KB4073119: Windows-klientveiledning for IT-eksperter for å beskytte mot silisiumbasert mikroarkelementral og spekulative sårbarheter i utførelsessiden

14. mai 2019 publiserte Intel informasjon om en ny underklasse av spekulative sårbarheter for utførelse av sidekanaler kjent som Microarchitectural Data Sampling. Disse sikkerhetsproblemene er løst i følgende CVE-er:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)

• CVE-2018-12126 | Sampling av bufferdata for mikroarkelementlager (MSBDS)

• CVE-2018-12127 | Sampling av mikroarkittaktive fyllbufferdata (MFBDS)

• CVE-2018-12130 | Sampling av mikroarkelementbelastningsportdata (MLPDS)

Vi har lansert oppdateringer for å bidra til å redusere disse sikkerhetsproblemene. For å få alle tilgjengelige beskyttelser kreves fastvare (mikrokode) og programvareoppdateringer. Dette kan omfatte mikrokode fra OEMer for enheten. I noen tilfeller vil installasjon av disse oppdateringene ha en innvirkning på ytelsen. Vi har også handlet for å sikre skytjenestene våre. Vi anbefaler på det sterkeste å distribuere disse oppdateringene.

Hvis du vil ha mer informasjon om dette problemet, kan du se følgende veiledning for sikkerhet og bruke scenariobasert veiledning til å fastslå handlinger som er nødvendige for å redusere trusselen:

• ADV190013 | Microsoft-veiledning for å redusere sårbarheter for mikroarkivaktivering av datasampling

• Windows-veiledning for å beskytte mot spekulative sårbarheter i utførelsessiden

August 6, 2019 Intel utgitt detaljer om en Windows kjerne informasjon avsløring sårbarhet. Dette sikkerhetsproblemet er en variant av spectre variant 1 spekulativ kjøring sidekanal sårbarhet og har blitt tilordnet CVE-2019-1125.

Vi lanserte sikkerhetsoppdateringer for Windows-operativsystemet 9. juli 2019 for å bidra til å redusere dette problemet. Vær oppmerksom på at vi holdt tilbake dokumentering av denne reduksjonen offentlig frem til den koordinerte industriavsløringen tirsdag 6.

Kunder som har Windows Update aktivert og har brukt sikkerhetsoppdateringene som ble utgitt 9. juli 2019, beskyttes automatisk. Det er ingen ytterligere konfigurasjon nødvendig.

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet og aktuelle oppdateringer, kan du se Microsofts veiledning for sikkerhetsoppdatering:

• CVE-2019-1125 | Sikkerhetsproblem i Windows Kernel Information Disclosure

November 12, 2019 publiserte Intel en teknisk veiledning rundt Intel Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort sikkerhetsproblem som er tilordnet CVE-2019-11135. Vi har utgitt oppdateringer for å bidra til å redusere dette sikkerhetsproblemet. Som standard er OS-beskyttelsene aktivert for Windows Client OS-utgaver.

14. juni 2022 publiserte vi ADV220002 | Microsofts veiledning om sikkerhetsproblemer med MMIO-foreldede data for Intel Processor. Sikkerhetsproblemer er tilordnet i følgende CVE-er:

• CVE-2022-21123 | Delt bufferdata lest (SBDR)

• CVE-2022-21125 | Sampling av delte bufferdata (SBDS)

• CVE-2022-21127 | Samplingsoppdatering for spesielle registerbufferdata (SRBDS-oppdatering)

• CVE-2022-21166 | Enhetsregister for delvis skriving (DRPW)

Anbefalte handlinger

Du bør utføre følgende tiltak for å beskytte deg mot disse sikkerhetsproblemene:

1. Bruk alle tilgjengelige oppdateringer for Windows-operativsystemet, inkludert de månedlige Windows-sikkerhetsoppdateringene.

2. Bruk den gjeldende fastvareoppdateringen (mikrokode) som leveres av enhetsprodusenten.

3. Evaluer risikoen for miljøet basert på informasjonen som er oppgitt i Microsofts sikkerhetsveiledninger ADV180002, ADV180012, ADV190013 og ADV220002,i tillegg til informasjonen i denne artikkelen.

4. Utfør handling etter behov ved hjelp av veiledningene og informasjonen om registernøkkelen som er angitt i denne artikkelen.

12. juli 2022 publiserte vi CVE-2022-23825 | AMD CPU-grentypeforvirring som beskriver at aliaser i grenforutsikten kan føre til at visse AMD-prosessorer forutser feil grentype. Dette problemet kan potensielt føre til fremlegging av informasjon.

