KB4072698: Hướng dẫn HCI Windows Server và Azure Stack để bảo vệ chống lại lỗ hổng vi cấu trúc vi cấu trúc dựa trên silicon và lỗ hổng thực hiện suy đoán phía kênh

Bài viết này khắc phục các lỗ hổng thực hiện suy đoán sau đây:

• CVE-2017-5715 | Branch Target Injection

• CVE-2017-5753 | Bỏ qua Kiểm tra Giới hạn

• CVE-2017-5754 | Tải Bộ đệm ẩn Dữ liệu Rogue

• CVE-2018-3639 | Bỏ qua Cửa hàng Suy đoán

Windows Update cũng sẽ cung cấp các biện pháp giảm thiểu Internet Explorer và Edge. Chúng tôi sẽ tiếp tục cải thiện các biện pháp giảm thiểu này đối với loại lỗ hổng này.

Để tìm hiểu thêm về loại lỗ hổng này, hãy xem

• ADV180002 | Hướng dẫn để giảm thiểu lỗ hổng thực hiện suy đoán phía kênh

• ADV180012 | Hướng dẫn Microsoft cho Bỏ qua Cửa hàng Suy đoán

Vào ngày 14 tháng 5 năm 2019, Intel đã công bố thông tin về một phân lớp mới của lỗ hổng thực hiện suy đoán phía kênh được gọi là Lấy mẫu dữ liệu Vi cấu trúc và được ghi ADV190013 | Lấy mẫu Dữ liệu Vi cấu trúc. Họ đã được gán các CVEs sau đây:

• CVE-2019-11091 | Lấy mẫu Dữ liệu Vi cấu trúc sampling Uncacheable Memory (MDSUM)

• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)

• CVE-2018-12127 | Lấy mẫu dữ liệu bộ đệm điền vi cấu trúc (MFBDS)

• CVE-2018-12130 | Lấy mẫu Dữ liệu Cổng Tải Vi cấu trúc (MLPDS)

Microsoft đã phát hành các bản cập nhật để giúp giảm thiểu các lỗ hổng này. Để nhận được tất cả các tùy chọn bảo vệ có sẵn, cần có bản cập nhật vi chương trình (vi mã) và phần mềm. Điều này có thể bao gồm vi mã từ OEM của thiết bị. Trong một số trường hợp, việc cài đặt các bản cập nhật này sẽ có ảnh hưởng đến hiệu suất. Chúng tôi cũng đã hành động để bảo mật các dịch vụ đám mây của mình. Chúng tôi đặc biệt khuyên bạn nên triển khai các bản cập nhật này.

Để biết thêm thông tin về sự cố này, hãy xem Tư vấn Bảo mật sau và sử dụng hướng dẫn dựa trên kịch bản để xác định các hành động cần thiết để giảm thiểu mối đe dọa:

• ADV190013 | Hướng dẫn của Microsoft để giảm thiểu các lỗ hổng Lấy mẫu Dữ liệu Vi cấu trúc

• Hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh

Vào ngày 6 tháng 8 năm 2019, Intel đã phát hành thông tin chi tiết về lỗ hổng tiết lộ thông tin nhân Windows. Lỗ hổng này là một biến thể của Spectre, Biến thể 1 lỗ hổng thực hiện suy đoán phía kênh và đã được gán CVE-2019-1125.

Chúng tôi đã phát hành các bản cập nhật bảo mật cho hệ điều hành Windows vào ngày 9 tháng 7 năm 2019 để giúp giảm thiểu sự cố này. Xin lưu ý rằng chúng tôi đã tổ chức lại ghi lại biện pháp giảm nhẹ này công khai cho đến khi ngành công bố phối hợp vào thứ Ba, ngày 6 tháng 8 năm 2019.

Những khách hàng đã bật Windows Update và đã áp dụng các bản cập nhật bảo mật được phát hành vào ngày 9 tháng 7 năm 2019 sẽ được bảo vệ tự động. Không cần phải cấu hình thêm.

