KB4073119: Hướng dẫn máy khách Windows dành cho Chuyên gia CNTT để bảo vệ chống lại lỗ hổng vi kiến trúc dựa trên silicon và lỗ hổng thực hiện suy đoán phía kênh

Vào ngày 14 tháng 5 năm 2019, Intel đã công bố thông tin về một phân lớp mới của lỗ hổng thực hiện suy đoán phía kênh được gọi là Microarchitectural Data Sampling. Các lỗ hổng này được khắc phục trong các CVEs sau:

• CVE-2019-11091 | Lấy mẫu Dữ liệu Vi cấu trúc sampling Uncacheable Memory (MDSUM)

• CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)

• CVE-2018-12127 | Lấy mẫu dữ liệu bộ đệm điền vi cấu trúc (MFBDS)

• CVE-2018-12130 | Lấy mẫu Dữ liệu Cổng Tải Vi cấu trúc (MLPDS)

Chúng tôi đã phát hành các bản cập nhật để giúp giảm thiểu các lỗ hổng này. Để nhận được tất cả các tùy chọn bảo vệ có sẵn, cần có bản cập nhật vi chương trình (vi mã) và phần mềm. Điều này có thể bao gồm vi mã từ OEM của thiết bị. Trong một số trường hợp, việc cài đặt các bản cập nhật này sẽ có ảnh hưởng đến hiệu suất. Chúng tôi cũng đã hành động để bảo mật các dịch vụ đám mây của mình. Chúng tôi đặc biệt khuyên bạn nên triển khai các bản cập nhật này.

Để biết thêm thông tin về sự cố này, hãy xem Tư vấn Bảo mật sau và sử dụng hướng dẫn dựa trên kịch bản để xác định các hành động cần thiết để giảm thiểu mối đe dọa:

• ADV190013 | Hướng dẫn của Microsoft để giảm thiểu các lỗ hổng Lấy mẫu Dữ liệu Vi cấu trúc

• Hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh

Vào ngày 6 tháng 8 năm 2019, Intel đã phát hành thông tin chi tiết về lỗ hổng tiết lộ thông tin nhân Windows. Lỗ hổng này là một biến thể của lỗ hổng thực hiện suy đoán phía kênh Spectre Biến thể 1 và đã được gán CVE-2019-1125.

Chúng tôi đã phát hành các bản cập nhật bảo mật cho hệ điều hành Windows vào ngày 9 tháng 7 năm 2019 để giúp giảm thiểu sự cố này. Xin lưu ý rằng chúng tôi đã tổ chức lại ghi lại biện pháp giảm nhẹ này công khai cho đến khi ngành công bố phối hợp vào thứ Ba, ngày 6 tháng 8 năm 2019.

Những khách hàng đã bật Windows Update và đã áp dụng các bản cập nhật bảo mật được phát hành vào ngày 9 tháng 7 năm 2019 sẽ được bảo vệ tự động. Không cần phải cấu hình thêm.

Để biết thêm thông tin về lỗ hổng này và các bản cập nhật hiện hành, hãy xem Hướng dẫn Cập nhật Bảo mật của Microsoft:

• CVE-2019-1125 | Windows Kernel Information Disclosure Vulnerability

Vào ngày 12 tháng 11 năm 2019, Intel đã xuất bản một tư vấn kỹ thuật liên quan đến lỗ hổng Hủy bỏ Không đồng bộ Giao dịch Intel Transactional Synchronization Extensions (Intel TSX) được gán là CVE-2019-11135. Chúng tôi đã phát hành các bản cập nhật để giúp giảm thiểu lỗ hổng này. Theo mặc định, các tùy chọn bảo vệ HĐH được bật cho các phiên bản HĐH Windows Client.

Vào ngày 14 tháng 6 năm 2022, chúng tôi đã xuất bản ADV220002 | Microsoft Guidance on Intel Processor MMIO Stale Data Vulnerabilities. Các lỗ hổng bảo mật được gán trong các CVEs sau:

• CVE-2022-21123 | Đã đọc dữ liệu bộ đệm dùng chung (SBDR)

• CVE-2022-21125 | Lấy mẫu dữ liệu bộ đệm dùng chung (SBDS)

• CVE-2022-21127 | Bản cập nhật mẫu dữ liệu bộ đệm đăng ký đặc biệt (Bản cập nhật SRBDS)

• CVE-2022-21166 | Thiết bị Đăng ký Viết một phần (DRPW)

Các hành động được đề xuất

Bạn nên thực hiện các hành động sau đây để giúp bảo vệ chống lại các lỗ hổng này:

1. Áp dụng tất cả các bản cập nhật hệ điều hành Windows hiện có, bao gồm cả các bản cập nhật bảo mật Windows hàng tháng.

