KB4073119: Linee guida del client Windows per i professionisti IT per la protezione dalle vulnerabilità del canale laterale di esecuzione speculativa e microarchitettura basata sui processori

Il 14 maggio 2019 Intel ha pubblicato informazioni su una nuova sottoclasse di vulnerabilità di esecuzione speculativa del canale laterale nota come Microarchitectural Data Sampling. Queste vulnerabilità sono trattate nei seguenti CVE:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)

• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)

• CVE-2018-12127 | Campionamento dei dati del buffer di riempimento microarchitetturale (MFBDS)

• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

Sono stati rilasciati aggiornamenti per ridurre queste vulnerabilità. Per ottenere tutte le protezioni disponibili, sono necessari aggiornamenti del firmware (microcodice) e software. Può includere il microcodice degli OEM del dispositivo. In alcuni casi, l'installazione di questi aggiornamenti avrà un impatto delle prestazioni. Abbiamo anche agito per proteggere i nostri servizi cloud. È consigliabile distribuire questi aggiornamenti.

Per altre informazioni su questo problema, vedi il seguente avviso di sicurezza e usa le indicazioni basate su scenari per determinare le azioni necessarie per mitigare la minaccia:

• ADV190013 | Linee guida microsoft per attenuare le vulnerabilità del campionamento dei dati microarchitettura

• Linee guida di Windows per la protezione dalle vulnerabilità di esecuzione speculativa del canale laterale

Il 6 agosto 2019 Intel ha rilasciato dettagli su una vulnerabilità di divulgazione di informazioni sul kernel di Windows. Questa vulnerabilità è una variante della vulnerabilità di esecuzione speculativa del canale laterale spectre variant 1 ed è stata assegnata CVE-2019-1125.

Il 9 luglio 2019 sono stati rilasciati aggiornamenti della sicurezza per il sistema operativo Windows per ridurre il problema. Tieni presente che abbiamo tenuto documenti pubblici su questa prevenzione fino alla divulgazione coordinata del settore di martedì 6 agosto 2019.

I clienti che hanno Windows Update abilitato e hanno applicato gli aggiornamenti della sicurezza rilasciati il 9 luglio 2019 sono protetti automaticamente. Non sono necessarie ulteriori configurazioni.

Per altre informazioni su questa vulnerabilità e sugli aggiornamenti applicabili, vedi la Guida sull'aggiornamento della sicurezza Microsoft:

• CVE-2019-1125 | Vulnerabilità divulgazione di informazioni kernel di Windows

Il 12 novembre 2019 Intel ha pubblicato un avviso tecnico sulla vulnerabilità di Interruzione asincrona delle transazioni Intel Transactional Synchronization Extensions (Intel TSX) a cui è assegnato CVE-2019-11135. Sono stati rilasciati aggiornamenti per ridurre questa vulnerabilità. Per impostazione predefinita, le protezioni del sistema operativo sono abilitate per le edizioni del sistema operativo Windows Client.

Il 14 giugno 2022 è stato pubblicato ADV220002 | Linee guida Microsoft sulle vulnerabilità dei dati del processore Intel MMIO Stale. Le vulnerabilità dis sono assegnate nei seguenti CVE:

• CVE-2022-21123 | Lettura dei dati del buffer condiviso (SBDR)

• CVE-2022-21125 | SBDS (Shared Buffer Data Sampling)

• CVE-2022-21127 | Aggiornamento speciale per il campionamento dei dati del buffer di registro (aggiornamento SRBDS)

• CVE-2022-21166 | Registrazione dispositivo scrittura parziale (DRPW)

Azioni consigliate

È consigliabile eseguire le azioni seguenti per proteggersi da queste vulnerabilità:

1. Applica tutti gli aggiornamenti disponibili del sistema operativo Windows, inclusi gli aggiornamenti mensili della sicurezza di Windows.

2. Applica l'aggiornamento del firmware (microcodice) applicabile fornito dal produttore del dispositivo.

3. Valutare il rischio per l'ambiente in base alle informazioni fornite in Avvisi di sicurezza Microsoft ADV180002, ADV180012, ADV190013 e ADV220002,oltre alle informazioni fornite in questo articolo.

4. Intervenire in base alle esigenze usando gli avvisi e le informazioni sulla chiave del Registro di sistema forniti in questo articolo.

Il 12 luglio 2022 è stato pubblicato il CVE-2022-23825 | Confusione del tipo di ramo CPU AMD, che descrive che gli alias nel previsione del ramo possono causare la predizione del tipo di ramo errato da parte di alcuni processori AMD. Questo problema potrebbe comportare la divulgazione delle informazioni.