Để biết thêm thông tin về lỗ hổng này và các bản cập nhật hiện hành, hãy xem Hướng dẫn Cập nhật Bảo mật của Microsoft:

• CVE-2019-1125 | Windows Kernel Information Disclosure Vulnerability

Vào ngày 12 tháng 11 năm 2019, Intel đã xuất bản một tư vấn kỹ thuật liên quan đến lỗ hổng Hủy bỏ Không đồng bộ Giao dịch Intel® Transactional Synchronization Extensions (Intel TSX) được gán là CVE-2019-11135. Microsoft đã phát hành các bản cập nhật để giúp giảm thiểu lỗ hổng này và theo mặc định, các tùy chọn bảo vệ HĐH được bật cho Windows Server 2019 nhưng bị vô hiệu hóa cho Windows Server 2016 và các phiên bản HĐH Windows Server cũ hơn.

Vào ngày 14 tháng 6 năm 2022, chúng tôi đã xuất bản ADV220002 | Hướng dẫn Microsoft về Các lỗ hổng Dữ liệu Dập ghi MMIO của Bộ xử lý Intel và gán các CVEs sau: 

• CVE-2022-21123 | Đã đọc dữ liệu bộ đệm dùng chung (SBDR)

• CVE-2022-21125 | Lấy mẫu dữ liệu bộ đệm dùng chung (SBDS)

• CVE-2022-21127 | Bản cập nhật mẫu dữ liệu bộ đệm đăng ký đặc biệt (Bản cập nhật SRBDS)

• CVE-2022-21166 | Thiết bị Đăng ký Viết một phần (DRPW)

Các hành động được đề xuất

Bạn nên thực hiện các hành động sau đây để giúp bảo vệ chống lại các lỗ hổng:

1. Áp dụng tất cả các bản cập nhật hệ điều hành Windows hiện có, bao gồm cả các bản cập nhật bảo mật Windows hàng tháng.

2. Áp dụng bản cập nhật vi chương trình (vi mã) hiện hành do nhà sản xuất thiết bị cung cấp.

3. Đánh giá rủi ro đối với môi trường của bạn dựa trên thông tin được cung cấp trên Tư vấn Bảo mật của Microsoft: ADV180002, ADV180012, ADV190013 và ADV220002, ngoài thông tin được cung cấp trong bài viết cơ sở tri thức này.

4. Hãy hành động theo yêu cầu bằng cách sử dụng thông tin tư vấn và khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Vào ngày 12 tháng 7 năm 2022, chúng tôi đã phát hành CVE-2022-23825 | Nhầm lẫn loại nhánh AMD CPU mô tả rằng biệt danh trong bộ dự đoán nhánh có thể khiến một số bộ xử lý AMD dự đoán sai loại nhánh. Sự cố này có thể dẫn đến tiết lộ thông tin.

Để giúp bảo vệ chống lại lỗ hổng này, chúng tôi khuyên bạn nên cài đặt các bản cập nhật Windows được cập nhật vào hoặc sau tháng 7 năm 2022 và sau đó thực hiện hành động theo yêu cầu của CVE-2022-23825 và thông tin khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Để biết thêm thông tin, hãy xem bản tin bảo mật AMD-SB-1037 .

Vào ngày 8 tháng 8 năm 2023, chúng tôi đã phát hành CVE-2023-20569 | Return Address Predictor (còn được gọi là Inception) mô tả một cuộc tấn công kênh phía suy đoán mới có thể dẫn đến thực hiện suy đoán tại một địa chỉ do kẻ tấn công kiểm soát. Sự cố này ảnh hưởng đến một số bộ xử lý AMD nhất định và có thể dẫn đến tiết lộ thông tin.

Để giúp bảo vệ chống lại lỗ hổng này, chúng tôi khuyên bạn nên cài đặt các bản cập nhật Windows được cập nhật vào hoặc sau tháng 8 năm 2023 và sau đó thực hiện hành động theo yêu cầu của CVE-2023-20569 và thông tin khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Để biết thêm thông tin, hãy xem bản tin bảo mật AMD-SB-7005 .

