KB4072698: Windows Server 和 Azure Stack HCI 保護晶片型微結構和推測性執行側邊通道弱點的指引

本文探討下列推測執行弱點:

• CVE-2017-5715 |分支目標注入
• CVE-2017-5753 |界線檢查繞道
• CVE-2017-5754 |流氓資料快取載入
• CVE-2018-3639 |投機商店繞道

Windows Update 也將提供 Internet Explorer 和 Edge 緩和措施。 我們會持續改善這些緩和措施，以防範這個弱點等級。

若要深入了解這個弱點等級，請參閱

• ADV180002 | 緩和理論式執行端通道弱點的指引
• ADV180012 | 適用於理論式儲存略過的 Microsoft 指引

2019 年 5 月 14 日，Intel 發布了關於一種新的推測執行側信道漏洞子類別的資訊，該漏洞稱為微架構資料取樣（Microarchitectural Data Sampling），並於 ADV190013 |微架構資料取樣。 這些弱點已指派為下列 CVE：

• CVE-2019-11091 |微架構資料取樣不可快取記憶體 (MDSUM)
• CVE-2018-12126 | 微結構儲存緩衝區資料取樣 (MSBDS))
• CVE-2018-12127 |微架構填充緩衝區資料取樣 (MFBDS)
• CVE-2018-12130 |微架構載入埠資料取樣 (MLPDS)

Microsoft 已經發行更新，可協助防範這些弱點。 若要取得所有可用的保護，則必須安裝韌體 (微碼) 和軟體更新。 這包括來自裝置 OEM 的微碼。 在某些情況下，安裝這些更新將會對效能造成影響。 我們也已採取行動，保護我們的雲端服務。 強烈建議您部署這些更新。

如需有關這個問題的詳細資訊，請參閱下列資訊安全諮詢，並運用案例指引，判斷防範威脅所需執行的動作：

• ADV190013 | 緩和微結構資料取樣弱點的 Microsoft 指引
• 防範理論式執行端通道弱點的 Windows 指引

Intel 已於 2019 年 8 月 6 日發行有關 Windows 核心資訊洩漏弱點的詳細資訊。 此漏洞是 Spectre 變體 1 推測執行側通道漏洞的變體，並被指定為 CVE-2019-1125。

2019 年 7 月 9 日，我們已為 Windows 作業系統發行安全性更新，以協助防範此問題。 請注意，我們直到 2019 年 8 月 6 日星期二業界協調的公佈時間，才公開記載這項緩和措施。

若客戶已啟用 Windows Update 並套用 2019 年 7 月 9 日發行的安全性更新，則會自動受到保護。 不需要進行進一步設定。

如需有關此弱點和適用更新的詳細資訊，請參閱 Microsoft 安全性更新導覽：

• CVE-2019-1125 |Windows 核心資訊揭露漏洞

2019 年 11 月 12 日，Intel 發布了關於® Intel TSX) 交易非同步中止漏洞的技術諮詢，該漏洞編號為 CVE-2019-11135， (Intel 交易同步擴展。 Microsoft 已發佈更新，以協助防範此弱點，且 WINDOWS Server 2019 預設會啟用作業系統保護，但根據預設，Windows Server 2016 及較舊版的 Windows Server OS 版本會停用。

2022年6月14日，我們發表了 ADV220002 |Microsoft 關於 Intel 處理器 MMIO 陳舊資料漏洞的指引 ，並指派了以下 CVE：

• CVE-2022-21123 |SBDR (讀取共享緩衝區資料)
• CVE-2022-21125 |SBDS (共享緩衝區資料取樣)
• CVE-2022-21127 |特殊暫存器緩衝區資料取樣更新 (SRBDS更新)
• CVE-2022-21166 |裝置暫存器部分寫入 (DRPW)

建議動作

您應採取下列動作，以協助防範弱點:

