KB4072698: Windows Server 和 Azure Stack HCI 保護晶片型微結構和推測性執行側邊通道弱點的指引

本文探討下列推測執行弱點:

• CVE-2017-5715 |分支目標導入
• CVE-2017-5753 |範圍檢查旁路
• CVE-2017-5754 |惡意攻擊資料快取載入
• CVE-2018-3639 |推測儲存旁路

Windows Update 也將提供 Internet Explorer 和 Edge 緩和措施。 我們會持續改善這些緩和措施，以防範這個弱點等級。

若要深入了解這個弱點等級，請參閱

• ADV180002 | 緩和理論式執行端通道弱點的指引
• ADV180012 | 適用於理論式儲存略過的 Microsoft 指引

2019 年 5 月 14 日，Intel 已發佈有關名為「微結構資料取樣」之理論式執行端通道弱點新子類別的資訊，並記錄在 ADV190013 |微結構資料取樣。 這些弱點已指派為下列 CVE：

• CVE-2019-11091 |微結構資料取樣不可快取記憶體 (MDSUM)
• CVE-2018-12126 | 微結構儲存緩衝區資料取樣 (MSBDS))
• CVE-2018-12127 |MFBDS) (微結構填滿緩衝區資料取樣
• CVE-2018-12130 |微結構負載連接埠資料取樣 (MLPDS)

Microsoft 已經發行更新，可協助防範這些弱點。 若要取得所有可用的保護，則必須安裝韌體 (微碼) 和軟體更新。 這包括來自裝置 OEM 的微碼。 在某些情況下，安裝這些更新將會對效能造成影響。 我們也已採取行動，保護我們的雲端服務。 強烈建議您部署這些更新。

如需有關這個問題的詳細資訊，請參閱下列資訊安全諮詢，並運用案例指引，判斷防範威脅所需執行的動作：

• ADV190013 | 緩和微結構資料取樣弱點的 Microsoft 指引
• 防範理論式執行端通道弱點的 Windows 指引

Intel 已於 2019 年 8 月 6 日發行有關 Windows 核心資訊洩漏弱點的詳細資訊。 這個弱點是 Spectre， Variant 1 理論式執行端通道弱點的變種，並且已指派為 CVE-2019-1125。

2019 年 7 月 9 日，我們已為 Windows 作業系統發行安全性更新，以協助防範此問題。 請注意，我們直到 2019 年 8 月 6 日星期二業界協調的公佈時間，才公開記載這項緩和措施。

若客戶已啟用 Windows Update 並套用 2019 年 7 月 9 日發行的安全性更新，則會自動受到保護。 不需要進行進一步設定。

如需有關此弱點和適用更新的詳細資訊，請參閱 Microsoft 安全性更新導覽：

• CVE-2019-1125 |Windows 核心資訊洩漏弱點

於 2019 年 11 月 12 日，英特爾發佈了有關英特爾®事務同步擴 (英特爾 TSX) 交易非同步中止弱點的技術公告，該弱點被分配為 CVE-2019-11135。 Microsoft 已發佈更新，以協助防範此弱點，且 WINDOWS Server 2019 預設會啟用作業系統保護，但根據預設，Windows Server 2016 及較舊版的 Windows Server OS 版本會停用。

我們已在 2022 年 6 月 14 日發佈 ADV220002 |Intel 處理器 MMIO 過時資料弱點的 Microsoft 指引 ，並指派了這些 CVE：

• CVE-2022-21123 |共用緩衝區資料讀取 (SBDR)
• CVE-2022-21125 |共用緩衝區資料取樣 (SBDS)
• CVE-2022-21127 |特殊登錄緩衝區資料取樣更新 (SRBDS 更新)
• CVE-2022-21166 |裝置登錄部分寫入 (DRPW)

建議動作

您應採取下列動作，以協助防範弱點:

