KB4073119: הדרכה עבור מומחי IT של לקוח Windows להגנה מפני פגיעויות ערוץ צדדי המבוססות על מעבדים וביצוע ספקולטיבי

ב- 14 במאי 2019, Intel פרסמה מידע על דרגת משנה חדשה של פגיעויות ערוץ צדדי של ביצוע ספקולטיבי הידועות כדגימה של נתונים של Microarchitectural. פגיעויות אלה טופלו ב- CVEs הבאים:

• CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)

• CVE-2018-12126 | דגימה של נתוני מאגר מאגר של מיקרו-ארכיון (MSBDS)

• CVE-2018-12127 | דגימה של נתוני מאגר מילוי מיקרו-ארכיון (MFBDS)

• CVE-2018-12130 | דגימה של נתוני יציאת טעינה של מיקרו-ארכיון (MLPDS)

פרסמנו עדכונים כדי לסייע בהפחתת פגיעויות אלה. כדי לקבל את כל הגנות הזמינות, נדרשים עדכוני קושחה (מיקרו-קוד) ותוכנה. זה עשוי לכלול מיקרו-קוד של יצרני ציוד מקורי של מכשיר. במקרים מסוימים, התקנת עדכונים אלה תשפיע על הביצועים. פעלנו גם כדי לאבטח את שירותי הענן שלנו. אנו ממליצים מאוד לפרוס עדכונים אלה.

לקבלת מידע נוסף אודות בעיה זו, עיין בהדרכה הבאה בנושא אבטחה מייעצת והשתמש בהדרכה מבוססת תרחישים כדי לקבוע את הפעולות הדרושות כדי לצמצם את האיום:

• ADV190013 | הדרכה של Microsoft להפחתת פגיעויות בדגימה של נתונים מיקרו-ארכיון

• הדרכה של Windows להגנה מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי

ב- 6 באוגוסט 2019, Intel פרסמה פרטים על פגיעות גילוי מידע של הליבה של Windows. פגיעות זו היא משתנה של פגיעות ערוץ צדדי של ביצוע ספקולטיבי של Spectre Variant 1, שהוקצתה לה CVE-2019-1125.

ב- 9 ביולי 2019 הפצנו עדכוני אבטחה עבור מערכת ההפעלה Windows כדי לעזור לצמצם בעיה זו. שים לב שהחזקנו את המסמך לתיעוד צמצום סיכונים זה באופן ציבורי עד לחשיפה המתואמת בתעשייה ביום שלישי, 6 באוגוסט 2019.

לקוחות שהופעלו Windows Update את עדכוני האבטחה שהופצו ב- 9 ביולי, 2019 מוגנים באופן אוטומטי. אין צורך בתצורה נוספת.

לקבלת מידע נוסף אודות פגיעות זו ועדכונים ישימים, עיין במדריך עדכון האבטחה של Microsoft:

• CVE-2019-1125 | פגיעות גילוי מידע של הליבה של Windows

ב- 12 בנובמבר 2019, Intel פרסמה בעיה מינורית טכנית סביב Intel Transactional Synchronization Extensions (Intel TSX) Transaction Asynchronous Abort vulnerability that is assigned CVE-2019-11135. פרסמנו עדכונים כדי לסייע בהפחתת פגיעות זו. כברירת מחדל, הגנות מערכת ההפעלה זמינות עבור מהדורות מערכת ההפעלה Windows Client.

ב- 14 ביוני 2022, פרסמנו את ADV220002 | הדרכה של Microsoft לגבי פגיעויות נתונים מיורכבות של מעבד Intel MMIO. פגיעויות אלה מוקצות ב- CVEs הבאים:

• CVE-2022-21123 | קריאת נתוני מאגר משותף (SBDR)

• CVE-2022-21125 | דגימה של נתוני מאגר משותף (SBD)

• CVE-2022-21127 | עדכון דגימה של נתוני מאגר רישום מיוחד (עדכון SRBDS)

• CVE-2022-21166 | רישום מכשירים - כתיבה חלקית (DRPW)

פעולות מומלצות

עליך לבצע את הפעולות הבאות כדי לסייע בהגנה מפני פגיעויות אלה:

1. החל את כל העדכונים הזמינים למערכת ההפעלה Windows, כולל עדכוני האבטחה החודשיים של Windows.