1. 套用所有可用的 Windows 作業系統更新，其中包括每月 Windows 安全性更新。
2. 套用裝置製造商所提供的適用韌體 (微碼) 更新。
3. 根據Microsoft安全警示中提供的資訊：ADV180002、ADV180012、ADV190013和ADV220002，以及本文知識庫中提供的資訊，評估對您環境的風險。
4. 運用資訊安全諮詢，和這篇知識庫文章提供的登錄機碼資訊採取必要動作。

2022 年 7 月 12 日，我們發布了 CVE-2022-23825 |AMD CPU 分支類型混淆 ，描述分支預測器中的別名可能導致某些 AMD 處理器預測錯誤的分支類型。 此問題可能會導致資訊洩漏。

為防範此漏洞，我們建議安裝 Windows 更新日期為 2022 年 7 月或之後，並依據 CVE-2022-23825 及本知識庫文章中提供的登錄檔金鑰資訊採取相應行動。

欲了解更多資訊，請參閱 AMD-SB-1037 安全公告。

2023年8月8日，我們發布了 CVE-2023-20569 |回傳位址預測器 (也稱為啟動) ，描述一種新的推測側通道攻擊，可能導致攻擊者控制的位址進行推測性執行。 此問題會影響特定 AMD 處理器，並可能導致資訊洩漏。

為防範此漏洞，我們建議安裝 Windows 更新日期為 2023 年 8 月或之後，並依據 CVE-2023-20569 及本知識庫文章中提供的登錄檔金鑰資訊採取相應行動。

欲了解更多資訊，請參閱 AMD-SB-7005 安全公告。

2024 年 4 月 9 日，我們發布了 CVE-2022-0001 |Intel 分支歷史注入 ，描述 BHI) (BHI 的分支歷史注入，這是一種特定形式的模式內 BTI 形式。 當攻擊者可能會在從使用者轉換到主管模式 (或從 VMX 非根/來賓轉換為根模式) 之前，先操作分支歷程記錄時，就會發生此弱點。 此操作可能會導致間接分支預測器為間接分支選取特定的預測器項目，而預測目標的揭露小工具將暫時執行。 這可能是因為相關的分支歷程記錄可能包含先前安全性內容中所採用的分支，尤其是其他預測器模式。

根據預設，AMD CPU 對 CVE-2017-5715 的使用者至核心保護是停用的。 客戶必須啟用緩和措施，才能收到對 CVE-2017-5715 的其他保護。  如需詳細資訊，請參閱 ADV180002 中＜常見問題集＞的問題 15。

根據預設，AMD 處理器對 CVE-2017-5715 的使用者至核心保護是停用的。 客戶必須啟用緩和措施，才能收到對 CVE-2017-5715 的其他保護。  如需詳細資訊，請參閱 ADV180002 中＜常見問題集＞的問題 15。

為了在 AMD 處理器上啟用 CVE-2022-23825 的緩解措施：

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

若要受到完整保護，客戶可能也需要停用超執行緒 (也稱為同步多執行緒 (SMT))。 請參閱 KB4073757 以獲取保護 Windows 裝置的指引。

為了在 AMD 處理器上啟用 CVE-2023-20569 的緩解措施：

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

為了在 Intel 處理器上啟用 CVE-2022-0001 的緩解措施：

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

登錄新增 "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

關於 PowerShell 腳本輸出的詳細說明，請參見 KB4074629 。

為協助避免對客戶裝置造成負面影響，2018 年 1 月和 2 月發行的 Windows 安全性更新未提供給所有客戶。 詳情請參見 KB407269 。

微碼是透過韌體更新提供。 請洽詢您的 OEM，以取得具有您電腦適用更新的韌體版本。

有多個變數會影響效能，例如系統版本、正在執行的工作負載等。 對於某些系統，效果影響將無關緊要。 對於其他系統則值得考慮。

建議您根據系統評估效能影響，並視需要進行調整。

除了本文中有關虛擬機器的指引外，您還應連絡您的服務提供者，以確保執行您虛擬機器的主機適當地受到保護。

對於在 Azure 中執行的 Windows Server 虛擬機器，請參閱防範 Azure 中理論式執行端通道攻擊弱點的指導。 有關使用 Azure Update Management 來緩解訪客虛擬機此問題的指引，請參見 KB4077467。