Vào ngày 9 tháng 4 năm 2024, chúng tôi đã phát hành CVE-2022-0001 | Intel Branch History Injection mô tả Branch History Injection (BHI) là một dạng BTI trong chế độ cụ thể. Lỗ hổng này xảy ra khi kẻ tấn công có thể thao tác lịch sử chi nhánh trước khi chuyển từ người dùng sang chế độ giám sát (hoặc từ VMX không gốc/khách sang chế độ gốc). Thao tác này có thể khiến một trình dự đoán nhánh gián tiếp chọn một mục dự đoán cụ thể cho một nhánh gián tiếp và một tiện ích tiết lộ tại mục tiêu được dự đoán sẽ thực thi tạm thời. Điều này có thể xảy ra vì lịch sử nhánh liên quan có thể chứa các nhánh được thực hiện trong các ngữ cảnh bảo mật trước đó và đặc biệt là các chế độ trình dự đoán khác.

Theo mặc định, tính năng bảo vệ từ người dùng đến nhân cho CVE-2017-5715 bị tắt đối với CPU AMD. Khách hàng phải bật tính năng giảm thiểu để nhận được các biện pháp bảo vệ bổ sung cho CVE-2017-5715.  Để biết thêm thông tin, hãy xem Câu hỏi thường gặp #15 ADV180002.

Theo mặc định, tính năng bảo vệ từ người dùng đến nhân cho CVE-2017-5715 bị tắt đối với bộ xử lý AMD. Khách hàng phải bật tính năng giảm thiểu để nhận được các biện pháp bảo vệ bổ sung cho CVE-2017-5715.  Để biết thêm thông tin, hãy xem Câu hỏi thường gặp #15 ADV180002.

Để bật biện pháp giảm nhẹ cho CVE-2022-23825 trên bộ xử lý AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Để được bảo vệ đầy đủ, khách hàng cũng có thể cần tắt Hyper-Threading chủ đề (còn được gọi là Đa Luồng Đồng thời (SMT)). Vui lòng xem KB4073757 hướng dẫn về cách bảo vệ thiết bị Windows.

Để bật biện pháp giảm nhẹ cho CVE-2023-20569 trên bộ xử lý AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Để bật biện pháp giảm nhẹ cho CVE-2022-0001 trên bộ xử lý Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Để được giải thích chi tiết về kết quả của tập lệnh PowerShell, hãy KB4074629 . 

Để giúp tránh gây ảnh hưởng bất lợi đến thiết bị của khách hàng, tất cả các bản cập nhật bảo mật Windows đã được phát hành vào tháng 1 và tháng 2 năm 2018 không được cung cấp cho tất cả khách hàng. Để biết chi tiết, hãy KB407269 .

Vi mã được cung cấp thông qua bản cập nhật vi chương trình. Tham khảo OEM của bạn về phiên bản vi chương trình có bản cập nhật thích hợp cho máy tính của bạn.

Có nhiều biến ảnh hưởng đến hiệu suất, từ phiên bản hệ thống đến khối lượng công việc đang chạy. Đối với một số hệ thống, hiệu ứng hiệu suất sẽ không đáng kể. Đối với những người khác, nó sẽ là đáng kể.

Chúng tôi khuyên bạn nên đánh giá hiệu ứng hiệu suất trên hệ thống của mình và thực hiện điều chỉnh nếu cần.

Ngoài các hướng dẫn có trong bài viết này về máy ảo, bạn nên liên hệ với nhà cung cấp dịch vụ của bạn để đảm bảo rằng các máy chủ đang chạy máy ảo của bạn được bảo vệ đầy đủ.

Đối với máy ảo Windows Server đang chạy trong Azure, hãy xem Hướng dẫn để giảm thiểu lỗ hổng thực hiện suy đoán phía kênh trong Azure . Để biết hướng dẫn về cách sử dụng Azure Update Management để giảm thiểu sự cố này trên máy ảo khách, hãy KB4077467.

Các bản cập nhật được phát hành cho hình ảnh bộ chứa Windows Server dành cho Windows Server 2016 và Windows 10, phiên bản 1709 bao gồm các biện pháp giảm thiểu cho bộ lỗ hổng này. Không cần cấu hình bổ sung.

Lưu ý Bạn vẫn phải đảm bảo rằng máy chủ mà những bộ chứa này đang chạy được cấu hình để cho phép các biện pháp giảm nhẹ thích hợp.