1. 套用所有可用的 Windows 作業系統更新，其中包括每月 Windows 安全性更新。
2. 套用裝置製造商所提供的適用韌體 (微碼) 更新。
3. 除了本知識庫文章中提供的資訊外，還根據Microsoft資訊安全諮詢：ADV180002、ADV180012、ADV190013 和 ADV220002 上提供的資訊評估環境風險。
4. 運用資訊安全諮詢，和這篇知識庫文章提供的登錄機碼資訊採取必要動作。

我們已於 2022 年 7 月 12 日發佈 CVE-2022-23825 |AMD CPU 分支類型混淆 ，描述分支預測器中的別名可能會導致某些 AMD 處理器預測錯誤的分支類型。 此問題可能會導致資訊洩漏。

為了協助防範此弱點，建議您安裝日期為 2022 年 7 月或之後的 Windows 更新，然後按照本知識庫文章中所提供的 CVE-2022-23825 和登錄機碼資訊的要求來執行動作。

如需詳細資訊，請參閱 AMD-SB-1037 安全性佈告欄。

我們已於 2023 年 8 月 8 日發佈 CVE-2023-20569 |傳回位址預測器 (也稱為盜夢空間) ，描述一種新的推測旁路攻擊，可能會導致攻擊者控制的位址進行推測執行。 此問題會影響特定 AMD 處理器，並可能導致資訊洩漏。

為了協助防範此弱點，建議您安裝日期為 2023 年 8 月或之後的 Windows 更新，然後按照本知識庫文章中所提供的 CVE-2023-20569 和登錄機碼資訊的要求來執行動作。

如需詳細資訊，請參閱 AMD-SB-7005 安全性佈告欄。

我們已在 2024 年 4 月 9 日發佈 CVE-2022-0001 |Intel 分支歷程記錄注入 ，描述分支歷程記錄 (BHI) ，這是一種特定形式的內部模式 BTI。 當攻擊者可能會在從使用者轉換到主管模式 (或從 VMX 非根/來賓轉換為根模式) 之前，先操作分支歷程記錄時，就會發生此弱點。 此操作可能會導致間接分支預測器為間接分支選取特定的預測器項目，而預測目標的揭露小工具將暫時執行。 這可能是因為相關的分支歷程記錄可能包含先前安全性內容中所採用的分支，尤其是其他預測器模式。

根據預設，AMD CPU 對 CVE-2017-5715 的使用者至核心保護是停用的。 客戶必須啟用緩和措施，才能收到對 CVE-2017-5715 的其他保護。  如需詳細資訊，請參閱 ADV180002 中＜常見問題集＞的問題 15。

根據預設，AMD 處理器對 CVE-2017-5715 的使用者至核心保護是停用的。 客戶必須啟用緩和措施，才能收到對 CVE-2017-5715 的其他保護。  如需詳細資訊，請參閱 ADV180002 中＜常見問題集＞的問題 15。

若要在 AMD 處理器上啟用 CVE-2022-23825 風險降低：

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

若要受到完整保護，客戶可能也需要停用超執行緒 (也稱為同步多執行緒 (SMT))。 如需保護 Windows 裝置的指南，請參閱 KB4073757 。

若要在 AMD 處理器上啟用 CVE-2023-20569 風險降低：

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

若要在 Intel 處理器上啟用 CVE-2022-0001 風險降低：

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

如需有關 PowerShell 指令碼輸出的詳細說明，請參閱 KB4074629 。

為協助避免對客戶裝置造成負面影響，2018 年 1 月和 2 月發行的 Windows 安全性更新未提供給所有客戶。 如需詳細資訊，請參閱 KB407269 。

微碼是透過韌體更新提供。 請洽詢您的 OEM，以取得具有您電腦適用更新的韌體版本。

有多個變數會影響效能，例如系統版本、正在執行的工作負載等。 對於某些系統，效果影響將無關緊要。 對於其他系統則值得考慮。

建議您根據系統評估效能影響，並視需要進行調整。

除了本文中有關虛擬機器的指引外，您還應連絡您的服務提供者，以確保執行您虛擬機器的主機適當地受到保護。

對於在 Azure 中執行的 Windows Server 虛擬機器，請參閱防範 Azure 中理論式執行端通道攻擊弱點的指導。 若要在客體 VM 使用Azure更新管理防範此問題的指導，請參閱 KB4077467。

