KB4073119: Diretrizes do cliente Windows para profissionais de TI para proteger contra vulnerabilidades de canal lateral de execução especulativa e microarquitetura baseada em silício

Em 14 de maio de 2019, a Intel publicou informações sobre uma nova subclasse de vulnerabilidades de canal lateral de execução especulativa conhecida como Microarchitectural Data Sampling. Essas vulnerabilidades são abordadas nas seguintes CVEs:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)

• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)

• CVE-2018-12127 | Microarchitectural Fill Buffer Data Sampling (MFBDS)

• CVE-2018-12130 | Microarchitectural Load Port Data Sampling (MLPDS)

Lançamos atualizações para ajudar a mitigar essas vulnerabilidades. Para obter todas as proteções disponíveis, são necessárias atualizações de firmware (microcódigo) e software. Isso pode incluir o microcódigo de OEMs de dispositivos. Em alguns casos, a instalação dessas atualizações terá um impacto no desempenho. Também agimos para proteger nossos serviços de nuvem. É altamente recomendável implantar essas atualizações.

Para obter mais informações sobre esse problema, consulte o seguinte Comunicado de Segurança e use a orientação baseada em cenário para determinar as ações necessárias para mitigar a ameaça:

• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling

• Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa

Em 6 de agosto de 2019, a Intel divulgou detalhes sobre uma vulnerabilidade de divulgação de informações do kernel do Windows. Esta vulnerabilidade é uma variante da vulnerabilidade de canal paralelo de execução especulativa Spectre Variante 1 e foi atribuída ao CVE-2019-1125.

Em 9 de julho de 2019, lançamos atualizações de segurança para o sistema operacional Windows para ajudar a mitigar esse problema. Observe que aguardamos para documentar essa mitigação publicamente até a revelação coordenada do setor na terça-feira, 6 de agosto de 2019.

Os clientes que têm o Windows Update habilitado e aplicaram as atualizações de segurança lançadas em 9 de julho de 2019 estão protegidos automaticamente. Nenhuma outra configuração é necessária.

Para obter mais informações sobre essa vulnerabilidade e as atualizações aplicáveis, consulte o Guia de Atualização de Segurança da Microsoft:

• CVE-2019-1125 | Vulnerabilidade de divulgação de informações do kernel do Windows

Em 12 de novembro de 2019, a Intel publicou um comunicado técnico sobre a vulnerabilidade Transaction Asynchronous Abort do Intel Transactional Synchronization Extensions (Intel TSX) atribuída à CVE-2019-11135. Lançamos atualizações para ajudar a mitigar essa vulnerabilidade. Por padrão, as proteções do sistema operacional são habilitadas para as edições do SO do Cliente do Windows.

Em 14 de junho de 2022, publicamos o ADV220002 | Diretrizes da Microsoft sobre vulnerabilidades de dados obsoletas do MMIO do Processador Intel. Essas vulnerabilidades estão atribuídas às CVEs a seguir:

• CVE-2022-21123 | Shared Buffer Data Read (SBDR)

• CVE-2022-21125 | Shared Buffer Data Sampling (SBDS)

• CVE-2022-21127 | Special Register Buffer Data Sampling Update (SRBDS Update)

• CVE-2022-21166 | Device Register Partial Write (DRPW)

Ações recomendadas

Você deve tomar as seguintes medidas para se proteger contra essas vulnerabilidades:

1. Aplica as atualizações disponíveis do sistema operacional Windows, incluindo as atualizações de segurança do Windows mensais.

2. Aplica a atualização de firmware (microcódigo) aplicável fornecida pelo fabricante do dispositivo.

3. Avalie o risco para seu ambiente com base nas informações fornecidas nos Avisos de Segurança da Microsoft ADV180002, ADV180012, ADV190013 e ADV220002,além das informações fornecidas neste artigo.

4. Tome as medidas necessárias usando os avisos e as informações da chave do Registro fornecidas neste artigo.

Em 12 de julho de 2022, publicamos a CVE-2022-23825 | Confusão de Tipo de Branch da CPU AMD, que descreve que aliases no previsor de branch podem fazer com que determinados processadores AMD prevejam o tipo de branch errado. Esse problema pode potencialmente levar à divulgação de informações confidenciais.