Không, thứ tự cài đặt không quan trọng.

Có, bạn phải khởi động lại sau khi cập nhật vi chương trình (vi mã) và sau khi cập nhật hệ thống một lần nữa.

Dưới đây là thông tin chi tiết về khóa đăng ký:

FeatureSettingsOverride thể hiện bitmap sẽ ghi đè thiết đặt mặc định và các điều khiển sẽ bị vô hiệu hóa. Bit 0 kiểm soát biện pháp giảm nhẹ tương ứng với CVE-2017-5715. Bit 1 kiểm soát biện pháp giảm nhẹ tương ứng với CVE-2017-5754. Các bit được đặt thành 0 để cho phép giảm nhẹ và 1 để tắt biện pháp giảm nhẹ.

FeatureSettingsOverrideMask đại diện cho một dấu hiệu bitmap được sử dụng cùng với FeatureSettingsOverride.  Trong trường hợp này, chúng ta sử dụng giá trị 3 (được biểu thị là 11 trong hệ số nhị phân hoặc số cơ số 2) để chỉ ra hai bit đầu tiên tương ứng với các biện pháp giảm nhẹ có sẵn. Khóa đăng ký này được đặt thành 3 để bật hoặc tắt các biện pháp giảm nhẹ.

MinVmVersionForCpuBasedMitigations dành cho máy chủ Hyper-V. Khóa đăng ký này xác định phiên bản máy ảo tối thiểu được yêu cầu để bạn sử dụng các tính năng vi chương trình được cập nhật (CVE-2017-5715). Đặt phiên bản này thành 1.0 để bao gồm tất cả các phiên bản máy ảo. Lưu ý rằng giá trị đăng ký này sẽ bị bỏ qua (lành tính) trên các máy chủ không phải hyper-V. Để biết thêm chi tiết, hãy xem mục Bảo vệ máy ảo dành cho khách khỏi CVE-2017-5715 (branch target injection).

Có, sẽ không có tác dụng phụ nếu các cài đặt đăng ký này được áp dụng trước khi cài đặt các bản sửa lỗi liên quan đến tháng 1 năm 2018.

Xem mô tả chi tiết về đầu ra tập lệnh KB4074629: Tìm hiểu về đầu ra tập lệnh SpeculationControl PowerShell .

Có, đối với các máy chủ Windows Server 2016 Hyper-V chưa có bản cập nhật vi chương trình, chúng tôi đã phát hành hướng dẫn thay thế có thể giúp giảm thiểu máy ảo sang máy ảo hoặc máy ảo để lưu trữ các cuộc tấn công. Xem Các biện pháp bảo vệ thay thế cho Máy chủ Windows Server 2016 Hyper-V chống lại lỗ hổng thực hiện suy đoán phía kênh .

Các bản cập nhật dành riêng cho bảo mật không tích lũy. Tùy thuộc vào phiên bản hệ điều hành, bạn có thể cần cài đặt một số bản cập nhật bảo mật để được bảo vệ đầy đủ. Thông thường, khách hàng sẽ cần cài đặt các bản cập nhật tháng 1, tháng 2, tháng 3 và tháng 4 năm 2018. Các hệ thống có bộ xử lý AMD cần có bản cập nhật bổ sung như minh họa trong bảng sau đây:

Chúng tôi khuyên bạn nên cài đặt các bản cập nhật dành riêng cho Bảo mật theo thứ tự phát hành.

Không. Bản cập nhật bảo KB4078130 là một bản sửa lỗi cụ thể để ngăn chặn hành vi hệ thống không thể dự đoán, sự cố hiệu suất và khởi động lại không mong muốn sau khi cài đặt vi mã. Việc áp dụng các bản cập nhật bảo mật trên hệ điều hành máy khách Windows cho phép cả ba biện pháp giảm nhẹ. Trên hệ điều hành Windows Server, bạn vẫn phải bật các biện pháp giảm nhẹ sau khi thực hiện kiểm tra thích hợp. Để biết thêm thông tin, hãy KB4072698.

