Introduzione
A partire da gennaio 2018, il team di Surface pubblica aggiornamenti del firmware per una classe di problemi basati sui processori che coinvolgono vulnerabilità di esecuzione microarchitettura e speculativa del canale laterale. Il team di Surface continua a lavorare a stretto contatto con il team Windows e i partner di settore per proteggere i clienti. Per ottenere tutta la protezione disponibile, sono necessari aggiornamenti del firmware e Windows sistema.
Riepilogo
Il team di Surface è a conoscenza di nuove varianti di attacco del canale laterale basate su silicio e di esecuzione speculativa che interessano anche i prodotti Surface. Per altre informazioni sulle vulnerabilità e le misure di prevenzione, vedi i seguenti avvisi di sicurezza:
Stiamo collaborando con i nostri partner per fornire gli aggiornamenti per i prodotti Surface non appena possiamo assicurarci che gli aggiornamenti soddisfino i nostri requisiti di qualità.
Per ulteriori informazioni sugli aggiornamenti per i dispositivi Surface, vedi Cronologia degli aggiornamenti di Surface.
Il team di Surface è a conoscenza di nuove varianti di attacco di esecuzione speculativa del canale laterale che interessano anche i prodotti Surface. La prevenzione di queste vulnerabilità richiede un aggiornamento del sistema operativo e un aggiornamento della UEFI di Surface che include un nuovo microcodice. Per altre informazioni sulle vulnerabilità e le misure di prevenzione, vedi i seguenti avvisi di sicurezza:
-
Avviso di sicurezza Microsoft ADV190013
Questo avviso include le vulnerabilità seguenti:
-
CVE-2018-12126 | Microarchitectural Store Buffer Data Sampling (MSBDS)
-
CVE-2018-12130 | Campionamento dei dati del buffer di riempimento microarchitetturale (MFBDS)
-
CVE-2018-12127 | Microarchitectural Load Port Data Sampling (MLPDS)
-
CVE-2019-11091 | Microarchitectural Data Sampling Uncacheable Memory (MDSUM)
-
Oltre a installare gli aggiornamenti della sicurezza del sistema operativo Windows, Surface ha rilasciato gli aggiornamenti UEFI tramite Windows Update e l'Area download per i dispositivi seguenti:
-
Surface 3 - Aggiornamento dell'11 luglio 2019
-
Surface Pro 3 - Aggiornamento dell'11 luglio 2019
-
Surface Pro 4 - Aggiornamento del 27 giugno 2019
-
Surface Book - Aggiornamento del 27 giugno 2019
-
Surface Studio - Aggiornamento dell'11 luglio 2019
-
Surface Pro (quinta generazione) - Aggiornamento del 27 giugno 2019
-
Surface Laptop - Aggiornamento del 27 giugno 2019
-
2 Surface Book - Aggiornamento del 27 giugno 2019
-
aggiornamento del 6 Surface Pro - 27 giugno 2019
-
Surface Laptop 2 - Aggiornamento del 27 giugno 2019
-
aggiornamento del 2 Surface Studio del 31 luglio 2019
-
WiFi di Surface GO - Aggiornamento del 23 luglio 2019
-
Surface GO LTE - Aggiornamento del 23 luglio 2019
Oltre al nuovo microcodice, una nuova impostazione UEFI nota come "Multi-Threading simultaneo (SMT)" sarà disponibile quando viene installato l'aggiornamento UEFI. Questa impostazione consente a un utente di disabilitare Hyper-Threading.
Note
-
Se si decide di disabilitare Hyper-Threading, è consigliabile usare la nuova impostazione UEFI SMT.
-
La disabilitazione di SMT fornisce una protezione aggiuntiva contro queste nuove vulnerabilità e l'attacco L1 Terminal Fault che è stato annunciato in precedenza. Tuttavia, questo metodo influisce anche sulle prestazioni del dispositivo.
-
Surface 3 e Surface Studio con Intel Core i5 non dispongono di SMT. Pertanto, questi dispositivi non hanno questa nuova impostazione.
