KB4073119: 適用於 IT 專業人員的 Windows 用戶端指導方針，可防範晶片型微結構和推測執行旁路弱點

2019 年 5 月 14 日，Intel 已發佈有關名為「微結構資料取樣」之理論式執行端通道弱點新子類別的資訊。 這些弱點會在下列 CVE 中解決:

• CVE-2019-11091 |微架構資料取樣不可快取記憶體 (MDSUM)
• CVE-2018-12126 | 微結構儲存緩衝區資料取樣 (MSBDS))
• CVE-2018-12127 |微架構填充緩衝區資料取樣 (MFBDS)
• CVE-2018-12130 |微架構載入埠資料取樣 (MLPDS的)

我們已經發行更新，可協助防範這些弱點。 若要取得所有可用的保護，則必須安裝韌體 (微碼) 和軟體更新。 這包括來自裝置 OEM 的微碼。 在某些情況下，安裝這些更新將會對效能造成影響。 我們也已採取行動，保護我們的雲端服務。 強烈建議您部署這些更新。

如需有關這個問題的詳細資訊，請參閱下列資訊安全諮詢，並運用案例指引，判斷防範威脅所需執行的動作：

• ADV190013 | 緩和微結構資料取樣弱點的 Microsoft 指引
• 防範理論式執行端通道弱點的 Windows 指引

Intel 已於 2019 年 8 月 6 日發行有關 Windows 核心資訊洩漏弱點的詳細資訊。 此漏洞是 Spectre 變體 1 推測執行側通道漏洞的變體，並被分配為 CVE-2019-1125。

2019 年 7 月 9 日，我們已為 Windows 作業系統發行安全性更新，以協助防範此問題。 請注意，我們直到 2019 年 8 月 6 日星期二業界協調的公佈時間，才公開記載這項緩和措施。

若客戶已啟用 Windows Update 並套用 2019 年 7 月 9 日發行的安全性更新，則會自動受到保護。 不需要進行進一步設定。

如需有關此弱點和適用更新的詳細資訊，請參閱 Microsoft 安全性更新導覽：

• CVE-2019-1125 |Windows 核心資訊揭露漏洞

2019 年 11 月 12 日，Intel 發布了關於 Intel TSX) 交易非同步中止漏洞的技術諮詢，該漏洞被指定為 CVE-2019-11135， (Intel TSX 。 我們已經發行更新，可協助防範此弱點。 根據預設，Windows 用戶端作業系統版本會啟用作業系統保護。

我們已在 2022 年 6 月 14 日發佈ADV220002 |有關 Intel 處理器 MMIO 過時資料弱點的 Microsoft 指引。 這些弱點會在下列 CVE 中指派:

• CVE-2022-21123 | 共用緩衝區資料讀取 (SBDR)
• CVE-2022-21125 | 共用緩衝區資料取樣 (SBDS)
• CVE-2022-21127 | 特殊登錄緩衝區資料取樣更新 (SRBDS 更新)
• CVE-2022-21166 | 裝置註冊部分寫入 (DRPW)

建議動作

您應採取下列動作，以協助防範這些弱點:

1. 套用所有可用的 Windows 作業系統更新，其中包括每月 Windows 安全性更新。
2. 套用裝置製造商所提供的適用韌體 (微碼) 更新。
3. 根據本篇文章所提供的資訊，請根據Microsoft安全警示 ADV180002、 ADV180012、 ADV190013及 ADV220002 所提供的資訊，評估對您環境的風險。
4. 運用諮詢和本文提供的登錄機碼資訊視需要採取動作。

2022 年 7 月 12 日，我們發布了 CVE-2022-23825 |AMD CPU 分支類型混淆 ，描述分支預測器中的別名可能導致某些 AMD 處理器預測錯誤的分支類型。 此問題可能會導致資訊洩漏。

為防範此漏洞，我們建議安裝 Windows 更新日期為 2022 年 7 月或之後，並依據 CVE-2022-23825 及本知識庫文章中提供的登錄檔金鑰資訊採取相應行動。

欲了解更多資訊，請參閱 AMD-SB-1037 安全公告。

2023 年 8 月 8 日，我們發布了 CVE-2023-20569 |AMD CPU 回傳位址預測器 (也稱為 Inception) ，描述一種新的推測性側通道攻擊，可能導致在攻擊者控制的位址上執行推測性執行。 此問題會影響特定 AMD 處理器，並可能導致資訊洩漏。

為防範此漏洞，我們建議安裝 Windows 更新日期為 2023 年 8 月或之後，並依據 CVE-2023-20569 及本知識庫文章中提供的登錄檔金鑰資訊採取相應行動。