Sự cố này đã được khắc phục KB4093118.

Vào tháng 2 năm 2018 , Intel đã thông báo rằng họ đã hoàn tất các xác thực và bắt đầu phát hành vi mã cho các nền tảng CPU mới hơn. Microsoft đang cung cấp các bản cập nhật vi mã đã xác thực của Intel liên quan đến Spectre Biến thể 2 Spectre Biến thể 2 (CVE-2017-5715 | Branch Target Injection). KB4093836 liệt kê các bài cơ sở tri thức cụ thể theo phiên bản Windows. Mỗi bài viết KB cụ thể đều chứa các bản cập nhật vi mã Intel có sẵn bằng CPU.

Vào ngày 11 tháng 1 năm 2018, Intel đã báo cáo sự cố trong vi mã được phát hành gần đây nhằm giải quyết Spectre biến thể 2 (CVE-2017-5715 | Branch Target Injection). Cụ thể, Intel lưu ý rằng vi mã này có thể gây ra "cao hơn dự kiến khởi động lại và hành vi hệ thống không thể đoán trước" và các kịch bản này có thể gây ra "mất dữ liệu hoặc hỏng." Kinh nghiệm của chúng tôi là tính không ổn định của hệ thống có thể gây mất dữ liệu hoặc hỏng trong một số trường hợp. Vào ngày 22 tháng 1, Intel khuyên khách hàng nên ngừng triển khai phiên bản vi mã hiện tại trên các bộ xử lý bị ảnh hưởng trong khi Intel thực hiện thử nghiệm bổ sung đối với giải pháp được cập nhật. Chúng tôi hiểu rằng Intel đang tiếp tục điều tra tác động tiềm tiềm của phiên bản vi mã hiện tại. Chúng tôi khuyến khích khách hàng thường xuyên xem lại hướng dẫn của họ để đưa ra quyết định.

Trong khi Intel kiểm tra, cập nhật và triển khai vi mã mới, chúng tôi đang cung cấp bản cập nhật ngoài dải ( OOB) KB4078130, giúp chỉ vô hiệu hóa ảnh hưởng của CVE-2017-5715. Trong thử nghiệm của chúng tôi, bản cập nhật này đã được tìm thấy để ngăn chặn các hành vi mô tả. Để biết danh sách đầy đủ các thiết bị, hãy xem hướng dẫn hiệu đính vi mã từ Intel. Bản cập nhật này bao gồm Windows 7 Gói Dịch vụ 1 (SP1), Windows 8.1 và tất cả các phiên bản của Windows 10, cả máy khách và máy chủ. Nếu bạn đang chạy một thiết bị bị ảnh hưởng, bản cập nhật này có thể được áp dụng bằng cách tải xuống từ trang web Danh mục Microsoft Update. Việc áp dụng tải trọng này đặc biệt vô hiệu hóa việc giảm nhẹ đối với CVE-2017-5715.

Kể từ thời điểm này, không có báo cáo đã biết nào cho thấy Spectre Biến thể 2 này (CVE-2017-5715 | Branch Target Injection) đã được sử dụng để tấn công khách hàng. Chúng tôi khuyên người dùng Windows nên bật lại biện pháp giảm thiểu ảnh hưởng của CVE-2017-5715 khi Intel báo cáo đã giải quyết được hành vi hệ thống không thể dự đoán này cho thiết bị của bạn.

Vào tháng 2 năm 2018, Intel đã thông báo rằng họ đã hoàn tất các xác thực và bắt đầu phát hành vi mã cho các nền tảng CPU mới hơn. Microsoft đang cung cấp các bản cập nhật vi mã được Intel xác thực có liên quan đến Spectre Biến thể 2 Spectre Biến thể 2 (CVE-2017-5715 | Branch Target Injection). KB4093836 liệt kê các bài cơ sở tri thức cụ thể theo phiên bản Windows. Danh sách KBs có sẵn các bản cập nhật vi mã Intel bằng CPU.

Để biết thêm thông tin, hãy xem bài Cập nhật an ninh AMD và Sách trắng AMD: Hướng dẫn Kiến trúc liên quan đến Kiểm soát Nhánh Gián tiếp . Các bản cập nhật này có sẵn từ kênh vi chương trình OEM.

