Stack HCI指南，以防止基于芯片的微架构和推理执行侧信道漏洞

本文解决了以下推测执行漏洞：

• CVE-2017-5715 |分支目标注入
• CVE-2017-5753 |边界检查绕过
• CVE-2017-5754 |流氓数据缓存加载
• CVE-2018-3639 |推理存储旁路

Windows 更新还将提供 Internet Explorer 和 Edge 缓解措施。 我们会继续改进这些针对此类漏洞的缓解措施。

若要了解有关此类漏洞的更多信息，请参阅

• ADV180002 | 用于缓解推理执行侧信道漏洞的指南
• ADV180012 | Microsoft 推理存储绕过指南

2019 年 5 月 14 日，Intel 发布了有关推理执行侧通道漏洞（称为微体系结构数据采样）的新子类的信息，并记录在 ADV190013 |微体系结构数据采样。 它们已被分配以下 CVE：

• CVE-2019-11091 |微体系结构数据采样不可缓存内存 (MDSUM)
• CVE-2018-12126 | 微架构存储缓冲区数据采样 (MSBDS)
• CVE-2018-12127 |微体系结构填充缓冲区数据采样 (MFBDS)
• CVE-2018-12130 |微体系结构加载端口数据采样 (MLPDS)

Microsoft 已发布多项更新来帮助缓解此类漏洞。 若要获取所有可用保护，需要进行固件（微码）和软件更新。 这可能包括来自设备 OEM 的微码。 在某些情况下，安装这些更新会对系统性能产生影响。 我们也采取了行动来保护云服务。 我们强烈建议部署这些更新。

有关此问题的更多信息，请参阅以下安全通报，并使用基于场景的指南来确定缓解威胁所需的操作：

• ADV190013 | Microsoft 缓解微架构数据采样漏洞的指南
• 防御推理执行侧信道漏洞的 Windows 指导

2019 年 8 月 6 日，Intel 发布了有关 Windows 内核信息泄漏漏洞的详细信息。 此漏洞是 Spectre 变体 1 推理执行侧通道漏洞的变体，已分配 CVE-2019-1125。

2019 年 7 月 9 日，我们发布了 Windows 操作系统的安全更新，以帮助缓解此问题。 请注意，在 2019 年 8 月 6 日星期二协调行业披露之前，我们一直拒绝公开记录这种缓解措施。

已启用 Windows 更新并应用了 2019 年 7 月 9 日发布的安全更新的客户将自动受到保护。 无需进一步配置。

有关此漏洞和适用更新的更多信息，请参阅 Microsoft 安全更新指南：

• CVE-2019-1125 |Windows 内核信息泄露漏洞

2019 年 11 月 12 日，Intel 发布了有关 Intel® 事务同步扩展 (Intel TSX) 事务异步中止漏洞的技术公告，该漏洞分配有 CVE-2019-11135。 Microsoft 已发布更新以帮助缓解此漏洞，并且默认情况下为 Windows Server 2019 启用 OS 保护，但 Windows Server 2016 及更早版本的 Windows Server OS 版本默认禁用 OS 保护。

2022 年 6 月 14 日，我们发布了 ADV220002 |Microsoft Intel 处理器 MMIO 过时数据漏洞指南 ，并分配了以下 CVE：

• CVE-2022-21123 |共享缓冲区数据读取 (SBDR)
• CVE-2022-21125 |共享缓冲区数据采样 (SBDS)
• CVE-2022-21127 |特殊寄存器缓冲区数据采样更新 (SRBDS 更新)
• CVE-2022-21166 |设备寄存器部分写入 (DRPW)

建议的操作

应采取以下措施以帮助防御这些漏洞：

1. 应用所有可用的 Windows 操作系统更新，包括 月度 Windows 安全更新。
2. 应用设备制造商提供的适用固件（微码）更新。
3. 根据Microsoft安全公告中提供的信息评估环境风险：ADV180002、ADV180012、ADV190013和ADV220002，以及本知识库文章中提供的信息。
4. 使用本知识库文章中提供的公告和 注册表项信息，根据需要执行操作。

2022 年 7 月 12 日，我们发布了 CVE-2022-23825 |AMD CPU 分支类型混淆 ，它描述分支预测器中的别名可能会导致某些 AMD 处理器预测错误的分支类型。 此问题可能会导致信息泄漏。

为了帮助防范此漏洞，我们建议安装日期为 2022 年 7 月或之后的 Windows 更新，然后按照 CVE-2022-23825 的要求执行操作，以及此知识库文章中提供的注册表项信息。