2. החל את עדכון הקושחה (מיקרו-קוד) הרלוונטי שסופק על-ידי יצרן ההתקן.

3. הערכת הסיכון לסביבה שלך בהתבסס על המידע הכלול ב- Microsoft Security Advisories ADV180002, ADV180012, ADV190013ו- ADV220002,בנוסף למידע הכלול במאמר זה.

4. בצע פעולה בהתאם לצורך באמצעות מידע מינורית ופרטי מפתח רישום המסופקים במאמר זה.

ב- 12 ביולי 2022, פרסמנו את CVE-2022-23825 | AMD CPU Branch Type Confusion המתאר כי כינויים במנבא הענף עלולים לגרום למעבדי AMD מסוימים לחזות את סוג הענף הלא נכון. בעיה זו עשויה להוביל לגילוי מידע.

כדי לסייע בהגנה מפני פגיעות זו, מומלץ להתקין עדכוני Windows מתאריך יולי 2022 או לאחר מכן, ולאחר מכן לבצע פעולה בהתאם לצורך על-ידי CVE-2022-23825 ופרטי מפתח רישום המסופקים במאמר Knowledge Base זה.

לקבלת מידע נוסף, עיין בעלון האבטחה AMD-SB-1037 .

ב- 8 באוגוסט 2023, פרסמנו את CVE-2023-20569 | AMD CPU Return Address Predictor (המכונה גם Inception) המתאר התקפה ערוץ צדדי ספקולטיבי חדשה שיכולה לגרום לביצוע ספקולטיבי בכתובת הנשלטת על-ידי תוקף. בעיה זו משפיעה על מעבדים מסוימים של AMD ועל שהיא עלולה להוביל לגילוי מידע.

כדי לסייע בהגנה מפני פגיעות זו, מומלץ להתקין עדכוני Windows מתאריך או לאחר אוגוסט 2023 ולאחר מכן לבצע פעולה בהתאם לצורך על-ידי CVE-2023-20569 ופרטי מפתח רישום המסופקים במאמר Knowledge Base זה.

לקבלת מידע נוסף, עיין בעלון האבטחה AMD-SB-7005 .

ב- 9 באפריל 2024 פרסמנו את CVE-2022-0001 | הזרקת היסטוריית ענף של Intel המתארת הזרקת היסטוריית ענף (BHI) שהיא צורה ספציפית של BTI במצב אינטרא-מצב. פגיעות זו מתרחשת כאשר תוקף עשוי לטפל בהיסטוריית הסתעפות לפני מעבר ממשתמש למצב מפקח (או מ- VMX שאינו בסיס/אורח למצב בסיס). טיפול זה עלול לגרום לחיזוי ענף עקיף לבחור ערך חיזוי ספציפי עבור ענף עקיף, וגאדג'ט גילוי ביעד החזוי יופעל זמנית. ייתכן שזה אפשרי מכיוון שהיסטוריית הענף הרלוונטית עשויה להכיל ענפים שבוצעו בהקשרי אבטחה קודמים, ובפרט מצבי חיזוי אחרים.

כברירת מחדל, הגנת משתמש-ליבה עבור CVE-2017-5715 אינה זמינה עבור מעבדי AMD ו- ARM. עליך להפוך את צמצום הסיכונים לזמין כדי לקבל הגנות נוספות עבור CVE-2017-5715. לקבלת מידע נוסף, ראה שאלות נפוצות #15 ב- ADV180002 עבור מעבדי AMD ותשובות נפוצות #20 ב- ADV180002 עבור מעבדי ARM.

כברירת מחדל, הגנת משתמש-ליבה עבור CVE-2017-5715 אינה זמינה עבור מעבדי AMD. לקוחות חייבים לאפשר צמצום סיכונים כדי לקבל הגנות נוספות עבור CVE-2017-5715.  לקבלת מידע נוסף, ראה שאלות נפוצות #15 ADV180002.