For å beskytte deg mot dette sikkerhetsproblemet anbefaler vi at du installerer Windows-oppdateringer som er datert på eller etter juli 2022, og deretter iverksetter tiltak som kreves av CVE-2022-23825 og informasjon om registernøkkel som er angitt i denne kunnskapsbase artikkelen.

Hvis du vil ha mer informasjon, kan du se sikkerhetsbulletinen AMD-SB-1037 .

8. august 2023 publiserte vi CVE-2023-20569 | AMD CPU Return Address Predictor (også kjent som Oppstart) som beskriver et nytt spekulativt sidekanalangrep som kan resultere i spekulativ utførelse på en angriperkontrollert adresse. Dette problemet påvirker visse AMD-prosessorer og kan potensielt føre til fremlegging av informasjon.

For å beskytte deg mot dette sikkerhetsproblemet anbefaler vi at du installerer Windows-oppdateringer som er datert på eller etter august 2023, og deretter iverksetter tiltak som kreves av CVE-2023-20569 og informasjon om registernøkkel som er angitt i denne kunnskapsbase artikkelen.

Hvis du vil ha mer informasjon, kan du se sikkerhetsbulletinen AMD-SB-7005 .

9. april 2024 publiserte vi CVE-2022-0001 | Intel Branch History Injection som beskriver Branch History Injection (BHI) som er en bestemt form for intra-modus BTI. Dette sikkerhetsproblemet oppstår når en angriper kan manipulere grenloggen før overgangen fra bruker til tilsynsmodus (eller fra VMX ikke-rot-/gjest til rotmodus). Denne manipulasjonen kan føre til at en indirekte grenforutsiger velger en bestemt prediktoroppføring for en indirekte gren, og et miniprogram for avsløring på det forutsette målet vil kjøre midlertidig. Dette kan være mulig fordi den relevante grenloggen kan inneholde grener som er tatt i tidligere sikkerhetskontekster, og spesielt andre prediktormoduser.

Som standard er bruker-til-kjerne-beskyttelse for CVE-2017-5715 deaktivert for AMD- og ARM-CPU-er. Du må aktivere begrensningen for å motta ekstra beskyttelse for CVE-2017-5715. Hvis du vil ha mer informasjon, kan du se vanlige spørsmål nr. 15 i ADV180002 for AMD-prosessorer og vanlige spørsmål #20 i ADV180002 for ARM-prosessorer.

Som standard er bruker-til-kjerne-beskyttelse for CVE-2017-5715 deaktivert for AMD-prosessorer. Kunder må aktivere begrensningen for å motta ytterligere beskyttelse for CVE-2017-5715.  Hvis du vil ha mer informasjon, kan du se Vanlige spørsmål nr. 15 i ADV180002.

Slik aktiverer du begrensningen for CVE-2022-23825 på AMD-prosessorer :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

For å være fullstendig beskyttet, kan det hende at kunder også må deaktivere Hyper-Threading (også kjent som Simultaneous Multi Threading (SMT)). Se KB4073757for veiledning om beskyttelse av Windows-enheter. 

Slik aktiverer du begrensningen for CVE-2023-20569 på AMD-prosessorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Slik aktiverer du begrensningen for CVE-2022-0001 på Intel-prosessorer:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Hvis du vil ha en detaljert forklaring av utdataene for PowerShell-skriptet, kan du se KB4074629.

Mikrokoden leveres gjennom en fastvareoppdatering. Du bør ta kontakt med CPU-en (brikkesettet) og enhetsprodusentene om tilgjengeligheten av gjeldende sikkerhetsoppdateringer for fastvare for den bestemte enheten, inkludert Intels Microcode Revision Guidance.

Adressering av et maskinvaresårbarhet gjennom en programvareoppdatering byr på betydelige utfordringer. Begrensninger for eldre operativsystemer krever også omfattende arkitektoniske endringer. Vi samarbeider med berørte brikkeprodusenter for å finne den beste måten å levere begrensninger på, som kan leveres i fremtidige oppdateringer.

Oppdateringer for Microsoft Surface-enheter leveres til kunder gjennom Windows Update sammen med oppdateringene for Windows-operativsystemet. Hvis du vil ha en liste over tilgjengelige oppdateringer for Surface-enhetens fastvare (mikrokode), kan du se KB4073065.

Hvis enheten ikke er fra Microsoft, kan du bruke fastvare fra enhetsprodusenten. Hvis du vil ha mer informasjon, kontakter du produsenten av OEM-enheten.