針對 Windows Server 2016 和 Windows 10 1709 版的 Windows Server 容器映像而發行的更新，包含適用於這組弱點的緩和措施。 並且不需要額外設定。

注意: 您仍必須確認執行這些容器所在的主機已設定為啟用適當的風險降低措施。

否，安裝順序不重要。

是，您必須在韌體 (微碼) 更新後重新啟動，然後在系統更新後再次重新啟動。

下列是登錄機碼的詳細資訊：

FeatureSettingsOverride 代表覆寫預設設定及控制停用哪個緩和措施的點陣圖。 Bit 0 控制對應至 CVE-2017-5715 的緩和措施。 Bit 1 控制對應至 CVE-2017-5754 的緩和措施。 位元會設為 0 以啟用風險降低功能，並將位元設定為 1 以停用風險降低功能。

FeatureSettingsOverrideMask 代表與 FeatureSettingsOverride 搭配使用的點陣圖遮罩。 在這個情況中，我們使用值 3 (在二進位數字或 base-2 數字系統中，以 11 表示)，表示對應至可用風險降低措施的前兩個位元。 啟用及停用緩和措施時，都會將此登錄機碼設定為 3。

MinVmVersionForCpuBasedMitigations 是用於 Hyper-V 主機。 此登錄機碼會定義使用更新韌體功能的最小 VM 版本， (CVE-2017-5715) 。 將此機碼設定為 1.0，以涵蓋所有 VM 版本。 請注意，在非 Hyper-V 主機上，此登錄值將會遭到忽略 (有益的)。 如需更多詳細資訊，請參閱 客體虛擬機器防範 CVE-2017-5715 (分支目標導入) 。

可以，在安裝 2018 年 1 月相關修正程式之前套用這些登錄設定，沒有任何副作用。

如需有關指令碼輸出的詳細說明，請參閱 KB4074629： 了解 SpeculationControl PowerShell 指令碼輸出 。

可以，對於尚無可用韌體更新的 Windows Server 2016 Hyper-V 主機，我們已經發行替代指引，有助於避免 VM 對 VM 或 VM 對主機的攻擊。 請參閱 Windows Server 2016 Hyper-V 主機防範理論式執行端通道弱點的替代保護措施 (部分機器翻譯)。

僅限安全性更新不是累積更新。 根據您的作業系統版本，您可能需要安裝多個安全更新才能獲得全面防護。 一般而言，客戶需要安裝 2018 年一月、二月、三月和四月更新。 搭載 AMD 處理器的系統需要下表中顯示的額外更新：

建議您依發行順序安裝僅限安全性更新。

否。 安全性更新 KB4078130 是特定的修正程式，用來防範安裝微碼後出現無法預測的系統行為、效能問題，以及未預期的重新啟動情形。 在 Windows 用戶端作業系統上套用安全性更新，可啟用全部三個緩和措施。 在 Windows 伺服器作業系統上，經過適當的測試之後，您仍必須啟用緩和措施。 如需詳細資訊，請參閱 KB4072698。

此問題已在 KB4093118 年解決。

2018 年 2 月，英特爾 宣布 他們已經完成驗證並開始為新的 CPU 平台發布微碼。 Microsoft 正在推出經 Intel 驗證、與 Spectre Variant 2 (CVE-2017-5715 |分支目標導入) 。  KB4093836會依 Windows 版本列出特定知識庫文章。 每個特定知識庫文章都包含依 CPU 排列、可用的 Intel 微碼更新。