Para ajudar a se proteger contra essa vulnerabilidade, recomendamos a instalação de atualizações do Windows datadas de julho de 2022 ou posteriores e, em seguida, tomar as medidas exigidas por CVE-2022-23825 e informações de chave do Registro fornecidas neste artigo da base de dados de conhecimento.

Para obter mais informações, confira o boletim de segurança AMD-SB-1037.

Em 8 de agosto de 2023, publicamos CVE-2023-20569 | Previsor de Endereço do Remetente (também conhecido como Inception) que descreve um novo ataque de canal lateral especulativo que pode resultar em execução especulativa em um endereço controlado pelo invasor. Esse problema afeta determinados processadores AMD e pode levar à divulgação de informações confidenciais.

Para ajudar a proteger contra essa vulnerabilidade, recomendamos instalar as atualizações do Windows com data de agosto de 2023 ou posteriores e, em seguida, tomar providências conforme exigido pela CVE-2023-20569 e pelas informações da chave do Registro fornecidas neste artigo da base de dados de conhecimento.

Para obter mais informações, confira o boletim de segurança AMD-SB-7005.

No dia 9 de abril de 2024, publicamos CVE-2022-0001 | Injeção do Histórico de Branch da Intel, que descreve a Injeção do Histórico de Branch (BHI), que é uma forma específica de BTI intra-modo. Essa vulnerabilidade ocorre quando um invasor pode manipular o histórico de ramificações antes de fazer a transição do modo usuário para o modo supervisor (ou do modo VMX não raiz/convidado para o modo raiz). Essa manipulação pode fazer com que um preditor de ramificação indireta selecione uma entrada específica do preditor para uma ramificação indireta, e um gadget de divulgação no destino previsto será executado transitoriamente. Isso pode ser possível porque o histórico de ramificação relevante pode conter ramificações feitas em contextos de segurança anteriores e, em particular, em outros modos de previsão.

Por padrão, a proteção do usuário ao kernel para a CVE-2017-5715 está desabilitada para CPUs AMD e ARM. Você deve habilitar a mitigação para receber proteções adicionais para a CVE-2017-5715. Para obter mais informações, consulte o número 15 das perguntas frequentes no ADV180002 para processadores AMD e o número 20 das perguntas frequentes no ADV180002 para processadores ARM.

Por padrão, a proteção do usuário ao kernel para a CVE-2017-5715 está desabilitada para processadores AMD. Os clientes devem habilitar a mitigação para receber proteções adicionais para a CVE-2017-5715.  Para obter mais informações, consulte o número 15 das perguntas frequentes no ADV180002.

Para habilitar a mitigação para a CVE-2022-23825 nos processadores AMD :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Para serem totalmente protegidos, os clientes também podem precisar desabilitar o Hyper-Threading (também conhecido como SMT (Multi-Threading Simultâneo)). Consulte KB4073757para obter diretrizes sobre como proteger os dispositivos Windows. 

Para habilitar a mitigação para CVE-2023-20569 em processadores AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Para habilitar a mitigação da CVE-2022-0001 em processadores Intel:

adicionar registro "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Para obter uma explicação detalhada sobre a saída do script do PowerShell, consulte KB4074629 .

O microcódigo é fornecido através de uma atualização de firmware. Os clientes devem verificar com seus fabricantes de dispositivos e CPU (chipset) a disponibilidade de atualizações de segurança de firmware aplicáveis ao dispositivo específico, incluindo a Orientação de revisão de microcódigo da Intel.

A resolução de uma vulnerabilidade de hardware por meio de uma atualização de software apresenta desafios significativos. Além disso, as mitigações para sistemas operacionais mais antigos exigem alterações arquitetônicas extensas. Estamos trabalhando com fabricantes de chips afetados para determinar a melhor maneira de proporcionar mitigações, que podem ser disponibilizadas em atualizações futuras.

As atualizações para dispositivos Microsoft Surface serão entregues aos clientes por meio do Windows Update, juntamente com as atualizações para o sistema operacional Windows. Para obter uma lista das atualizações disponíveis do firmware (microcódigo) do dispositivo Surface, consulte KB 4073065.

Se seu dispositivo não for da Microsoft, aplique o firmware do fabricante do dispositivo. Para obter mais informações, contacte o fabricante do dispositivo OEM.

Em fevereiro e março de 2018, a Microsoft lançou uma proteção reforçada para alguns sistemas com base em x86. Para obter mais informações, consulte KB4073757 e o Comunicado de Segurança da Microsoft ADV180002.