-
Lo strumento di configuratore UEFI di Microsoft Surface Enterprise (SEMM) versione 2.43.139 o successiva supporta la nuova impostazione SMT. Gli strumenti possono essere scaricati da questa pagina Web. Scarica i seguenti strumenti necessari:
-
SurfaceUEFI_Configurator_v2.43.139.0.msi
-
SurfaceUEFI_Manager_v2.43.139.0.msi
-
Il team di Surface è a conoscenza di un nuovo attacco di esecuzione speculativa del canale laterale chiamato L1 Terminal Fault (L1TF) e ha assegnato CVE-2018-3620 (OS e SMM) e CVE-2018-3646 (VMM). I prodotti Surface interessati sono uguali a quanto indicato nella sezione "Vulnerabilità annunciate a maggio 2018" di questo articolo. Gli aggiornamenti del microcodice che attenuano i risultati di maggio 2018 attenuano anche l'L1TF (CVE-2018-3646). Per ulteriori informazioni sulle vulnerabilità e le misure di prevenzione, vedi i seguenti avvisi di sicurezza:
-
Avviso di sicurezza Microsoft ADV180018
Questo avviso include le vulnerabilità seguenti:
L'avviso di sicurezza propone ai clienti che usano Virtualization Based Security (VBS), che include funzionalità di sicurezza come Credential Guard e Device Guard, di prendere in considerazione la disabilitazione di Hyper-Threading per eliminare completamente il rischio da L1TF.
Il team di Surface è diventato consapevole di nuove varianti di attacco di esecuzione speculativa del canale laterale che interessano anche i prodotti Surface. La prevenzione di queste vulnerabilità richiede aggiornamenti UEFI che usano un nuovo microcodice. Per altre informazioni sulle vulnerabilità e le misure di prevenzione, vedere gli avvisi di sicurezza seguenti:
-
Avviso di sicurezza Microsoft ADV180012
Questo avviso include la vulnerabilità seguente:
-
Avviso di sicurezza Microsoft ADV180013
Questo avviso include la vulnerabilità seguente:
Oltre a installare gli aggiornamenti della sicurezza del sistema operativo Windows, Surface ha rilasciato gli aggiornamenti UEFI tramite Windows Update e l'Area download per i dispositivi seguenti:
-
aggiornamento del 2 Surface Book - 1 agosto 2018
-
Surface Book - Aggiornamento del 21 agosto 2018
-
Surface Laptop - Aggiornamento del 25 luglio 2018
-
Surface Studio - Aggiornamento del 1° ottobre 2018
-
Surface Pro 4 - Aggiornamento del 25 luglio 2018
-
aggiornamento del 3 Surface Pro - 7 agosto 2018
-
Surface Pro modello 1796 e Surface Pro con aggiornamento Advanced LTE Model 1807 - 26 luglio 2018
Il team di Surface è a conoscenza della classe pubblicamente divulgata di vulnerabilità che coinvolgono l'esecuzione speculativa del canale laterale (noto come Spectre e Meltdown) che interessano molti processori e sistemi operativi moderni, tra cui Intel, AMD e ARM. Per altre informazioni sulle vulnerabilità e le misure di prevenzione, vedi i seguenti avvisi di sicurezza:
-
Avviso di sicurezza Microsoft ADV180002
Questo avviso include le vulnerabilità seguenti:
Per ulteriori informazioni su Windows aggiornamenti software, vedi i seguenti articoli knowledge base:
Oltre a installare gli aggiornamenti della sicurezza del sistema operativo Windows del 3 gennaio, Surface ha rilasciato gli aggiornamenti UEFI tramite Windows Update e l'Area download per i dispositivi seguenti:
-
Surface Book 2 - (Cronologia degli aggiornamenti)
-
Surface Book - (Cronologia degli aggiornamenti)
-
Surface Laptop - (Cronologia degli aggiornamenti)
-
Surface Studio - (Cronologia degli aggiornamenti)
-
Surface Pro 4 - (Cronologia degli aggiornamenti)
-
Surface Pro 3 - (Cronologia degli aggiornamenti)
-
Surface 3 - (Cronologia degli aggiornamenti)
-
Surface Pro modello 1796 e Surface Pro con Advanced LTE Model 1807- (cronologia degli aggiornamenti)
Questi aggiornamenti sono disponibili per i dispositivi che eseguono Windows 10 Creators Update (build 15063) e versioni successive.
Ulteriori informazioni
Il sistema operativo Surface Hub, Windows 10 Team, ha implementato strategie di difesa approfondita. Per questo motivo, riteniamo che gli exploit che usano queste vulnerabilità siano notevolmente ridotti in Surface Hub durante l'esecuzione di Windows 10 Team sistema operativo. Per altre informazioni, vedere l'argomento seguente nel sito Web Centro Pro IT di Windows: Differenze tra Surface Hub e Windows 10 Enterprise.
Il team di Surface si è concentrato sulla garanzia che i nostri utenti abbiano un'esperienza sicura e affidabile. Continueremo a monitorare e aggiornare i dispositivi in base alle esigenze per risolvere queste vulnerabilità e mantenere i dispositivi affidabili e sicuri.
Riferimenti
Microsoft fornisce informazioni di contatto di terze parti per aiutare l'utente a trovare supporto tecnico. Queste informazioni sono soggette a modifiche senza preavviso. Microsoft non garantisce l'accuratezza di queste informazioni di contatto di terze parti.