有关详细信息，请参阅 AMD-SB-1037 安全公告。

2023 年 8 月 8 日，我们发布了 CVE-2023-20569 |返回地址预测器 (也称为“初始) ，它描述了一种新的推理侧通道攻击，该攻击可能导致在攻击者控制的地址执行推理。 此问题会影响某些 AMD 处理器，并可能导致信息泄漏。

为了帮助防范此漏洞，我们建议安装日期为 2023 年 8 月或之后的 Windows 更新，然后按照 CVE-2023-20569 的要求执行操作，以及此知识库文章中提供的注册表项信息。

有关详细信息，请参阅 AMD-SB-7005 安全公告。

2024 年 4 月 9 日，我们发布了 CVE-2022-0001 |Intel Branch History Injection 描述分支历史记录注入 (BHI) 这是一种特定形式的内模式 BTI。 当攻击者在从用户模式转换为监督模式（或从 VMX 非根/来宾模式转换为根模式）之前，可能操纵分支历史记录时，会出现此漏洞。 此操作可能导致间接分支预测器为间接分支选择特定的预测器条目，并且预测目标处的泄漏小工具会暂时执行。 这可能是因为相关的分支历史记录可能包含在以前的安全上下文中创建的分支，尤其是其他预测器模式下。

默认情况下，为 AMD CPU 禁用针对 CVE-2017-5715 的用户到内核保护。 客户必须启用缓解措施才能获得针对 CVE-2017-5715 的额外保护。  有关更多信息，请参阅 ADV180002 中的常见问题解答 #15。

默认情况下，为 AMD 处理器禁用针对 CVE-2017-5715 的用户到内核保护。 客户必须启用缓解措施才能获得针对 CVE-2017-5715 的额外保护。  有关更多信息，请参阅 ADV180002 中的常见问题解答 #15。

若要在 AMD 处理器上启用 CVE-2022-23825 的缓解措施，

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

要获得完全保护，客户可能还需要禁用超线程（也称为同时多线程(SMT)）。 有关保护 Windows 设备的指南 ，请参阅KB4073757 。

若要在 AMD 处理器上启用 CVE-2023-20569 的缓解措施，

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

若要在 Intel 处理器上启用 CVE-2022-0001 的缓解措施，

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

有关 PowerShell 脚本输出的详细说明，请参阅 KB4074629 。

为了帮助避免对客户设备产生负面影响，2018 年 1 月和 2 月发布的 Windows 安全更新尚未提供给所有客户。 有关详细信息，请参阅 KB407269 。

微码是通过固件更新提供的。 有关具有你的计算机相应更新的固件版本，请咨询你的 OEM。

存在多种影响性能的可变因素，包括系统版本、正在运行的工作负载等。 对于某些系统，性能影响可以忽略不计。 对于其他系统，影响可能相当明显。

建议你评估系统的性能影响，并根据需要进行调整。

除了本文针对虚拟机的指导以外，还应联系你的服务提供商，以确保正在运行你的虚拟机的主机已得到充分保护。

有关在 Azure 中运行的 Windows Server 虚拟机，请参阅有关缓解 Azure 中的推理执行侧通道漏洞的指南。 有关使用Azure更新管理在来宾 VM 上缓解此问题的指导，请参阅 KB4077467。

针对 Windows Server 2016 和 Windows 10 版本 1709 的 Windows Server 容器映像发布的更新包含针对这组漏洞的缓解措施。 不需要执行任何其他操作。

注意 仍然必须确保运行这些容器的主机配置为启用适当的缓解措施。

否，安装顺序并不重要。

是的，必须在固件（微代码）更新后重启，然后在系统更新后再次重启。

下面是有关注册表项的详细信息：

FeatureSettingsOverride 表示覆盖默认设置并控制哪些缓解措施将被禁用的位图。 位 0 控制对应于 CVE-2017-5715 的缓解措施。 位 1 控制对应于 CVE-2017-5754 的缓解措施。 位设置为 0 以启用缓解措施，将位设置为 1 以禁用缓解措施。

FeatureSettingsOverrideMask 表示与 FeatureSettingsOverride 一起使用的位图蒙板。 在这种情况下，我们使用值 3 （在二进制数值或 base-2 数值系统中表示为 11）以指示与可用缓解措施对应的前两位。 若要启用和禁用缓解措施，将此注册表项设置为 3。

MinVmVersionForCpuBasedMitigations 适用于 Hyper-V 主机。 此注册表项定义使用更新的固件功能 (CVE-2017-5715) 所需的最低 VM 版本。 将其设置为 1.0 来涵盖所有 VM 版本。 请注意，在非 Hyper-V 主机上，此注册表值将被忽略（良性）。 有关详细信息，请参阅 保护来宾虚拟机免受 CVE-2017-5715 (分支目标注入) 。