I februar og mars 2018 lanserte Microsoft ekstra beskyttelse for noen x86-baserte systemer. Hvis du vil ha mer informasjon , kan du se KB4073757 og Microsoft Security Advisory ADV180002.

Oppdateringer for å Windows 10 for HoloLens er tilgjengelige for HoloLens-kunder gjennom Windows Update.

Etter å ha brukt Windows Sikkerhet Update for februar 2018, trenger ikke HoloLens-kunder å gjøre noe mer for å oppdatere fastvaren for enheten. Disse begrensningene vil også bli inkludert i alle fremtidige utgivelser av Windows 10 for HoloLens.

Nei. Bare sikkerhetsoppdateringer er ikke kumulative. Avhengig av hvilken versjon av operativsystemet du kjører, må du installere alle månedlige sikkerhetsoppdateringer som skal beskyttes mot disse sikkerhetsproblemene. Hvis du for eksempel kjører Windows 7 for 32-biters systemer på en berørt Intel CPU, må du installere alle oppdateringene bare for sikkerhet. Vi anbefaler at du installerer disse oppdateringene bare for sikkerhet i utgivelsesrekkefølgen.

Obs!   En tidligere versjon av disse vanlige spørsmålene uttalte feilaktig at oppdateringen for bare sikkerhetsoppdatering for februar inkluderte sikkerhetsoppdateringene som ble utgitt i januar. Faktisk gjør det ikke det.

Nei. Sikkerhetsoppdatering 4078130 var en bestemt løsning for å forhindre uforutsigbar systematferd, ytelsesproblemer og/eller uventede omstarter etter installasjon av mikrokode. Bruk av sikkerhetsoppdateringene for februar på operativsystemer for Windows-klienten muliggjør alle tre begrensninger.

Intel kunngjorde nylig at de har fullført valideringene sine og begynte å lansere mikrokode for nyere CPU-plattformer. Microsoft gjør tilgjengelige Intel-validerte mikrokodeoppdateringer rundt Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 lister opp spesifikke Knowledge Base-artikler etter Windows-versjon. Hver enkelt KB inneholder tilgjengelige Intel-mikrokodeoppdateringer etter CPU.

Dette problemet ble løst i KB4093118.

AMD kunngjorde nylig at de har begynt å lansere mikrokode for nyere CPU-plattformer rundt Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). Hvis du vil ha mer informasjon, kan du se AMD Security Oppdateringer og AMD Whitepaper: Architecture Guidelines around Indirect Branch Control. Disse er tilgjengelige fra OEM-fastvarekanalen.

Vi gjør tilgjengelige Intel validerte mikrokodeoppdateringer rundt Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection "). For å få de nyeste Intel-mikrokodeoppdateringene gjennom Windows Update, må kunder ha installert Intel-mikrokode på enheter som kjører et Windows 10 operativsystem før de oppgraderer til Windows 10 april 2018 Update (versjon 1803).

Mikrokodeoppdateringen er også tilgjengelig direkte fra katalogen hvis den ikke ble installert på enheten før du oppgraderte operativsystemet. Intel-mikrokode er tilgjengelig via Windows Update, WSUS eller Microsoft Update-katalogen. Hvis du vil ha mer informasjon og instruksjoner for nedlasting, kan du se KB4100347.

Hvis du vil ha mer informasjon, kan du se følgende ressurser:

• ADV180012 | Microsoft-veiledning for speculative Store Bypass for CVE-2018-3639

• ADV180013 | Microsoft-veiledning for rogue systemregister lest for CVE-2018-3640 og KB4073065

• Blogg for Microsoft Security Research and Defense

• Utviklerveiledning for spekulativ butikk bypass

Hvis du vil ha mer informasjon, kan du se avsnittene Anbefalte handlinger og Vanlige spørsmål i ADV180012 | Microsoft-veiledning for spekulativ butikkomkobling.

For å bekrefte statusen for SSBD ble Get-SpeculationControlSettings PowerShell-skriptet oppdatert for å oppdage berørte prosessorer, status for SSBD-operativsystemoppdateringer og tilstanden til prosessormikrokoden hvis aktuelt. Hvis du vil ha mer informasjon og få Tak i PowerShell-skriptet, kan du se KB4074629.

Juni 13, 2018, en ekstra sårbarhet som involverer side-kanal spekulativ utførelse, kjent som Lazy FP State Restore, ble annonsert og tildelt CVE-2018-3665. Det er ikke nødvendig med konfigurasjonsinnstillinger (registerinnstillinger) for gjenoppretting av forsinket gjenoppretting.