Per contribuire alla protezione da questa vulnerabilità, è consigliabile installare gli aggiornamenti di Windows con data successiva a luglio 2022 e quindi intervenire come richiesto da CVE-2022-23825 e dalle informazioni sulle chiavi del Registro di sistema fornite in questo knowledge base articolo.

Per altre informazioni, vedere il bollettino sulla sicurezza AMD-SB-1037 .

L'8 agosto 2023 è stato pubblicato il CVE-2023-20569 | AMD CPU Return Address Predictor (noto anche come Inception) che descrive un nuovo attacco di canale laterale speculativo che può causare l'esecuzione speculativa a un indirizzo controllato dall'aggressore. Questo problema interessa alcuni processori AMD e potrebbe comportare la divulgazione delle informazioni.

Per contribuire alla protezione da questa vulnerabilità, è consigliabile installare gli aggiornamenti di Windows con data successiva ad agosto 2023 e quindi intervenire come richiesto da CVE-2023-20569 e dalle informazioni sulle chiavi del Registro di sistema fornite in questo knowledge base articolo.

Per altre informazioni, vedere il bollettino sulla sicurezza AMD-SB-7005 .

Il 9 aprile 2024 è stato pubblicato CVE-2022-0001 | Intel Branch History Injection che descrive Branch History Injection (BHI), che è una forma specifica di BTI intra-mode. Questa vulnerabilità si verifica quando un utente malintenzionato può manipolare la cronologia dei rami prima della transizione dalla modalità utente a supervisore (o dalla modalità non radice/guest VMX alla modalità radice). Questa modifica potrebbe causare la selezione di una voce del preditore specifico per un ramo indiretto e l'esecuzione transitoria di un gadget di divulgazione presso la destinazione prevista. Ciò può essere possibile perché la cronologia dei rami rilevante può contenere rami acquisiti in contesti di sicurezza precedenti e, in particolare, in altre modalità di previsione.

Per impostazione predefinita, la protezione da utente a kernel per CVE-2017-5715 è disabilitata per le CPU AMD e ARM. È necessario abilitare la prevenzione per ricevere protezioni aggiuntive per CVE-2017-5715. Per ulteriori informazioni, vedi Domande frequenti n. 15 in ADV180002 per i processori AMD e Domande frequenti n. 20 in ADV180002 per i processori ARM.

Per impostazione predefinita, la protezione da utente a kernel per CVE-2017-5715 è disabilitata per i processori AMD. I clienti devono abilitare la prevenzione per ricevere protezioni aggiuntive per CVE-2017-5715.  Per altre informazioni, vedi domande frequenti n. 15 in ADV180002.

Per abilitare la prevenzione per CVE-2022-23825 sui processori AMD :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Per essere completamente protetti, i clienti potrebbero anche dover disabilitare Hyper-Threading (noto anche come Simultaneous Multi Threading (SMT)). Vedi KB4073757per indicazioni sulla protezione dei dispositivi Windows. 

Per abilitare la prevenzione per CVE-2023-20569 sui processori AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Per abilitare la prevenzione per CVE-2022-0001 sui processori Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Per una spiegazione dettagliata dell'output dello script di PowerShell, vedere KB4074629.

Il microcodice viene fornito tramite un aggiornamento del firmware. Contattare la CPU (chipset) e i produttori di dispositivi per verificare la disponibilità degli aggiornamenti di sicurezza del firmware applicabili per il dispositivo specifico, incluse le linee guida per le revisioni del microcodice Intels.

La risoluzione di una vulnerabilità hardware tramite un aggiornamento software presenta sfide significative. Inoltre, le misure di prevenzione per i sistemi operativi meno recenti richiedono modifiche architetturali estese. Stiamo lavorando con i produttori dei chip interessati per determinare il modo migliore per fornire le misure di prevenzione, che potrebbero essere fornite negli aggiornamenti futuri.

Aggiornamenti per i dispositivi Microsoft Surface verranno fornite ai clienti tramite Windows Update insieme agli aggiornamenti per il sistema operativo Windows. Per un elenco degli aggiornamenti del firmware del dispositivo Surface (microcodice) disponibili, vedi KB4073065.

Se il tuo non è un dispositivo Microsoft, applica il firmware del produttore del dispositivo. Per ulteriori informazioni, contatta il produttore del dispositivo OEM.

A febbraio e marzo 2018 Microsoft ha rilasciato una maggiore protezione per alcuni sistemi basati su x86. Per altre informazioni, vedi KB4073757 e l'ADV180002 dell'avviso di sicurezza Microsoft.

Aggiornamenti per Windows 10 per HoloLens sono disponibili per i clienti holoLens tramite Windows Update.