Atualizações no Windows 10 para o HoloLens estão disponíveis para os clientes do HoloLens por meio do Windows Update.

Depois de aplicar a Atualização de Segurança do Windows de fevereiro de 2018, os clientes do HoloLens não deverão tomar nenhuma medida adicional para atualizar o firmware do dispositivo. Essas atenuações também serão incluídas em todos os lançamentos futuros do Windows 10 para HoloLens.

Não. As atualizações Apenas segurança não são cumulativas. Dependendo da versão do sistema operacional que você está executando, você deverá instalar cada atualização Apenas segurança mensal para ficar protegido contra essas vulnerabilidades. Por exemplo, se você estiver executando o Windows 7 para sistemas de 32 bits em uma CPU Intel afetada, deverá instalar todas as atualizações Apenas segurança. Recomendamos a instalação dessas atualizações Apenas segurança na ordem de lançamento.

Observação Uma versão anterior desta pergunta frequente afirmou incorretamente que a atualização Apenas de segurança de fevereiro incluía apenas as correções de segurança liberadas em janeiro. Na verdade, isso não ocorre.

Não. A atualização de segurança 4078130 foi uma correção específica para evitar comportamentos imprevisíveis do sistema, problemas de desempenho e/ou reinicializações inesperadas após a instalação do microcódigo. A aplicação das atualizações de segurança de fevereiro nos sistemas operacionais Windows Client habilita todas as três mitigações.

A Intel recentemente anunciou que concluiu as validações e começou a liberar o microcódigo para plataformas de CPU mais recentes. A Microsoft está disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 lista artigos específicos da base de dados de conhecimento por versão do Windows. Cada KB específico contém as atualizações de microcódigo da Intel disponíveis por CPU.

Esse problema foi resolvido no KB4093118.

A AMD recentemente anunciou que começou a liberar o microcódigo para plataformas de CPU mais recentes para Spectre variante 2 (CVE-2017-5715 "Branch Target Injection"). Para obter mais informações, consulte Atualizações de Segurança da AMD e White paper: Diretrizes de arquitetura da AMD para controle de ramificação indireto . Elas estão disponíveis no canal de firmware do OEM.

Estamos disponibilizando atualizações de microcódigo validadas pela Intel para a Spectre Variante 2 (CVE-2017-5715 “Branch Target Injection ”). Para obterem as últimas atualizações de microcódigo da Intel por meio do Windows Update, os clientes devem ter instalado o microcódigo da Intel em dispositivos com um sistema operacional Windows 10 anterior à Atualização do Windows 10 de abril de 2018 (versão 1803).

A atualização do microcódigo também está disponível diretamente no Catálogo, caso não tenha sido instalada no dispositivo antes da atualização do sistema operacional. O microcódigo da Intel está disponível no Windows Update, no WSUS ou no Catálogo do Microsoft Update. Para obter mais informações e para baixar instruções, consulte KB4100347.

Para obter mais informações, consulte os seguintes recursos:

• ADV180012 | Diretrizes da Microsoft para a Speculative Store Bypass para a CVE-2018-3639

• ADV180013 | Diretrizes da Microsoft para Rogue System Register Read para CVE-2018-3640 e KB4073065

• Blog Security Research and Defense da Microsoft

• Orientação a Desenvolvedores para a Speculative Store Bypass

Para mais detalhes, consulte as seções “Ações recomendadas” e “Perguntas frequentes” no ADV180012 | Diretrizes da Microsoft para Speculative Store Bypass.

Para verificar o status do SSBD, o script PowerShell Get-SpeculationControlSettings foi atualizado para detectar processadores afetados, status das atualizações do sistema operacional SSBD e estado do microcódigo do processador, se aplicável. Para obter mais informações e o script do PowerShell, consulte KB4074629.

Em 13 de junho de 2018, uma vulnerabilidade adicional envolvendo execução especulativa de canal lateral, conhecida como Lazy FP State Restore, foi anunciada e atribuída à CVE-2018-3665. Nenhuma configuração (registro) é necessária  para o Lazy Restore FP Restore.

Para obter mais informações sobre essa vulnerabilidade e as ações recomendadas, consulte o comunicado de segurança ADV180016 | Diretrizes da Microsoft para Lazy FP State Restore.