כדי לאפשר צמצום סיכונים עבור CVE-2022-23825 במעבדי AMD :

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 16777280 /f 

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

כדי להיות מוגן באופן מלא, ייתכן שלקוחות יצטרכו גם להפוך את Hyper-Threading ללא זמין (המכונה גם ריבוי הליכי משנה (SMT)) בו-זמנית. ראה KB4073757 לקבלתהדרכה בנושא הגנה על מכשירי Windows. 

כדי לאפשר צמצום סיכונים עבור CVE-2023-20569 במעבדי AMD:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 67108928 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f 

כדי לאפשר צמצום סיכונים עבור CVE-2022-0001 במעבדי Intel:

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0x00800000 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 0x00000003 /f

לקבלת הסבר מפורט על הפלט של קובץ ה- Script של PowerShell, ראה KB4074629.

המיקרו-קוד מועבר באמצעות עדכון קושחה. עליך לבדוק עם יצרני המעבדים (שבבים) והמכשירים שלך לגבי הזמינות של עדכוני אבטחת קושחה ישימים עבור המכשיר הספציפי שלהם, כולל הדרכה לתיקון מיקרו-קוד של Intels.

טופלה פגיעות חומרה באמצעות עדכון תוכנה מהווה אתגרים משמעותיים. כמו כן, צמצום סיכונים עבור מערכות הפעלה ישנות יותר דורש שינויים נרחבים בארכיטקטורה. אנו פועלים עם יצרני שבבים מושפעים כדי לקבוע את הדרך הטובה ביותר לספק צמצום סיכונים, שעשוי להימסר בעדכונים עתידיים.

עדכונים עבור מכשירי Microsoft Surface יועבר ללקוחות באמצעות Windows Update יחד עם העדכונים עבור מערכת ההפעלה Windows. לקבלת רשימה של עדכוני קושחה (מיקרו-קוד) זמינים עבור מכשירי Surface, ראה KB4073065.

אם המכשיר שלך אינו של Microsoft החל קושחה מיצרן המכשיר. לקבלת מידע נוסף, פנה ליצרן מכשיר OEM.

בפברואר ומרץ 2018, Microsoft פרסמה הגנה נוספת עבור מערכות מבוססות x86 מסוימות. לקבלת מידע נוסף, KB4073757 את Microsoft Security Advisory ADV180002.

עדכונים כדי Windows 10 עבור HoloLens זמינים ללקוחות HoloLens באמצעות Windows Update.

לאחר החלת העדכון של פברואר 2018 אבטחת Windows, לקוחות HoloLens אינם צריכים לבצע פעולה נוספת כדי לעדכן את קושחת המכשיר שלהם. צמצום סיכונים אלה ייכלל גם בכל המהדורות העתידיות של Windows 10 עבור HoloLens.

לא. עדכוני אבטחה בלבד אינם מצטברים. בהתאם לגירסת מערכת ההפעלה שבה אתה משתמש, יהיה עליך להתקין כל עדכון אבטחה בלבד חודשי כדי להיות מוגן מפני פגיעויות אלה. לדוגמה, אם אתה משתמש ב- Windows 7 עבור מערכות של 32 סיביות ב- Intel CPU המושפע, עליך להתקין את כל עדכוני האבטחה בלבד. אנו ממליצים להתקין עדכוני אבטחה בלבד אלה לפי סדר ההפצה.

הערה גירסה קודמת של שאלות נפוצות אלה ציינה באופן שגוי שעדכון האבטחה בלבד של פברואר כלל את תיקוני האבטחה שהופצו בינואר. למעשה, זה לא.

לא. עדכון אבטחה 4078130 תיקון ספציפי כדי למנוע אופני פעולה בלתי צפויים של המערכת, בעיות ביצועים ו/או אתחולים מחדש בלתי צפויים לאחר התקנת מיקרו-קוד. החלת עדכוני האבטחה של פברואר במערכות הפעלה של לקוח Windows מאפשרת את כל שלושת צמצום הסיכונים.