針對 Windows Server 2016 和 Windows 10 1709 版的 Windows Server 容器映像而發行的更新，包含適用於這組弱點的緩和措施。 並且不需要額外設定。

注意: 您仍必須確認執行這些容器所在的主機已設定為啟用適當的風險降低措施。

否，安裝順序不重要。

是，您必須在韌體 (微碼) 更新後重新啟動，然後在系統更新後再次重新啟動。

下列是登錄機碼的詳細資訊：

FeatureSettingsOverride 代表覆寫預設設定及控制停用哪個緩和措施的點陣圖。 Bit 0 控制對應至 CVE-2017-5715 的緩和措施。 第 1 位元控制對應 CVE-2017-5754 的緩解措施。 位元設 為 0 以啟用緩解， 1 則停用 緩解。

FeatureSettingsOverrideMask 代表與 FeatureSettingsOverride 搭配使用的點陣圖遮罩。 在這個情況中，我們使用值 3 (在二進位數字或 base-2 數字系統中，以 11 表示)，表示對應至可用風險降低措施的前兩個位元。 啟用及停用緩和措施時，都會將此登錄機碼設定為 3。

MinVmVersionForCpuBasedMitigations 是用於 Hyper-V 主機。 這個登錄檔金鑰定義了使用更新韌體能力所需的最低虛擬機版本， (CVE-2017-5715) 。 將此機碼設定為 1.0，以涵蓋所有 VM 版本。 請注意，在非 Hyper-V 主機上，此登錄值將會遭到忽略 (有益的)。 更多細節請參閱 保護訪客虛擬機免受 CVE-2017-5715 (分支目標注入) 。

可以，在安裝 2018 年 1 月相關修正程式之前套用這些登錄設定，沒有任何副作用。

請參閱 KB4074629：了解 SpeculationControl PowerShell 腳本輸出 的詳細說明。

可以，對於尚無可用韌體更新的 Windows Server 2016 Hyper-V 主機，我們已經發行替代指引，有助於避免 VM 對 VM 或 VM 對主機的攻擊。 請參閱 Windows Server 2016 Hyper-V 主機防範理論式執行端通道弱點的替代保護措施 (部分機器翻譯)。

僅限安全性更新不是累積更新。 根據您的作業系統版本，您可能需要安裝多個安全更新才能獲得全面防護。 一般而言，客戶需要安裝 2018 年一月、二月、三月和四月更新。 搭載 AMD 處理器的系統需要下表中顯示的額外更新：

建議您依發行順序安裝僅限安全性更新。

否。 安全更新 KB4078130 是一項專門的修正，旨在防止系統行為不可預測、效能問題及安裝微碼後的意外重啟。 在 Windows 用戶端作業系統上套用安全性更新，可啟用全部三個緩和措施。 在 Windows 伺服器作業系統上，經過適當的測試之後，您仍必須啟用緩和措施。 欲了解更多資訊，請參見 KB4072698。

這個問題在 KB4093118年解決了。

2018 年 2 月，Intel 宣布 已完成驗證，並開始釋出新 CPU 平台的微碼。 Microsoft 正在提供經過 Intel 驗證的微碼更新，內容涉及 Spectre 變體 2 Spectre 變體 2 (CVE-2017-5715 |分支目標注入) 。  KB4093836 依 Windows 版本列出具體的 知識庫 文章。 每個特定知識庫文章都包含依 CPU 排列、可用的 Intel 微碼更新。