Dopo aver applicato l'aggiornamento di Sicurezza di Windows di febbraio 2018, i clienti di HoloLens non devono eseguire altre azioni per aggiornare il firmware del dispositivo. Queste misure di prevenzione saranno incluse anche in tutte le versioni future di Windows 10 per HoloLens.

No. Gli aggiornamenti solo della sicurezza non sono cumulativi. A seconda della versione del sistema operativo in esecuzione, dovrai installare ogni aggiornamento mensile solo della sicurezza per essere protetto da queste vulnerabilità. Ad esempio, se esegui Windows 7 per sistemi a 32 bit su una CPU Intel interessata, devi installare tutti gli aggiornamenti solo della sicurezza. È consigliabile installare questi aggiornamenti solo della sicurezza nell'ordine di rilascio.

Nota Una versione precedente di queste domande frequenti ha erroneamente indicato che l'aggiornamento solo della sicurezza di febbraio includeva le correzioni per la sicurezza rilasciate a gennaio. In realtà, non lo fa.

No. L'aggiornamento della sicurezza 4078130 era una correzione specifica per evitare comportamenti imprevisti del sistema, problemi di prestazioni e/o riavvii imprevisti dopo l'installazione del microcodice. L'applicazione degli aggiornamenti della sicurezza di febbraio nei sistemi operativi client Windows abilita tutte e tre le misure di prevenzione.

Intel ha recentemente annunciato di aver completato le convalide e ha iniziato a rilasciare microcodice per le piattaforme CPU più recenti. Microsoft sta rendendo disponibili gli aggiornamenti del microcodice convalidato da Intel per la variante 2 di Spectre (CVE-2017-5715 "Branch Target Injection"). KB4093836 elenca specifici articoli della Knowledge Base in base alla versione di Windows. Ogni specifico articolo KB contiene gli aggiornamenti di microcodice Intel disponibili per CPU.

Questo problema è stato risolto in KB4093118.

AMD ha recentemente annunciato di aver iniziato a rilasciare microcodice per le piattaforme CPU più recenti intorno a Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Per altre informazioni, vedere il white paper su AMD Security Aggiornamenti e AMD: Linee guida sull'architettura per il controllo indirect branch. Sono disponibili dal canale del firmware OEM.

Stiamo rendendo disponibili gli aggiornamenti del microcodice convalidato da Intel per la variante 2 di Spectre (CVE-2017-5715 "Branch Target Injection "). Per ottenere gli aggiornamenti più recenti del microcodice Intel tramite Windows Update, i clienti devono aver installato il microcodice Intel nei dispositivi che eseguono un sistema operativo Windows 10 prima di eseguire l'aggiornamento Windows 10 aprile 2018 (versione 1803).

L'aggiornamento del microcodice è anche disponibile direttamente dal catalogo se non è stato installato nel dispositivo prima di aggiornare il sistema operativo. Il microcodice Intel è disponibile tramite Windows Update, WSUS o Microsoft Update Catalog. Per altre informazioni e istruzioni per il download, vedere KB4100347.

Per altre informazioni, vedere le risorse seguenti:

• ADV180012 | Linee guida Microsoft per Speculative Store Bypass per CVE-2018-3639

• ADV180013 | Microsoft Guidance for Rogue System Register Read for CVE-2018-3640 and KB4073065

• Blog microsoft sulla ricerca e la difesa sulla sicurezza

• Linee guida per sviluppatori per Speculative Store Bypass

Per informazioni dettagliate, vedere le sezioni "Azioni consigliate" e "Domande frequenti" in ADV180012 | Linee guida Di Microsoft per Speculative Store Bypass.

Per verificare lo stato di SSBD, lo script Get-SpeculationControlSettings PowerShell è stato aggiornato per rilevare i processori interessati, lo stato degli aggiornamenti del sistema operativo SSBD e lo stato del microcodice del processore, se applicabile. Per altre informazioni e per ottenere lo script di PowerShell, vedere KB4074629.

Il 13 giugno 2018 è stata annunciata una vulnerabilità aggiuntiva che coinvolge l'esecuzione speculativa del canale laterale, nota come Lazy FP State Restore, a cui è stato assegnato CVE-2018-3665. Non sono necessarie impostazioni di configurazione (Registro di sistema) per Lazy Restore FP Restore.

Per ulteriori informazioni su questa vulnerabilità e per le azioni consigliate, consulta l'avviso di sicurezza ADV180016 | Microsoft Guidance for Lazy FP State Restore.