2. Áp dụng bản cập nhật vi chương trình (vi mã) hiện hành do nhà sản xuất thiết bị cung cấp.

3. Đánh giá rủi ro cho môi trường của bạn dựa trên thông tin được cung cấp trong Tư vấn Bảo mật của Microsoft ADV180002, ADV180012, ADV190013 và ADV220002,ngoài thông tin được cung cấp trong bài viết này.

4. Hãy hành động theo yêu cầu bằng cách sử dụng thông tin về tư vấn và khóa đăng ký được cung cấp trong bài viết này.

Vào ngày 12 tháng 7 năm 2022, chúng tôi đã phát hành CVE-2022-23825 | Nhầm lẫn loại nhánh AMD CPU mô tả rằng biệt danh trong bộ dự đoán nhánh có thể khiến một số bộ xử lý AMD dự đoán sai loại nhánh. Sự cố này có thể dẫn đến tiết lộ thông tin.

Để giúp bảo vệ chống lại lỗ hổng này, chúng tôi khuyên bạn nên cài đặt các bản cập nhật Windows được cập nhật vào hoặc sau tháng 7 năm 2022 và sau đó thực hiện hành động theo yêu cầu của CVE-2022-23825 và thông tin khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Để biết thêm thông tin, hãy xem bản tin bảo mật AMD-SB-1037 .

Vào ngày 8 tháng 8 năm 2023, chúng tôi đã phát hành CVE-2023-20569 | AMD CPU Return Address Predictor (còn được gọi là Inception) trong đó mô tả một cuộc tấn công kênh suy đoán phía mới có thể dẫn đến thực hiện suy đoán tại một địa chỉ kẻ tấn công kiểm soát. Sự cố này ảnh hưởng đến một số bộ xử lý AMD nhất định và có thể dẫn đến tiết lộ thông tin.

Để giúp bảo vệ chống lại lỗ hổng này, chúng tôi khuyên bạn nên cài đặt các bản cập nhật Windows được cập nhật vào hoặc sau tháng 8 năm 2023 và sau đó thực hiện hành động theo yêu cầu của CVE-2023-20569 và thông tin khóa đăng ký được cung cấp trong bài viết cơ sở tri thức này.

Để biết thêm thông tin, hãy xem bản tin bảo mật AMD-SB-7005 .

Vào ngày 9 tháng 4 năm 2024, chúng tôi đã phát hành CVE-2022-0001 | Intel Branch History Injection mô tả Branch History Injection (BHI) là một dạng BTI trong chế độ cụ thể. Lỗ hổng này xảy ra khi kẻ tấn công có thể thao tác lịch sử chi nhánh trước khi chuyển từ người dùng sang chế độ giám sát (hoặc từ VMX không gốc/khách sang chế độ gốc). Thao tác này có thể khiến một trình dự đoán nhánh gián tiếp chọn một mục dự đoán cụ thể cho một nhánh gián tiếp và một tiện ích tiết lộ tại mục tiêu được dự đoán sẽ thực thi tạm thời. Điều này có thể xảy ra vì lịch sử nhánh liên quan có thể chứa các nhánh được thực hiện trong các ngữ cảnh bảo mật trước đó và đặc biệt là các chế độ trình dự đoán khác.

Theo mặc định, tính năng bảo vệ từ người dùng đến nhân cho CVE-2017-5715 bị tắt đối với CPU AMD và ARM. Bạn phải bật biện pháp giảm nhẹ để nhận được các biện pháp bảo vệ bổ sung cho CVE-2017-5715. Để biết thêm thông tin, hãy xem Câu hỏi thường gặp #15 trong danh sách ADV180002 về bộ xử lý AMD và Câu hỏi thường gặp #20 ADV180002 về bộ xử lý ARM.

Theo mặc định, tính năng bảo vệ từ người dùng đến nhân cho CVE-2017-5715 bị tắt đối với bộ xử lý AMD. Khách hàng phải bật tính năng giảm thiểu để nhận được các biện pháp bảo vệ bổ sung cho CVE-2017-5715.  Để biết thêm thông tin, hãy xem Câu hỏi thường gặp #15 ADV180002.