2018 年 1 月 11 日，英特爾報告近期釋出的微程式碼 出現問題 ，該微程式碼旨在解決 Spectre 變體 2 (CVE-2017-5715 |分支目標注入) 。 英特爾特別指出，這個微程式碼可能導致「高於預期的重啟次數及其他不可預測的系統行為」，且這些情境可能導致「資料遺失或損壞」。 我們的經驗是，系統不穩定在某些情況下可能導致資料遺失或損壞。 Intel 已在 1 月 22 日建議擁有受影響處理器的客戶，停止部署目前微碼版本，因為 Intel 會對更新的解決方案進行其他測試。 我們了解 Intel 會持續調查目前微碼版本的潛在影響， 並鼓勵客戶繼續檢閱指引，以掌握 Intel 的決定。

在英特爾測試、更新並部署新微碼的同時，我們也推出了一個帶外 (OOB) KB4078130更新，該更新僅針對 CVE-2017-5715 的緩解措施被禁用。 依據我們測試的結果，發現此更新能防範所述的行為。 完整裝置清單請參閱英特爾的 微碼修訂指引 。 此更新涵蓋 Windows 7 Service Pack 1 (SP1)、Windows 8.1，以及適用於用戶端和伺服器的所有 Windows 10 版本。 如果你使用的是受影響的裝置，可以透過從 Microsoft Update 目錄網站下載此更新來套用。 此裝載的應用程式只會特別停用防範 CVE-2017-5715 的緩和措施。

截至目前，尚無已知報告顯示此 Spectre 變體 2 (CVE-2017-5715 |分支目標注入) 曾被用來攻擊客戶。 當 Intel 報告裝置的這個無法預測的系統行為已經解決時，我們建議 Windows 客戶適時重新啟用防範 CVE-2017-5715 的緩和措施。

2018 年 2 月，Intel 宣布 已完成驗證並開始釋出新 CPU 平台的微碼。 Microsoft 正在提供與 Spectre 變體 2 相關的 Intel 驗證微碼更新 Spectre 變體 2 (CVE-2017-5715 |分支目標注入) 。 KB4093836 依 Windows 版本列出具體的 知識庫 文章。 KB 會列出依 CPU 排列、可用的 Intel 微碼更新。

欲了解更多資訊，請參閱 AMD 安全匯報及 AMD 白皮書：關於間接分支控制的架構指引。 這些可從 OEM 韌體管道取得。

我們提供經 Intel 驗證的微碼更新，內容涉及 Spectre 變體 2 (CVE-2017-5715 |分支目標注入) 。 若要透過 Windows Update 取得最新的 Intel 微碼更新，執行 Windows 10 作業系統的裝置在升級為 Windows 10 2018 年 4 月更新 (版本 1803) 之前，必須先安裝 Intel 微碼。

此外，升級系統之前，也可以從 Microsoft Update Catalog 直接取得微碼更新 (若在裝置上未安裝)。 Intel 微碼會透過 Windows Update、Windows Server Update Services 或 Microsoft Update Catalog 提供。 欲了解更多資訊及下載說明，請參閱 KB4100347。

如需詳細資訊，請參閱下列資源：

• ADV180012 |Microsoft 針對 CVE-2018-3639 的推測性儲存繞過指引
• CVE-2018-3640：ADV180013 | 適用於 Rogue 系統登錄讀取的 Microsoft 指引和 KB 4073065 | 適用於 Surface 客戶的指引
• Microsoft 安全性研究和防禦部落格 (英文)
• 適用於理論式儲存略過的開發人員指引 (機器翻譯)

請參閱ADV180012 | 的「建議行動」與「常見問題」部分 Microsoft 投機性商店繞過指引。

為了驗證 SSBD 的狀態， Get-SpeculationControlSettings PowerShell 腳本已更新，以偵測受影響的處理器、SSBD 作業系統更新狀態，以及處理器微程式碼狀態（如適用）。 如需詳細資訊，並且若要取得 PowerShell 指令碼，請參閱 KB4074629。