是的，如果在安装 2018 年 1 月相关修补程序之前应用这些注册表设置，则不会有副作用。

有关脚本输出的详细说明，请参阅 KB4074629：了解 SpeculationControl PowerShell 脚本输出 。

是，对于尚无可用固件更新的 Windows Server 2016 Hyper-V 主机，我们已经发布了可帮助缓解从 VM 到 VM 或从 VM 到主机攻击的备用指导。 请参阅适用于 Windows Server 2016 Hyper-V 主机的针对推理执行侧信道漏洞的替代保护。

仅安全更新不是累积更新。 根据操作系统版本，你可能需要安装多个安全更新才能获得全面保护。 通常，客户需要安装 2018 年 1 月、2 月、3 月和 4 月的更新。 具有 AMD 处理器的系统需要额外的更新，如下表所示：

建议按照发布顺序安装这些仅安全更新。

不。 安全更新 KB4078130 是一种特定修补程序，用于防止安装微代码后出现不可预知的系统行为、性能问题和意外重启。 在 Windows 客户端操作系统上应用安全更新可启用所有三种缓解措施。 在 Windows Server 操作系统上，执行适当的测试后仍必须启用缓解措施。 有关详细信息，请参阅 KB4072698。

此问题已在 KB4093118 中得到解决。

2018 年 2 月，Intel 宣布 他们已完成验证，并开始为较新的 CPU 平台发布微代码。 Microsoft提供 Intel 验证的微代码更新，这些更新涉及 Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 |分支目标注入) 。  KB4093836按 Windows 版本列出特定知识库文章。 每个特定的 KB 文章均包含 CPU 可用的 Intel 微码更新。

2018 年 1 月 11 日，Intel 报告了最近发布的微代码中的问题，该 微 代码旨在解决 Spectre 变体 2 (CVE-2017-5715 |分支目标注入) 。 具体来说，Intel 指出，此微代码可能导致“重启率高于预期和其他不可预测的系统行为”，这些情况可能会导致“数据丢失或损坏”。 我们的经验是，在某些情况下，系统不稳定可能会导致数据丢失或损坏。 1 月 22 日，在 Intel 对更新的解决方案执行额外测试时，Intel 建议客户在受影响的处理器上停止部署当前微码版本。 我们了解 Intel 正在继续研究当前微码版本的潜在影响。 我们鼓励客户不断地查看他们的指导，以便为他们的决策提供信息。

在 Intel 测试、更新和部署新的微代码时，我们提供了带外 (OOB) 更新 （KB4078130），它专门禁用针对 CVE-2017-5715 的缓解措施。 在我们的测试中，发现此更新可防止上述行为。 有关设备的完整列表，请参阅 Intel 提供的 微代码修订指南 。 此更新适用于客户端和服务器的 Windows 7 Service Pack 1 (SP1)、Windows 8.1 和所有版本的 Windows 10。 如果运行的是受影响的设备，可以通过从 Microsoft更新目录网站下载来应用此更新。 应用此有效负载可专门仅禁用针对 CVE-2017-5715 的缓解措施。

截至目前，没有已知报告指示此 Spectre Variant 2 (CVE-2017-5715 |分支目标注入) 已用于攻击客户。 当 Intel 报告已为你的设备解决此意外系统行为时，我们建议 Windows 用户在适当情况下重新启用针对 CVE-2017-5715 的缓解措施。

2018 年 2 月，Intel 宣布 已完成验证，并开始为较新的 CPU 平台发布微代码。 Microsoft提供与 Spectre Variant 2 Spectre Variant 2 (CVE-2017-5715 相关的 Intel 验证微代码更新 |分支目标注入) 。 KB4093836按 Windows 版本列出特定知识库文章。 KB 列出了 CPU 可用的 Intel 微码更新。

有关详细信息，请参阅 AMD 安全汇报和 AMD 白皮书：有关间接分支控制的体系结构准则。 这些内容可从 OEM 固件频道获得。

我们正在提供 Intel 验证的微代码更新，这些更新涉及 Spectre Variant 2 (CVE-2017-5715 |分支目标注入) 。 要通过 Windows 更新获取最新的 Intel 微码更新，客户必须在升级到 Windows 10 的 2018 年 4 月更新（版本 1803）之前，在运行 Windows 10 操作系统的设备上安装 Intel 微码。

如果微码更新在升级系统之前未安装在设备上，也可以直接从 Microsoft 更新目录获取。 Intel 微码可通过 Windows 更新、Windows Server Update Services (WSUS)或 Microsoft 更新目录获取。 有关详细信息和下载说明，请参阅 KB4100347。