Để bật biện pháp giảm nhẹ cho CVE-2022-23825 trên bộ xử lý AMD :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Để được bảo vệ đầy đủ, khách hàng cũng có thể cần tắt Hyper-Threading chủ đề (còn được gọi là Đa Luồng Đồng thời (SMT)). Vui lòng xem KB4073757 đểbiết hướng dẫn về cách bảo vệ thiết bị Windows. 

Để bật biện pháp giảm nhẹ cho CVE-2023-20569 trên bộ xử lý AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

Để bật biện pháp giảm nhẹ cho CVE-2022-0001 trên bộ xử lý Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

Để được giải thích chi tiết về kết quả của tập lệnh PowerShell, vui lòng xem KB4074629.

Vi mã được cung cấp thông qua bản cập nhật vi chương trình. Bạn nên kiểm tra với nhà sản xuất CPU (chipset) và thiết bị về tính khả dụng của các bản cập nhật bảo mật vi chương trình hiện hành cho thiết bị cụ thể của họ, bao gồm Cả Hướng dẫn Sửa đổi Vi mã Intels.

Việc khắc phục lỗ hổng bảo mật phần cứng thông qua bản cập nhật phần mềm hiển thị những thách thức lớn. Ngoài ra, các biện pháp giảm nhẹ cho hệ điều hành cũ hơn yêu cầu phải thay đổi kiến trúc rộng rãi. Chúng tôi đang làm việc với các nhà sản xuất chip bị ảnh hưởng để xác định cách tốt nhất để cung cấp các biện pháp giảm thiểu, có thể được cung cấp trong các bản cập nhật trong tương lai.

Cập nhật cho các thiết bị Microsoft Surface sẽ được giao cho khách hàng thông qua Windows Update cùng với các bản cập nhật cho hệ điều hành Windows. Để biết danh sách các bản cập nhật vi chương trình (vi mã) thiết bị Surface khả dụng, hãy xem bài KB4073065.

Nếu thiết bị của bạn không phải từ Microsoft, hãy áp dụng vi chương trình từ nhà sản xuất thiết bị. Để biết thêm thông tin, hãy liên hệ với nhà sản xuất thiết bị OEM.

Vào tháng 2 và tháng 3 năm 2018, Microsoft đã phát hành thêm bảo vệ cho một số hệ thống dựa trên x86. Để biết thêm thông tin , KB4073757 và Trình tư vấn Bảo mật của Microsoft ADV180002.

Cập nhật để Windows 10 holoLens có sẵn cho khách hàng HoloLens thông qua Windows Update.

Sau khi áp dụng Bản cập nhật Bảo mật Windows tháng 2 năm 2018, khách hàng HoloLens không phải thực hiện thêm bất kỳ hành động nào để cập nhật vi chương trình thiết bị của mình. Các biện pháp giảm thiểu này cũng sẽ được bao gồm trong tất cả các bản phát hành tương lai Windows 10 cho HoloLens.

Không. Bản cập nhật Dành riêng cho Bảo mật không tích lũy. Tùy thuộc vào phiên bản hệ điều hành bạn đang chạy, bạn sẽ phải cài đặt mỗi bản cập nhật Dành riêng cho Bảo mật hàng tháng để được bảo vệ chống lại các lỗ hổng này. Ví dụ: nếu bạn đang chạy Windows 7 dành cho Hệ thống 32 bit trên CPU Intel bị ảnh hưởng, bạn phải cài đặt tất cả các bản cập nhật Dành riêng cho Bảo mật. Chúng tôi khuyên bạn nên cài đặt các bản cập nhật Dành riêng cho Bảo mật này theo thứ tự phát hành.

Lưu ý Một phiên bản cũ hơn của Câu hỏi Thường Gặp này đã thông báo sai rằng bản cập nhật Dành riêng cho Bảo mật Tháng Hai bao gồm các bản sửa lỗi bảo mật được phát hành vào tháng 1. Trong thực tế, nó không.

Không. Bản cập nhật bảo mật 4078130 là một bản sửa lỗi cụ thể để ngăn chặn hành vi hệ thống không thể dự đoán, sự cố hiệu suất và/hoặc khởi động lại không mong muốn sau khi cài đặt vi mã. Việc áp dụng các bản cập nhật bảo mật Tháng Hai trên hệ điều hành máy khách Windows cho phép tất cả ba biện pháp giảm nhẹ.