A "Bounds Check Bypass Store" (BCBS) foi divulgada em 10 de julho de 2018 e designada como CVE-2018-3693. Consideramos que a BCBS pertence à mesma classe de vulnerabilidades que a "Bounds Check Bypass" (Variante 1). No momento, não estamos cientes de nenhuma instância da BCBS em nosso software, mas continuamos a pesquisar essa classe de vulnerabilidade e trabalharemos com parceiros do setor para liberar as mitigações conforme necessário. Continuamos incentivando os pesquisadores a enviarem quaisquer conclusões relevantes ao Speculative Execution Side Channel bounty program da Microsoft, incluindo quaisquer instâncias exploráveis da BCBS. Os desenvolvedores de software devem analisar a diretriz para desenvolvedores que foi atualizada para a BCBS em https://aka.ms/sescdevguide.

Em 14 de agosto de 2018, a L1 Terminal Fault (L1TF) foi anunciada e atribuída a várias CVEs. Essas novas vulnerabilidades de canal paralelo de execução especulativa podem ser usadas para ler o conteúdo da memória em um limite confiável e, se exploradas, poderão resultar na divulgação não autorizada de informações. Um invasor pode disparar as vulnerabilidades por meio de vários vetores, dependendo do ambiente configurado. A L1TF afeta processadores Intel® Core® e Intel® Xeon®.

Para obter mais informações sobre essa vulnerabilidade e uma visão detalhada dos cenários afetados, incluindo a abordagem da Microsoft para atenuar a L1TF,  consulte os seguintes recursos:

• ADV180018 | Diretrizes da Microsoft para mitigar a variante L1TF

• Comunicado de Segurança - Blog de Pesquisa de Segurança

• Orientação para Servidores sobre a L1 Terminal Fault

Os clientes que usam processadores ARM de 64 bits devem consultar o OEM do dispositivo para obter suporte de firmware, pois as proteções de sistema operacional do ARM64 que mitigam a CVE-2017-5715 | Branch target injection (Spectre, variante 2) exigem a atualização mais recente do firmware dos OEMs dos dispositivos para terem efeito.

Para obter mais informações, consulte os seguintes comunicados de segurança 

• Comunicado de segurança da Intel

• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling

Para obter mais informações, consulte os seguintes comunicados de segurança

• Comunicado de segurança da Intel

• ADV190013 | Orientação da Microsoft para mitigar vulnerabilidades Microarchitectural Data Sampling

Diretrizes adicionais podem ser encontradas em Diretrizes do Windows para proteção contra as vulnerabilidades de canal lateral de execução especulativa

Consulte as diretrizes em Diretrizes do Windows para proteção contra as vulnerabilidades de canal lateral de execução especulativa

Para obter diretrizes do Azure, consulte este artigo: Diretrizes para mitigar vulnerabilidades do canal lateral de execução especulativa no Azure.  

Para obter mais informações sobre a habilitação do Retpoline, consulte nossa postagem do blog: Mitigando a Spectre variante 2 com o Retpoline no Windows. 

Para obter detalhes sobre essa vulnerabilidade, consulte o Guia de Segurança da Microsoft: CVE-2019-1125 | Vulnerabilidade de Divulgação de Informações Confidenciais do Kernel do Windows.

Não estamos cientes de nenhuma instância dessa vulnerabilidade de divulgação de informações que afete nossa infraestrutura de serviços em nuvem.

Assim que tomamos conhecimento desse problema, trabalhamos rapidamente para solucioná-lo e lançar uma atualização. Acreditamos firmemente em parcerias estreitas com pesquisadores e parceiros do setor para tornar os clientes mais seguros, e não publicamos detalhes até terça-feira, 6 de agosto, de forma consistente com práticas coordenadas de divulgação de vulnerabilidades.

Orientações adicionais podem ser encontradas em Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa.

Orientações adicionais podem ser encontradas em Diretrizes do Windows para proteção contra as vulnerabilidades de canal paralelo de execução especulativa.

Outras orientações podem ser encontradas na Orientação para desabilitar a funcionalidade Intel® Transactional Synchronization Extensions (Intel® TSX).

Fornecemos informações de contato de terceiros para ajudá-lo a encontrar suporte técnico. Essas informações de contato podem ser alteradas sem aviso prévio. Não garantimos a precisão dessas informações para contato com outras empresas.