有关详细信息，请参阅以下资源：

• ADV180012 |CVE-2018-3639 的推理存储旁路Microsoft指南
• ADV180013 | Microsoft 恶意系统注册读取指南（针对 CVE-2018-3640）和 KB 4073065 | Surface 客户指南
• Microsoft 安全研究与防卫博客
• 推理存储绕过开发人员指南

请参阅ADV180012的“建议的操作”和“常见问题解答”部分 |Microsoft推理商店旁路指南。

为了验证 SSBD 的状态， Get-SpeculationControlSettings PowerShell 脚本已更新，以检测受影响的处理器、SSBD 操作系统更新的状态以及处理器微代码的状态（如果适用）。 若要获取详细信息和 PowerShell 脚本，请参阅 KB4074629。

2018 年 6 月 13 日，宣布了一个涉及侧通道推理执行的其他漏洞，称为 延迟 FP 状态还原，并分配了 CVE-2018-3665 。 有关此漏洞和建议的操作的信息，请参阅安全公告 ADV180016 |延迟 FP 状态还原的Microsoft指南 。

注意 Lazy 还原 FP 还原不需要任何配置（注册表）设置。

边界检查绕过存储 (BCBS) 于 2018 年 7 月 10 日披露，并分配了 CVE-2018-3693。 我们认为 BCBS 与边界检查绕过（变体 1）属于同一类漏洞。 我们目前尚未发现我们的软件中存在任何 BCBS 实例。 但是，我们将继续研究此漏洞类，并将与行业合作伙伴合作，以根据需要发布缓解措施。 我们鼓励研究人员向Microsoft 投机执行侧通道赏金计划提交任何相关发现，包括任何可利用的 BCBS 实例。 软件开发人员应在推理执行侧通道的 C++ 开发人员指南中查看针对 BCBS 更新的开发人员指南

2018 年 8 月 14 日， L1 终端故障 (L1TF) 被宣布并分配了多个 CVE。 这些新的推理执行侧信道漏洞可用于读取跨越受信任边界的内存内容，如果被利用，可能会导致信息泄漏。 攻击者可以利用多个途径根据配置的环境触发漏洞。 L1TF 会影响 Intel® Core® 处理器和 Intel® Xeon® 处理器。

有关此漏洞的更多信息以及受影响方案的详细视图（包括 Microsoft 缓解 L1TF 的方法），请参阅以下资源：

• ADV180018 | Microsoft 缓解 L1TF 变体指南
• 安全通报安全研究博客
• L1 终端故障的服务器指南

禁用超线程的步骤因 OEM 不同而异，但通常都是 BIOS 或固件设置和配置工具的一部分。

使用 64 位 ARM 处理器的客户应联系设备 OEM 以获取固件支持，因为 ARM64 操作系统保护可缓解 CVE-2017-5715 |分支目标注入 (Spectre，变体 2) 要求设备 OEM 的最新固件更新生效。

有关更多信息，请参阅以下安全通报

• Intel 安全通报
• ADV190013 | Microsoft 缓解微架构数据采样漏洞的指南

有关进一步指导，请参阅防御推理执行侧信道漏洞的 Windows 指导

有关指导，请参阅防御推理执行侧信道漏洞的 Windows 指导

有关Azure指南，请参阅以下文章：缓解Azure中的推理执行侧通道漏洞的指南。

有关 Retpoline 启用的详细信息，请参阅我们的博客文章： 在 Windows 上使用 Retpoline 缓解 Spectre 变体 2 。

有关此漏洞的详细信息，请参阅Microsoft安全指南： CVE-2019-1125 |Windows 内核信息泄露漏洞。

我们未发现影响云服务基础设施的此信息泄漏漏洞的任何实例。

我们一经发现此问题，就会迅速进行解决并发布更新。 我们坚信与研究人员和行业合作伙伴建立密切的合作伙伴关系，以使客户更加安全，并且在 8 月 6 日星期二之前不发布详细信息，与协调漏洞披露做法一致。

有关进一步指导，请参阅防御推理执行侧信道漏洞的 Windows 指导。

有关进一步指导，请参阅防御推理执行侧信道漏洞的 Windows 指导。

更多指南，请参阅 有关禁用 Intel 事务同步扩展(Intel TSX)功能的指南。

本文中提到的第三方产品由 Microsoft 以外的其他公司提供。 对于这些产品的性能或可靠性，我们不作任何暗示保证或其他形式的保证

我们提供了第三方联系信息，以便你寻求技术支持。 该联系信息如有更改，恕不另行通知。 我们不保证此第三方联系信息的准确性。