欲了解更多資訊，請參閱 AMD-SB-7005 安全公告。

2024 年 4 月 9 日，我們發布了 CVE-2022-0001 |Intel 分支歷史注入 ，描述了分支歷史注入 (BHI) ，這是一種特定形式的模式內 BTI 形式。 當攻擊者可能會在從使用者轉換到主管模式 (或從 VMX 非根/來賓轉換為根模式) 之前，先操作分支歷程記錄時，就會發生此弱點。 此操作可能會導致間接分支預測器為間接分支選取特定的預測器項目，而預測目標的揭露小工具將暫時執行。 這可能是因為相關的分支歷程記錄可能包含先前安全性內容中所採用的分支，尤其是其他預測器模式。

預設情況下，AMD 與 ARM CPU 的 CVE-2017-5715 使用者對核心保護被停用。 您必須啟用緩解措施，才能獲得 CVE-2017-5715 的額外保護。 欲了解更多資訊，請參閱 ADV180002 年中關於 AMD 處理器的常見問題 #15 以及 ADV180002 年中關於 ARM 處理器的常見問題 #20。

預設情況下，AMD 處理器的 CVE-2017-5715 使用者對核心保護是被停用的。 客戶必須啟用緩解措施，才能獲得 CVE-2017-5715 的額外保護。  如需詳細資訊，請參閱 ADV180002 中＜常見問題集＞的問題 15。

為了啟用 AMD 處理器上的 CVE-2022-23825 緩解措施:**

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

若要受到完整保護，客戶可能也需要停用超執行緒 (也稱為同步多執行緒 (SMT))。 請參閱 KB4073757 以獲取保護 Windows 裝置的指引。

若要在 AMD 處理器上啟用 CVE-2023-20569 風險降低：

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

若要在 Intel 處理器上啟用 CVE-2022-0001 風險降低:

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

關於 PowerShell 腳本輸出的詳細說明，請參見 KB4074629。

微碼是透過韌體更新提供。 你應該向你的 CPU (晶片組) 及裝置製造商查詢，了解他們特定裝置（包括 Intel 微碼修訂指引）是否有適用的韌體安全更新。

透過軟體更新解決硬體弱點會帶來許多挑戰。 此外，適用於舊版作業系統的緩和措施也需要進行大規模的架構變更。 我們會與受影響的晶片製造商合作，決定未來以更新形式提供緩和措施的最佳方式。

Microsoft Surface 裝置的更新將會與 Windows 作業系統的更新，一起透過 Windows Update 提供給客戶。 有關可用的 Surface 裝置韌體 (微碼) 更新清單，請參見 KB4073065。

如果您的裝置並非 Microsoft 所出產，請套用裝置製造商提供的韌體。 如需詳細資訊，請與 OEM 裝置製造商連絡。

Microsoft 已於 2018 年 2 月和 3 月，針對部分 x86 型系統發行額外保護。 欲了解更多資訊，請參閱 KB4073757 及 Microsoft安全諮詢ADV180002。

HoloLens 客戶可以透過 Windows Update 取得適用於 Windows 10 HoloLens 的更新。

套用 2018 年 2 月 Windows 安全性更新之後，HoloLens 客戶不必採取任何其他動作來更新他們的裝置韌體。 這些緩和措施也會隨附於 Windows 10 HoloLens 未來的所有版本。

否。 僅限安全性更新不是累積更新。 視您執行的作業系統版本而定，您必須安裝所有每月僅限安全性更新，才能防範這些弱點。 例如，如果您在受影響的 Intel CPU 上執行適用於 32 位元系統的 Windows 7，則必須安裝所有僅限安全性更新。 建議您依發行順序安裝這些僅限安全性更新。

註解 本常見問題的早期版本錯誤地表示二月的僅安全更新包含一月釋出的安全修補。 其實並非如此。

否。 安全性更新 4078130 是特定的修正程式，用來防範安裝微碼後出現無法預測的系統行為、效能問題及/或未預期的重新開機。 在 Windows 用戶端作業系統上套用 2 月安全性更新，可啟用全部三個緩和措施。

Intel 最近宣布，他們已經完成驗證，並開始為新版 CPU 平台發行微碼。 Microsoft 會推出經過 Intel 驗證、與 Spectre Variant 2 (CVE-2017-5715「分支目標導入」) 有關的微碼更新。 KB4093836 依 Windows 版本列出特定知識庫文章。 每個特定 KB 都包含依 CPU 排列、可用的 Intel 微碼更新。

這個問題在 KB4093118年解決了。

AMD 最近宣布 ，他們已開始針對 Spectre 變體 2 (CVE-2017-5715「分支目標注入」) 釋出針對較新 CPU 平台的微碼。 更多資訊請參閱 AMD 安全匯報及 AMD 白皮書：關於間接分支控制的架構指引。 這些可從 OEM 韌體管道取得。

我們會推出經過 Intel 驗證、與 Spectre Variant 2 (CVE-2017-5715「分支目標導入」) 有關的微碼更新。 若要透過 Windows Update 取得最新的 Intel 微碼更新，執行 Windows 10 作業系統的裝置在升級為 Windows 10 2018 年 4 月更新 (版本 1803) 之前，必須先安裝 Intel 微碼。