Intel gần đây đã thông báo rằng họ đã hoàn tất các quá trình xác thực và bắt đầu phát hành vi mã cho các nền tảng CPU mới hơn. Microsoft đang cung cấp các bản cập nhật vi mã đã xác thực của Intel xung quanh Spectre Biến thể 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 liệt kê các bài viết cụ thể trong Cơ sở Kiến thức theo phiên bản Windows. Mỗi KB cụ thể đều bao gồm các bản cập nhật vi mã Intel khả dụng theo CPU.

Sự cố này đã được khắc phục KB4093118.

AMD gần đây đã thông báo rằng họ đã bắt đầu phát hành vi mã cho các nền tảng CPU mới hơn xung quanh Spectre Biến thể 2 (CVE-2017-5715 "Branch Target Injection"). Để biết thêm thông tin, hãy tham khảo Hướng dẫn Bảo mật AMD Cập nhật và Sách trắng AMD: Hướng dẫn Kiến trúc liên quan đến Kiểm soát Nhánh Gián tiếp. Các bản cập nhật này có sẵn từ kênh vi chương trình OEM.

Chúng tôi đang cung cấp các bản cập nhật vi mã đã được Intel xác thực liên quan đến Spectre Biến thể 2 (CVE-2017-5715 "Branch Target Injection "). Để nhận các bản cập nhật vi mã Intel mới nhất thông qua Windows Update, khách hàng phải cài đặt vi mã Intel trên thiết bị chạy hệ điều hành Windows 10 trước khi nâng cấp lên Bản cập nhật Windows 10 tháng 4 năm 2018 (phiên bản 1803).

Bản cập nhật vi mã cũng có sẵn trực tiếp từ Danh mục nếu bạn chưa cài đặt trên thiết bị trước khi nâng cấp HĐH. Vi mã Intel khả dụng thông qua Windows Update, WSUS hoặc Danh mục Microsoft Update. Để biết thêm thông tin và hướng dẫn tải xuống, hãy KB4100347.

Để biết thêm thông tin, hãy xem các tài nguyên sau:

• ADV180012 | Hướng dẫn Microsoft cho Speculative Store Bypass cho CVE-2018-3639

• ADV180013 | Microsoft Guidance for Rogue System Register Read for CVE-2018-3640 and KB4073065

• Microsoft Security Research and Defense Blog

• Hướng dẫn Nhà phát triển cho Bỏ qua Cửa hàng Suy đoán

Để biết chi tiết, hãy xem các phần "Hành động được đề xuất" và "Câu hỏi thường gặp" ADV180012 | Hướng dẫn Của Microsoft cho Bỏ qua Cửa hàng Suy đoán.

Để xác minh trạng thái của SSBD, tập lệnh Get-SpeculationControlSettings PowerShell đã được cập nhật để phát hiện các bộ xử lý bị ảnh hưởng, trạng thái của các bản cập nhật hệ điều hành SSBD và trạng thái của vi mã bộ xử lý nếu có. Để biết thêm thông tin và để có được tập lệnh PowerShell, hãy KB4074629.

Vào ngày 13 tháng 6 năm 2018, một lỗ hổng bổ sung liên quan đến thực hiện suy đoán phía kênh, được gọi là Lazy FP State Restore, đã được công bố và gán CVE-2018-3665. Không cần cài đặt cấu hình (sổ đăng ký) để Khôi phục FP lười biếng.

Để biết thêm thông tin về lỗ hổng này và cho các hành động được đề xuất, hãy tham khảo tài liệu tư vấn ADV180016 | Microsoft Guidance for Lazy FP State Restore.

Bounds Check Bypass Store (BCBS) đã được tiết lộ vào ngày 10 tháng 7 năm 2018 và được gán CVE-2018-3693. Chúng tôi coi BCBS là thuộc cùng loại lỗ hổng như Bounds Check Bypass (Biến thể 1). Chúng tôi hiện chưa biết về bất kỳ phiên bản nào của BCBS trong phần mềm của mình, nhưng chúng tôi đang tiếp tục nghiên cứu lớp lỗ hổng này và sẽ làm việc với các đối tác trong ngành để phát hành các biện pháp giảm thiểu theo yêu cầu. Chúng tôi tiếp tục khuyến khích các nhà nghiên cứu gửi mọi phát hiện liên quan đến chương trình tiền thưởng Kênh Thực hiện Suy đoán Phía của Microsoft, bao gồm mọi trường hợp khai thác được của BCBS. Các nhà phát triển phần mềm nên xem lại hướng dẫn dành cho nhà phát triển đã được cập nhật cho BCBS https://aka.ms/sescdevguide.