Intel הכריזה לאחרונה שהם השלמו את האימות שלהם והתחלו לשחרר מיקרו-קוד עבור פלטפורמות CPU חדשות יותר. Microsoft מבצעת עדכונים למיקרו-קוד שאומתו על-ידי Intel סביב Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). KB4093836 מאמרי Knowledge Base ספציפיים לפי גירסת Windows. כל מאמר KB ספציפי מכיל את עדכוני המיקרו-קוד הזמינים של Intel לפי CPU.

בעיה זו נפתרה ב- KB4093118.

AMD הכריזה לאחרונה שהם התחילו לשחרר מיקרו-קוד עבור פלטפורמות CPU חדשות יותר סביב Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection"). לקבלת מידע נוסף, עיין ב- AMD Security עדכוניםו- AMD Whitepaper: Architecture Guidelines around Indirect Branch Control. אלה זמינים בערוץ הקושחה של יצרן הציוד המקורי.

אנו זמינים עדכוני מיקרו-קוד שאומתו על-ידי Intel סביב Spectre Variant 2 (CVE-2017-5715 "Branch Target Injection "). כדי לקבל את העדכונים האחרונים למיקרו-קוד של Intel באמצעות Windows Update, על הלקוחות להתקין מיקרו-קוד של Intel במכשירים שבהם פועלת מערכת הפעלה של Windows 10 לפני השדרוג לעדכון מאפריל 2018 של Windows 10 (גירסה 1803).

עדכון מיקרו-קוד יהיה זמין ישירות מתוך קטלוג אם לא הותקן במכשיר לפני השדרוג של מערכת ההפעלה. מיקרו-קוד של Intel זמין דרך Windows Update, WSUS או Microsoft Update Catalog. לקבלת מידע נוסף והוראות הורדה, ראה KB4100347.

לקבלת מידע נוסף, עיין במשאבים הבאים:

• ADV180012 | הדרכה של Microsoft עבור מעקף ספקולטיבי של Store עבור CVE-2018-3639

• ADV180013 | Microsoft Guidance for Rogue System Register Read for CVE-2018-3640 and KB4073065

• בלוג מחקר והגנה של Microsoft Security

• הדרכה למפתחים עבור מעקף ספקולטיבי של החנות

לקבלת פרטים, עיין בסעיפים "פעולות מומלצות" ו"שאלות נפוצות" ADV180012 | הדרכה של Microsoft לגבי מעקף ספקולטיבי של החנות.

כדי לאמת את המצב של SSBD, קובץ ה- Script של Get-SpeculationControlSettings PowerShell עודכן כדי לזהות מעבדים מושפעים, מצב העדכונים של מערכת ההפעלה SSBD והמצב של מיקרו-קוד המעבד במידת הצורך. לקבלת מידע נוסף ולהשגת קובץ ה- Script של PowerShell, ראה KB4074629.

ב- 13 ביוני 2018, הוכרז על פגיעות נוספת הקשורה לביצוע ספקולטיבי של ערוץ צדדי, שנקרא "שחזור מצב FP עצל", והוכרז כי הוא הוקצה ל- CVE-2018-3665. אין צורך בהגדרות תצורה (רישום) עבור שחזור FP של שחזור עצלן.

לקבלת מידע נוסף אודות פגיעות זו ולפעולות מומלצות, עיין בנושא בעיות ADV180016 | הדרכה של Microsoft לשחזור מצב FP עצלן.

מאגר מעקפים של בדיקת גבולות (BCBS) נחשף ב- 10 ביולי 2018 והקצה לו CVE-2018-3693. אנו מחשיבים את BCBS להשתייך לאותה רמת פגיעויות של עקיפת בדיקת גבול (משתנה 1). איננו מודעים כעת למופעים של BCBS בתוכנה שלנו, אך אנו ממשיכים לחקור את רמת הפגיעות הזו ופועלים עם שותפים בתעשייה כדי לשחרר צמצום סיכונים כ הנדרש. אנו ממשיכים לעודד את החוקרים להגיש את הממצאים הרלוונטיים לתוכנית הפרסים של Microsoft בנושא ביצוע ערוץ צדדי ספקולטיבי , כולל כל המופעים הניתנים לניצול של BCBS. מפתחי תוכנה צריכים לעיין בהדרכה למפתחים עודכנה עבור BCBS https://aka.ms/sescdevguide.