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet og anbefalte handlinger, kan du se sikkerhetsveiledning ADV180016 | Microsoft Guidance for Lazy FP State Restore.

Bounds Check Bypass Store (BCBS) ble offentliggjort 10. juli 2018 og tilordnet CVE-2018-3693. Vi anser BCBS for å tilhøre samme klasse av sikkerhetsproblemer som Bounds Check Bypass (variant 1). Vi er for øyeblikket ikke klar over noen forekomster av BCBS i programvaren vår, men vi fortsetter å undersøke denne sårbarhetsklassen og vil samarbeide med bransjepartnere for å frigi begrensninger etter behov. Vi fortsetter å oppfordre forskere til å sende inn relevante funn til Microsofts speculative Execution Side Channel bounty program, inkludert eventuelle utnyttelige forekomster av BCBS. Programvareutviklere bør se gjennom utviklerveiledningen som ble oppdatert for BCBS på https://aka.ms/sescdevguide.

14. august 2018 ble L1 Terminal Fault (L1TF) annonsert og tilordnet flere CVE-er. Disse nye, spekulative sårbarhetene for utførelse av sidekanaler kan brukes til å lese innholdet i minnet på tvers av en klarert grense, og hvis de utnyttes, kan det føre til fremlegging av informasjon. En angriper kan utløse sårbarhetene gjennom flere vektorer, avhengig av det konfigurerte miljøet. L1TF påvirker Intel® Core-prosessorer® og Intel® Xeon-prosessorer®.

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet og en detaljert visning av berørte scenarioer, inkludert Microsofts tilnærming til å redusere L1TF, kan du se følgende ressurser:

• ADV180018 | Microsoft-veiledning for å redusere L1TF-variant

• Blogg om sikkerhetsrådgivningssikkerhet

• Serverveiledning for L1 Terminal Fault

Kunder som bruker 64-biters ARM-prosessorer, bør ta kontakt med enhetens OEM for fastvarestøtte fordi ARM64-operativsystembeskyttelse som reduserer CVE-2017-5715 | Injeksjon av grenmål (Spectre, Variant 2) krever at den nyeste fastvareoppdateringen fra enhets-OPERATIVSYSTEMET trer i kraft.

Hvis du vil ha mer informasjon, kan du se følgende sikkerhetsveiledninger 

• Intels sikkerhetsveiledning

• ADV190013 | Microsoft-veiledning for å redusere sårbarheter for mikroarkivaktivering av datasampling

Hvis du vil ha mer informasjon, kan du se følgende sikkerhetsveiledninger

• Intels sikkerhetsveiledning

• ADV190013 | Microsoft-veiledning for å redusere sårbarheter for mikroarkivaktivering av datasampling

Ytterligere veiledning kan bli funnet i Windows veiledning for å beskytte mot spekulativ utførelse sidekanal sårbarheter

Se veiledningen i Windows-veiledningen for å beskytte mot spekulative sikkerhetsproblemer i utførelsessiden

For Azure-veiledning kan du se denne artikkelen: Veiledning for å redusere spekulative sikkerhetsproblemer i sidekanaler i Azure.  

Hvis du vil ha mer informasjon om retpolineaktivering, kan du se blogginnlegget vårt: Begrense Spectre-variant 2 med Retpoline på Windows. 

Hvis du vil ha mer informasjon om dette sikkerhetsproblemet, kan du se Microsofts sikkerhetsveiledning: CVE-2019-1125 | Sikkerhetsproblem for offentliggjøring av Windows-kjerneinformasjon.

Vi er ikke klar over noen forekomst av dette sikkerhetsproblemet for fremlegging av informasjon som påvirker infrastrukturen for skytjenesten.

Så snart vi ble oppmerksomme på dette problemet, jobbet vi raskt for å løse det og lansere en oppdatering. Vi har stor tro på nære partnerskap med både forskere og bransjepartnere for å gjøre kundene sikrere, og publiserte ikke detaljer før tirsdag 6.

Du finner ytterligere veiledning i Windows-veiledning for å beskytte mot spekulative sårbarheter i utførelsessiden.

Du finner ytterligere veiledning i Windows-veiledning for å beskytte mot spekulative sårbarheter i utførelsessiden.

Du finner ytterligere veiledning i Veiledning for deaktivering av Intel® Transactional Synchronization Extensions (Intel® TSX)-funksjonalitet.

Vi tilbyr tredjeparts kontaktinformasjon for å hjelpe deg med å finne teknisk støtte. Denne kontaktinformasjonen kan endres uten varsel. Vi garanterer ikke nøyaktigheten til denne tredjeparts kontaktinformasjonen.