Chúng tôi đang cung cấp các bản cập nhật vi mã được Intel xác thực có liên quan đến Spectre Biến thể 2 (CVE-2017-5715 | Branch Target Injection). Để nhận các bản cập nhật vi mã Intel mới nhất thông qua Windows Update, khách hàng phải cài đặt vi mã Intel trên thiết bị chạy hệ điều hành Windows 10 trước khi nâng cấp lên Bản cập nhật Windows 10 tháng 4 năm 2018 (phiên bản 1803).

Bản cập nhật vi mã cũng có sẵn trực tiếp từ Danh mục Microsoft Update nếu chưa được cài đặt trên thiết bị trước khi nâng cấp hệ thống. Vi mã Intel có sẵn thông qua Windows Update, Dịch vụ Cập nhật Windows Server (WSUS) hoặc Danh mục Microsoft Update. Để biết thêm thông tin và hướng dẫn tải xuống, hãy KB4100347.

Để biết thêm thông tin, hãy xem các tài nguyên sau:

• ADV180012 | Hướng dẫn Microsoft cho Speculative Store Bypass cho CVE-2018-3639

• ADV180013 | Microsoft Guidance for Rogue System Register Read for CVE-2018-3640 and KB 4073065 | Hướng dẫn dành cho Khách hàng Surface

• Microsoft Security Research and Defense Blog

• Hướng dẫn Nhà phát triển cho Bỏ qua Cửa hàng Suy đoán

Xem các phần "Hành động được đề xuất" và "Câu hỏi thường gặp " trong ADV180012 | Hướng dẫn Của Microsoft cho Bỏ qua Cửa hàng Suy đoán.

Để xác minh trạng thái của SSBD, tập lệnh Get-SpeculationControlSettings PowerShell đã được cập nhật để phát hiện các bộ xử lý bị ảnh hưởng, trạng thái của các bản cập nhật hệ điều hành SSBD và trạng thái của vi mã bộ xử lý, nếu có. Để biết thêm thông tin và để có được tập lệnh PowerShell, hãy KB4074629.

Vào ngày 13 tháng 6 năm 2018, một lỗ hổng bổ sung liên quan đến thực hiện suy đoán phía kênh, được gọi là Lazy FP State Restore, đã được công bố và gán CVE-2018-3665 . Để biết thông tin về lỗ hổng này và các hành động được đề xuất, hãy xem tài liệu Tư vấn Bảo ADV180016 | Hướng dẫn của Microsoft về khôi phục trạng thái FP lười biếng .

Lưu ý Không có cài đặt cấu hình (sổ đăng ký) bắt buộc cho Lazy Restore FP Restore.

Bounds Check Bypass Store (BCBS) đã được tiết lộ vào ngày 10 tháng 7 năm 2018 và được gán CVE-2018-3693. Chúng tôi coi BCBS là thuộc cùng loại lỗ hổng như Bounds Check Bypass (Biến thể 1). Chúng tôi hiện chưa ghi nhận bất kỳ trường hợp nào của BCBS trong phần mềm của mình. Tuy nhiên, chúng tôi đang tiếp tục nghiên cứu lớp lỗ hổng này và sẽ làm việc với các đối tác trong ngành để phát hành các biện pháp giảm nhẹ theo yêu cầu. Chúng tôi khuyến khích các nhà nghiên cứu gửi mọi phát hiện liên quan đến chương trình tiền thưởng Của Microsoft Speculative Execution Side Channel, bao gồm mọi trường hợp khai thác được của BCBS. Nhà phát triển phần mềm nên xem lại hướng dẫn nhà phát triển đã được cập nhật cho BCBS tại C++ Hướng dẫn Nhà phát triển cho Kênh Bên Thực hiện Suy đoán 

Vào ngày 14 tháng 8 năm 2018, Lỗi Terminal L1 (L1TF) đã được công bố và gán nhiều CVEs. Các lỗ hổng thực hiện suy đoán phía kênh có thể được sử dụng để đọc nội dung của bộ nhớ qua ranh giới đáng tin cậy và nếu khai thác, có thể dẫn đến tiết lộ thông tin. Có nhiều véc-tơ mà kẻ tấn công có thể kích hoạt các lỗ hổng, tùy thuộc vào môi trường cấu hình. L1TF ảnh hưởng đến bộ xử lý Intel® Core® và bộ xử lý Intel® Xeon®.