2018 年 1 月 11 日，Intel 報告 了最近發行的微碼問題，該微碼旨在解決 Spectre Variant 2 (CVE-2017-5715 |分支目標導入) 。 具體來說，英特爾指出，該微碼可能會導致“高於預期的重新啟動次數和其他不可預測的系統行為”，並且這些情況可能會導致“數據丟失或損壞”。 我們的經驗是，在某些情況下，系統不穩定可能會導致資料遺失或損壞。 Intel 已在 1 月 22 日建議擁有受影響處理器的客戶，停止部署目前微碼版本，因為 Intel 會對更新的解決方案進行其他測試。 我們了解 Intel 會持續調查目前微碼版本的潛在影響， 並鼓勵客戶繼續檢閱指引，以掌握 Intel 的決定。

在 Intel 測試、更新和部署新微碼的同時，我們會推出頻外 (OOB) 更新 KB4078130，此更新只會特別停用防範 CVE-2017-5715 的緩和措施。 依據我們測試的結果，發現此更新能防範所述的行為。 如需完整裝置清單，請參閱 Intel 的 微碼修訂指引 。 此更新涵蓋 Windows 7 Service Pack 1 (SP1)、Windows 8.1，以及適用於用戶端和伺服器的所有 Windows 10 版本。 如果您正在執行受影響的裝置，您可以從 Microsoft Update Catalog 網站下載來套用此更新。 此裝載的應用程式只會特別停用防範 CVE-2017-5715 的緩和措施。

到目前為止，我們尚未收到任何回報，指出此 Spectre Variant 2 (CVE-2017-5715 |分支目標導入) 已被用來攻擊客戶。 當 Intel 報告裝置的這個無法預測的系統行為已經解決時，我們建議 Windows 客戶適時重新啟用防範 CVE-2017-5715 的緩和措施。

2018 年 2 月，Intel 宣佈 他們已經完成驗證，並開始為新版 CPU 平台發行微碼。 Microsoft 會推出經 Intel 驗證、與 Spectre Variant 2 (CVE-2017-5715 |分支目標導入) 。 KB4093836會依 Windows 版本列出特定知識庫文章。 KB 會列出依 CPU 排列、可用的 Intel 微碼更新。

如需詳細資訊，請參閱 AMD 安全性匯報和 AMD 白皮書：關於間接分支控制的架構準則。 這些可從 OEM 韌體管道取得。

我們即將推出經過 Intel 驗證、與 Spectre Variant 2 (CVE-2017-5715 |分支目標導入) 。 若要透過 Windows Update 取得最新的 Intel 微碼更新，執行 Windows 10 作業系統的裝置在升級為 Windows 10 2018 年 4 月更新 (版本 1803) 之前，必須先安裝 Intel 微碼。

此外，升級系統之前，也可以從 Microsoft Update Catalog 直接取得微碼更新 (若在裝置上未安裝)。 Intel 微碼會透過 Windows Update、Windows Server Update Services 或 Microsoft Update Catalog 提供。 如需詳細資訊和下載指示，請參閱 KB4100347。

如需詳細資訊，請參閱下列資源：

• ADV180012 |適用於 CVE-2018-3639 之理論式儲存略過的 Microsoft 指引
• CVE-2018-3640：ADV180013 | 適用於 Rogue 系統登錄讀取的 Microsoft 指引和 KB 4073065 | 適用於 Surface 客戶的指引
• Microsoft 安全性研究和防禦部落格 (英文)
• 適用於理論式儲存略過的開發人員指引 (機器翻譯)

查看 ADV180012 的「建議動作」和「常見問題集」章節 |適用於推測儲存旁路的 Microsoft 指引。

若要驗證 SSBD 的狀態，已更新 Get-SpeculationControlSettings PowerShell 指令碼，以偵測受影響的處理器、SSBD 作業系統更新的狀態，以及處理器微碼的狀態 ，如果適用。 如需詳細資訊，並且若要取得 PowerShell 指令碼，請參閱 KB4074629。