Vào ngày 14 tháng 8 năm 2018, Lỗi Terminal L1 (L1TF) đã được công bố và gán nhiều CVEs. Các lỗ hổng thực hiện suy đoán phía kênh có thể được sử dụng để đọc nội dung của bộ nhớ qua ranh giới đáng tin cậy và, nếu khai thác, có thể dẫn đến tiết lộ thông tin. Kẻ tấn công có thể kích hoạt các lỗ hổng thông qua nhiều véc-tơ, tùy thuộc vào môi trường được đặt cấu hình. L1TF ảnh hưởng đến bộ xử lý Intel® Core® và bộ xử lý Intel® Xeon®.

Để biết thêm thông tin về lỗ hổng này và một cái nhìn chi tiết của kịch bản bị ảnh hưởng, bao gồm cả phương pháp tiếp cận của Microsoft để giảm nhẹ L1TF, hãy xem các tài nguyên sau đây:

• ADV180018 | Hướng dẫn của Microsoft để giảm thiểu biến thể L1TF

• Bảo mật Tư vấn Bảo mật Nghiên cứu Blog

• Hướng dẫn Máy chủ cho Lỗi Thiết bị đầu cuối L1

Khách hàng sử dụng bộ xử lý ARM 64 bit nên kiểm tra với thiết bị OEM để được hỗ trợ vi chương trình vì các tùy chọn bảo vệ hệ điều hành ARM64 giúp giảm CVE-2017-5715 | Branch target injection (Spectre, Variant 2) yêu cầu bản cập nhật vi chương trình mới nhất từ OEM thiết bị có hiệu lực.

Để biết thêm thông tin, hãy tham khảo các tư vấn bảo mật sau 

• Intel Tư vấn Bảo mật

• ADV190013 | Hướng dẫn của Microsoft để giảm thiểu các lỗ hổng Lấy mẫu Dữ liệu Vi cấu trúc

Để biết thêm thông tin, hãy tham khảo các tư vấn bảo mật sau

• Intel Tư vấn Bảo mật

• ADV190013 | Hướng dẫn của Microsoft để giảm thiểu các lỗ hổng Lấy mẫu Dữ liệu Vi cấu trúc

Có thể tìm thấy hướng dẫn thêm trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh

Vui lòng tham khảo hướng dẫn trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh

Để biết hướng dẫn Azure, vui lòng tham khảo bài viết này: Hướng dẫn giảm thiểu lỗ hổng thực hiện suy đoán phía kênh trong Azure.  

Để biết thêm thông tin về việc bật Retpoline, hãy tham khảo bài đăng blog của chúng tôi: Giảm nhẹ Spectre biến thể 2 bằng Retpoline trên Windows. 

Để biết chi tiết về lỗ hổng này, hãy xem Hướng dẫn Bảo mật của Microsoft: CVE-2019-1125 | Windows Kernel Information Disclosure Vulnerability.

Chúng tôi không biết về bất kỳ trường hợp nào của lỗ hổng tiết lộ thông tin này ảnh hưởng đến cơ sở hạ tầng dịch vụ đám mây của chúng tôi.

Ngay sau khi chúng tôi biết về sự cố này, chúng tôi đã làm việc nhanh chóng để giải quyết sự cố đó và phát hành bản cập nhật. Chúng tôi thực sự tin tưởng vào mối quan hệ đối tác chặt đẹp với cả các nhà nghiên cứu và đối tác trong ngành để làm cho khách hàng an toàn hơn và không công bố chi tiết cho đến thứ Ba, ngày 6 tháng 8, phù hợp với các thực hành tiết lộ lỗ hổng phối hợp.

Có thể tìm thấy hướng dẫn thêm trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh.

Có thể tìm thấy hướng dẫn thêm trong hướng dẫn Windows để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh.

Bạn có thể tìm thấy hướng dẫn thêm trong mục Hướng dẫn để tắt tính năng Intel® Transactional Synchronization Extensions (Intel® TSX).

Chúng tôi cung cấp thông tin liên hệ bên thứ ba để giúp bạn tìm hỗ trợ kỹ thuật. Thông tin liên hệ này có thể thay đổi mà không cần thông báo. Chúng tôi không đảm bảo tính chính xác của thông tin liên hệ bên thứ ba này.