此外，升級作業系統之前，也可以從 Catalog 直接取得微碼更新 (若未安裝)。 Intel 微碼會透過 Windows Update、WSUS 或 Microsoft Update Catalog 提供使用。 欲了解更多資訊及下載說明，請參閱 KB4100347。

如需詳細資訊，請參閱下列資源：

• CVE-2018-3639：ADV180012 | 適用於理論式儲存略過的 Microsoft 指引
• ADV180013 |Microsoft 針對 CVE-2018-3640 及 KB4073065 的盜用系統登錄指引
• Microsoft 安全性研究和防禦部落格 (英文)
• 適用於理論式儲存略過的開發人員指引 (機器翻譯)

如需詳細資訊，請參閱 ADV180012 | 適用於理論式儲存略過的 Microsoft 指引中的＜建議動作＞和＜常見問題集＞章節。

若要確認 SSBD 的狀態，Get-SpeculationControlSettings PowerShell 指令碼已經過更新，可偵測受影響的處理器、SSBD 作業系統更新的狀態，以及處理器微碼的狀態 (若適用)。 如需詳細資訊，並且若要取得 PowerShell 指令碼，請參閱 KB4074629。

2018 年 6 月 13 日，另一個涉及側信道推測執行的漏洞，稱為 Lazy FP State Restore，被宣布並分配為 CVE-2018-3665。 消極式還原 FP 還原不需要設定 (登錄) 設定。

如需有關這個弱點和建議動作的詳細資訊，請參閱資訊安全諮詢 ADV180016 | 適用於消極式 FP 狀態還原的 Microsoft 指引。

「範圍檢查略過存放區」(Bounds Check Bypass Store，BCBS) 已於 2018 年 7 月 10 日揭露，並指派為 CVE-2018-3693。 我們認為 BCBS 與範圍檢查略過 (Variant 1) 屬於同一類型的弱點。 目前我們的軟體中尚未發現 BCBS 實例，但我們會繼續研究這一弱點類型並與業界合作夥伴合作，根據需要發行緩和措施。 我們會繼續鼓勵研究人員向 Microsoft 理論式執行端通道獎金計劃 (英文) 提交任何相關發現，包括任何可利用進行攻擊的 BCBS 實例。 軟體開發者應檢視 https://aka.ms/sescdevguide 年更新的BCBS開發者指引。

2018 年 8 月 14 日， L1 終端故障 (L1TF) 被宣布並分配了多個 CVE。 這些新的理論式執行端通道弱點可能會用來讀取受信任邊界間的記憶體內容，並且若遭到利用，可能導致資訊洩漏。 攻擊者可能會透過多個媒介來觸發弱點，視設定的環境而定。 L1TF 會影響 Intel® Core® 處理器和 Intel® Xeon® 處理器。

如需有關此弱點的詳細資訊，以及受影響案例的詳細概觀，包括 Microsoft 防範 L1TF 的方法，請參閱下列資源：

• ADV180018 | 緩和 L1TF 變種的 Microsoft 指引
• 資訊安全諮詢的安全性研究部落格 (英文)
• L1 終端故障伺服器指引

使用 64 位元 ARM 處理器的客戶應向裝置原廠確認韌體支援，因為 ARM64 作業系統的保護措施會緩解 CVE-2017-5715 |分支目標注入 (Spectre，變體 2) 需要裝置 OEM 提供的最新韌體更新才能生效。

如需詳細資訊，請參閱下列資訊安全諮詢：

• Intel 的資訊安全諮詢
• ADV190013 | 緩和微結構資料取樣弱點的 Microsoft 指引

如需詳細資訊，請參閱下列資訊安全諮詢：

• Intel 的資訊安全諮詢
• ADV190013 | 緩和微結構資料取樣弱點的 Microsoft 指引

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

請參閱防範理論式執行端通道弱點的 Windows 指引

關於 Azure 的指引，請參考這篇文章：針對緩解 Azure 中推測執行側通道漏洞的指引。

如需有關 Retpoline 啟用的詳細資訊，請參閱我們的部落格文章：在 Windows 運用 Retpoline 以防範 Spectre variant 2 (英文)。

關於此漏洞的詳細資訊，請參閱 Microsoft 安全指南： CVE-2019-1125 |Windows 核心資訊揭露漏洞。

我們尚未發現這個影響我們雲端服務基礎結構的資訊洩漏弱點的情況。

我們一發現這個問題，即迅速地努力解決問題並發行更新。 我們堅信與研究人員和業界合作夥伴的密切關係可讓客戶更加安全，並且依照一貫的協調弱點洩漏作法，直到 8 月 6 日星期二才發佈詳細資料。

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

如需進一步指引，請參閱禁用英特爾®事務同步擴展（英特爾® TSX）功能的指引。

我們提供協力廠商的連絡資訊，協助您尋找技術支援。 此連絡資訊如有變更，恕不另行通知。 我們不保證此協力廠商連絡資訊的正確性。