Bounds Check Bypass Store (BCBS) è stato divulgato il 10 luglio 2018 e ha assegnato CVE-2018-3693. Riteniamo che BCBS appartenga alla stessa classe di vulnerabilità di Bounds Check Bypass (variante 1). Attualmente non siamo a conoscenza di alcuna istanza di BCBS nel nostro software, ma stiamo continuando a cercare questa classe di vulnerabilità e collaboreremo con i partner del settore per rilasciare le misure di prevenzione in base alle esigenze. Continuiamo a incoraggiare i ricercatori a presentare qualsiasi risultato pertinente al programma di taglie Speculative Execution Side Channel di Microsoft, incluse eventuali istanze sfruttabili di BCBS. Gli sviluppatori di software devono esaminare le linee guida per gli sviluppatori aggiornate per BCBS in https://aka.ms/sescdevguide.

Il 14 agosto 2018, è stato annunciato l'L1 Terminal Fault (L1TF) e sono stati assegnati più CVE. Queste nuove vulnerabilità di esecuzione speculativa del canale laterale possono essere usate per leggere il contenuto della memoria attraverso un limite attendibile e, se sfruttate, possono portare alla divulgazione delle informazioni. Un utente malintenzionato potrebbe attivare le vulnerabilità attraverso più vettori, a seconda dell'ambiente configurato. L1TF influisce sui processori Intel® Core® e sui processori Intel® Xeon®.

Per ulteriori informazioni su questa vulnerabilità e una visualizzazione dettagliata degli scenari interessati, incluso l'approccio di Microsoft alla prevenzione di L1TF, vedi le risorse seguenti:

• ADV180018 | Linee guida Microsoft per attenuare la variante L1TF

• Blog di ricerca sulla sicurezza degli avvisi di sicurezza

• Linee guida del server per l'errore terminale L1

I clienti che utilizzano processori ARM a 64 bit devono rivolgersi all'OEM del dispositivo per ottenere supporto del firmware perché le protezioni del sistema operativo ARM64 che attenuano il CVE-2017-5715 | Per rendere effettiva l'iniezione di diramazione (Spectre, variante 2) è necessario l'aggiornamento del firmware più recente degli OEM del dispositivo.

Per ulteriori informazioni, fai riferimento ai seguenti avvisi di sicurezza 

• Avviso di sicurezza di Intel

• ADV190013 | Linee guida microsoft per attenuare le vulnerabilità del campionamento dei dati microarchitettura

Per ulteriori informazioni, fai riferimento ai seguenti avvisi di sicurezza

• Avviso di sicurezza di Intel

• ADV190013 | Linee guida microsoft per attenuare le vulnerabilità del campionamento dei dati microarchitettura

Ulteriori indicazioni sono disponibili nelle linee guida di Windows per la protezione dalle vulnerabilità di esecuzione speculativa del canale laterale

Fai riferimento alle linee guida di Windows per la protezione dalle vulnerabilità di esecuzione speculativa del canale laterale

Per informazioni su Azure, vedere questo articolo: Linee guida per la prevenzione delle vulnerabilità di esecuzione speculativa del canale laterale in Azure.  

Per altre informazioni sull'abilitazione di Retpoline, vedi il nostro post di blog: Prevenzione della variante 2 di Spectre con Retpoline in Windows. 

Per informazioni dettagliate su questa vulnerabilità, vedere la Guida alla sicurezza Microsoft: CVE-2019-1125 | Vulnerabilità divulgazione di informazioni kernel di Windows.

Non siamo a conoscenza di alcuna istanza di questa vulnerabilità della divulgazione delle informazioni che interessa l'infrastruttura dei servizi cloud.

Non appena siamo a conoscenza di questo problema, abbiamo lavorato rapidamente per risolverlo e rilasciare un aggiornamento. Crediamo fortemente in strette partnership con ricercatori e partner di settore per rendere i clienti più sicuri e non abbiamo pubblicato dettagli fino a martedì 6 agosto, in linea con le procedure coordinate di divulgazione delle vulnerabilità.

Ulteriori indicazioni sono disponibili nelle linee guida di Windows per la protezione dalle vulnerabilità di esecuzione speculativa del canale laterale.

Ulteriori indicazioni sono disponibili nelle linee guida di Windows per la protezione dalle vulnerabilità di esecuzione speculativa del canale laterale.

Ulteriori indicazioni sono disponibili in Linee guida per la disabilitazione della funzionalità Intel® Transactional Synchronization Extensions (Intel® TSX).

Microsoft fornisce informazioni di contatto di terze parti per aiutare l'utente a trovare supporto tecnico. Le informazioni di contatto sono soggette a modifica senza preavviso. Microsoft non garantisce l'accuratezza di queste informazioni di contatto di terze parti.