ב- 14 באוגוסט 2018, הוכרז על תקלת מסוף L1 (L1TF) שהוקצתה להם מספר CVEs. פגיעויות ערוץ צדדי חדשות אלה של ביצוע ספקולטיבי יכולות לשמש כדי לקרוא את תוכן הזיכרון בגבול מהימן, ואם ייעשה בהם שימוש לרעה, עלולות להוביל לגילוי מידע. תוקף עלול להפעיל את הפגיעויות באמצעות וקטורים מרובים, בהתאם לסביבה שתצורתה נקבעה. L1TF משפיע על מעבדי Intel® Core® ועל מעבדי Intel® Xeon®.

לקבלת מידע נוסף על פגיעות זו ותצוגה מפורטת של תרחישים מושפעים, כולל הגישה של Microsoft לצמצום L1TF, עיין במשאבים הבאים:

• ADV180018 | הדרכה של Microsoft לצמצום משתנה L1TF

• בלוג מחקר אבטחה מינורית בנושא אבטחה

• הדרכת שרת עבור תקלת מסוף L1

לקוחות המשתמשים במעבדי ARM של 64 סיביות צריכים לבדוק עם יצרן הציוד המקורי (OEM) של המכשיר לקבלת תמיכה בקושחה מכיוון שהגנת מערכת ההפעלה ARM64 שמצמצם את CVE-2017-5715 | הזרקת יעד הסתעפות (Spectre, Variant 2) מחייבת שימוש בעדכון הקושחה האחרון של יצרני ציוד מקורי (OEM) של המכשיר כדי להיכנס לתוקף.

לקבלת מידע נוסף, עיין בנושאים המינורית הבאים בנושא אבטחה 

• Intel's Security Advisory

• ADV190013 | הדרכה של Microsoft להפחתת פגיעויות בדגימה של נתונים מיקרו-ארכיון

לקבלת מידע נוסף, עיין בנושאים המינורית הבאים בנושא אבטחה

• Intel's Security Advisory

• ADV190013 | הדרכה של Microsoft להפחתת פגיעויות בדגימה של נתונים מיקרו-ארכיון

ניתן למצוא הדרכה נוספת בהדרכה של Windows להגנה מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי

עיין בהדרכה בנושא Windows כדי להגן מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי

לקבלת הדרכה עבור Azure, עיין במאמר זה: הדרכה לצמצום פגיעויות ערוץ צדדי של ביצוע ספקולטיבי ב- Azure.  

לקבלת מידע נוסף על הפעלת Retpoline, עיין בפרסום הבלוג שלנו: צמצום Spectre variant 2 באמצעות Retpoline ב- Windows. 

לקבלת פרטים על פגיעות זו, עיין במדריך האבטחה של Microsoft: CVE-2019-1125 | פגיעות גילוי מידע של הליבה של Windows.

איננו מודעים לפגיעות זו של גילוי מידע המשפיעה על תשתית שירות הענן שלנו.

ברגע שנוהרנו לבעיה זו, עבדנו במהירות כדי לטפל בה ולשחרר עדכון. אנו מאמינים מאוד ששותפויות הדוקות עם חוקרים ושותפים בתעשייה כדי להפוך את הלקוחות לאבטחים יותר, ולא פרסמנו פרטים עד יום שלישי, 6 באוגוסט, בהתאם לנוהלי גילוי פגיעויות מתואמים.

ניתן למצוא הדרכה נוספת בהדרכה של Windows כדי להגן מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי.

ניתן למצוא הדרכה נוספת בהדרכה של Windows כדי להגן מפני פגיעויות ערוץ צדדי של ביצוע ספקולטיבי.

ניתן למצוא הדרכה נוספת בהדרכה לה השבתת יכולת Intel® Transactional Synchronization Extensions (Intel® TSX).

אנו מספקים פרטי קשר של ספקים חיצוניים כדי לסייע לך למצוא תמיכה טכנית. פרטי קשר אלה עשויים להשתנות ללא הודעה. איננו מבטיחים את מידת הדיוק של פרטי הקשר של ספק חיצוני זה.