Để biết thêm thông tin về lỗ hổng này và một cái nhìn chi tiết của kịch bản bị ảnh hưởng, bao gồm cả phương pháp tiếp cận của Microsoft để giảm nhẹ L1TF, hãy xem các tài nguyên sau đây:

• ADV180018 | Hướng dẫn của Microsoft để giảm thiểu biến thể L1TF

• Bảo mật Tư vấn Bảo mật Nghiên cứu Blog

• Hướng dẫn Máy chủ cho Lỗi Thiết bị đầu cuối L1

Các bước để vô hiệu hóa Hyper-Threading khác với OEM oem nhưng thường là một phần của BIOS hoặc thiết lập vi chương trình và các công cụ cấu hình.

Khách hàng sử dụng bộ xử lý ARM 64 bit nên liên hệ với OEM thiết bị để được hỗ trợ vi chương trình vì các tùy chọn bảo vệ hệ điều hành ARM64 giúp giảm thiểu CVE-2017-5715 | Branch target injection (Spectre, Variant 2) yêu cầu bản cập nhật vi chương trình mới nhất từ OEM thiết bị có hiệu lực.

Để biết thêm thông tin, hãy tham khảo các tư vấn bảo mật sau

• Intel Tư vấn Bảo mật

• ADV190013 | Hướng dẫn của Microsoft để giảm thiểu các lỗ hổng Lấy mẫu Dữ liệu Vi cấu trúc

Có thể tìm thấy hướng dẫn thêm trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh

Vui lòng tham khảo hướng dẫn trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh

Để biết hướng dẫn Azure, vui lòng tham khảo bài viết này: Hướng dẫn giảm thiểu lỗ hổng thực hiện suy đoán phía kênh trong Azure.

Để biết thêm thông tin về việc bật Retpoline, hãy tham khảo bài đăng blog của chúng tôi: Giảm nhẹ Spectre biến thể 2 bằng Retpoline trên Windows .

Để biết chi tiết về lỗ hổng này, hãy xem Hướng dẫn Bảo mật của Microsoft: CVE-2019-1125 | Windows Kernel Information Disclosure Vulnerability.

Chúng tôi không biết về bất kỳ trường hợp nào của lỗ hổng tiết lộ thông tin này ảnh hưởng đến cơ sở hạ tầng dịch vụ đám mây của chúng tôi.

Ngay sau khi chúng tôi biết về sự cố này, chúng tôi đã làm việc nhanh chóng để giải quyết sự cố đó và phát hành bản cập nhật. Chúng tôi thực sự tin tưởng vào mối quan hệ đối tác chặt đẹp với cả các nhà nghiên cứu và đối tác trong ngành để làm cho khách hàng an toàn hơn và không công bố chi tiết cho đến thứ Ba, ngày 6 tháng 8, phù hợp với các thực hành tiết lộ lỗ hổng phối hợp.

Có thể tìm thấy hướng dẫn thêm trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh.

Có thể tìm thấy hướng dẫn thêm trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh.

Bạn có thể tìm thấy hướng dẫn thêm trong mục Hướng dẫn để tắt tính năng Intel Transactional Synchronization Extensions (Intel TSX).

Các sản phẩm bên thứ ba mà bài viết này đề cập được sản xuất bởi các công ty độc lập với Microsoft. Chúng tôi không đảm bảo, dù là ngụ ý hay theo bất kỳ cách nào khác, về hiệu suất hoặc mức độ tin cậy của các sản phẩm này.

Chúng tôi cung cấp thông tin liên hệ bên thứ ba để giúp bạn tìm hỗ trợ kỹ thuật. Thông tin liên hệ này có thể thay đổi mà không cần thông báo. Chúng tôi không đảm bảo tính chính xác của thông tin liên hệ bên thứ ba này.