在 2018 年 6 月 13 日，我們宣布另一個涉及側通道理論式執行的弱點，稱為「 消極式 FP 狀態還原」，並指派為 CVE-2018-3665 。 如需有關這個弱點和建議動作的詳細資訊，請參閱資訊安全諮詢 ADV180016 |適用於消極式 FP 狀態還原的 Microsoft 指引 。

注意：「消極式還原 FP 還原」不需要設定 (登錄) 設定。

「範圍檢查略過存放區」 (BCBS) 已於 2018 年 7 月 10 日揭露，並指派為 CVE-2018-3693。 我們認為 BCBS 與範圍檢查略過 (Variant 1) 屬於同一類型的弱點。 我們目前未在軟體中發現 BCBS 實例。 不過我們會繼續研究這個弱點等級並與業界合作夥伴合作，視需要發行緩和措施。 我們鼓勵研究人員將任何相關發現提交至 Microsoft 推測執行旁路賞金計畫，包括任何可利用的 BCBS 執行個體。 軟體開發人員應檢視已針對 BCBS 更新的開發人員指引： 位於 C++ 推測執行旁路的開發人員指引

我們已於 2018 年 8 月 14 日宣布 L1 終端機錯誤 (L1TF) 並指派多個 CVE。 這些新的理論式執行端通道弱點可能會用來讀取受信任邊界間的記憶體內容，並且若遭到利用，可能導致資訊洩漏。 視設定的環境而定，攻擊者可能會利用多個媒介來觸發弱點。 L1TF 會影響 Intel® Core® 處理器和 Intel® Xeon® 處理器。

如需有關此弱點的詳細資訊，以及受影響案例的詳細概觀，包括 Microsoft 防範 L1TF 的方法，請參閱下列資源：

• ADV180018 | 緩和 L1TF 變種的 Microsoft 指引
• 資訊安全諮詢的安全性研究部落格 (英文)
• 適用於 L1 終端機錯誤的伺服器指引

停用「超執行緒」的步驟會依 OEM 而有所不同，但一般來說，屬於 BIOS 或韌體設定和組態工具的內容。

使用 64 位元 ARM 處理器的客戶應連絡裝置 OEM 以取得韌體支援，因為 ARM64 作業系統保護可防範 CVE-2017-5715 |分支目標導入 (Spectre， Variant 2) 需要裝置 OEM 提供的最新韌體更新，才會生效。

如需詳細資訊，請參閱下列資訊安全諮詢：

• Intel 的資訊安全諮詢
• ADV190013 | 緩和微結構資料取樣弱點的 Microsoft 指引

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

請參閱防範理論式執行端通道弱點的 Windows 指引

如需 Azure 指引，請參閱這篇文章：防範 Azure 中推測執行旁路弱點的指引。

如需有關啟用 Retpoline 的詳細資訊，請參閱我們的部落格文章： 在 Windows 使用 Retpoline 防範 Spectre variant 2 。

如需有關此弱點的詳細資訊，請參閱 Microsoft 安全性導覽： CVE-2019-1125 |Windows 核心資訊洩漏弱點。

我們尚未發現這個影響我們雲端服務基礎結構的資訊洩漏弱點的情況。

我們一發現這個問題，即迅速地努力解決問題並發行更新。 我們堅信與研究人員和業界合作夥伴的密切關係可讓客戶更加安全，並且依照一貫的協調弱點洩漏作法，直到 8 月 6 日星期二才發佈詳細資料。

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

如需進一步指引，請參閱停用英 特爾事務同步擴展 (英特爾 TSX) 功能的指引。

本文提及的協力廠商產品是由與 Microsoft 無關的獨立廠商所製造。 Microsoft 不以默示或其他方式，提供與這些產品的效能或可靠性有關的擔保。

我們提供協力廠商的連絡資訊，協助您尋找技術支援。 此連絡資訊如有變更，恕不另行通知。 我們不保證此協力廠商連絡資訊的正確性。