2018 年 6 月 13 日，另一個涉及側信道推測執行的漏洞，稱為 Lazy FP State Restore，被宣布並被分配為 CVE-2018-3665 。 有關此漏洞及建議措施，請參閱安全公告 ADV180016 |Microsoft 關於 Lazy FP State Restore 的指引 。

注意：「消極式還原 FP 還原」不需要設定 (登錄) 設定。

Bounds Check Bypass Store (BCBS) 於 2018 年 7 月 10 日揭露，並被分配為 CVE-2018-3693。 我們認為 BCBS 與範圍檢查略過 (Variant 1) 屬於同一類型的弱點。 我們目前未在軟體中發現 BCBS 實例。 不過我們會繼續研究這個弱點等級並與業界合作夥伴合作，視需要發行緩和措施。 我們鼓勵研究人員將任何相關發現提交給 Microsoft Speculative Execution Side Channel 賞金計畫，包括任何可被利用的 BCBS 實例。 軟體開發者應參考已更新的 BCBS 開發者指引，該指引為 C++ 的推測執行側通道開發者指引

我們已於 2018 年 8 月 14 日宣布 L1 終端機錯誤 (L1TF) 並指派多個 CVE。 這些新的理論式執行端通道弱點可能會用來讀取受信任邊界間的記憶體內容，並且若遭到利用，可能導致資訊洩漏。 視設定的環境而定，攻擊者可能會利用多個媒介來觸發弱點。 L1TF 會影響 Intel® Core® 處理器和 Intel® Xeon® 處理器。

如需有關此弱點的詳細資訊，以及受影響案例的詳細概觀，包括 Microsoft 防範 L1TF 的方法，請參閱下列資源：

• ADV180018 | 緩和 L1TF 變種的 Microsoft 指引
• 資訊安全諮詢的安全性研究部落格 (英文)
• L1 終端故障伺服器指引

停用「超執行緒」的步驟會依 OEM 而有所不同，但一般來說，屬於 BIOS 或韌體設定和組態工具的內容。

使用 64 位元 ARM 處理器的客戶應聯繫裝置原廠（OEM）以獲得韌體支援，因為 ARM64 作業系統的保護措施可緩解 CVE-2017-5715 |Spectre (分支目標注入，變體 2) 需要裝置 OEM 最新的韌體更新才能生效。

如需詳細資訊，請參閱下列資訊安全諮詢：

• Intel 的資訊安全諮詢
• ADV190013 | 緩和微結構資料取樣弱點的 Microsoft 指引

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

請參閱防範理論式執行端通道弱點的 Windows 指引

關於 Azure 的指引，請參考這篇文章：針對緩解 Azure 中推測執行側通道漏洞的指引。

欲了解更多關於 Retpoline 啟用的資訊，請參閱我們的部落格文章： 在 Windows 上使用 Retpoline 緩解 Spectre 變體 2 。

關於此漏洞的詳細資訊，請參閱 Microsoft 安全指南： CVE-2019-1125 |Windows 核心資訊揭露漏洞。

我們尚未發現這個影響我們雲端服務基礎結構的資訊洩漏弱點的情況。

我們一發現這個問題，即迅速地努力解決問題並發行更新。 我們堅信與研究人員和業界合作夥伴的密切關係可讓客戶更加安全，並且依照一貫的協調弱點洩漏作法，直到 8 月 6 日星期二才發佈詳細資料。

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

如需進一步指引，請參閱防範理論式執行端通道弱點的 Windows 指引

更多指引可見於停用 Intel 交易同步擴充（Transactional Synchronization Extensions (Intel TSX) 功能的指引。

本文提及的協力廠商產品是由與 Microsoft 無關的獨立廠商所製造。 Microsoft 不以默示或其他方式，提供與這些產品的效能或可靠性有關的擔保。

我們提供協力廠商的連絡資訊，協助您尋找技術支援。 此連絡資訊如有變更，恕不另行通知。 我們不保證此協力廠商連絡資訊的正確性。