Kurzzusammenfassung

Am 3. Januar 2018 hat Microsoft eine Empfehlung und Sicherheitsupdates veröffentlicht, die sich auf eine neu entdeckte Klasse von Hardwaresicherheitsanfälligkeiten (bekannt als Spectre und Meltdown) beziehen. Hierbei handelt es sich um spekulative ausführungsseitige Channelangriffe, die AMD-, ARM- und Intel-CPUs in unterschiedlichem Ausmaß betreffen. Am 21. Mai wurde eine neue Unterklasse von spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten gemeldet, die als Speculative Store Bypass (SSB) bezeichnet und unter CVE-2018-3639 gelistet werden.

Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann möglicherweise durch Zugriffsberechtigungen geschützte Daten über Vertrauensstellungsgrenzen hinweg lesen. Anfällige Codemuster im Betriebssystem oder in Anwendungen können es einem Angreifer ermöglichen, diese Sicherheitsanfälligkeit auszunutzen. Im Fall von Just-In-Time-Compilern (JIT) wie JavaScript-JIT-Compilern, die von modernen Webbrowsern genutzt werden, kann ein Angreifer möglicherweise JavaScript bereitstellen, um nativen Code zu erzeugen, der die in CVE-2018-3639 beschriebene Situation hervorruft. Allerdings wurden für Microsoft Edge, Internet Explorer und andere gängige Webbrowser Maßnahmen eingeleitet, um das Risiko von ausführungsseitigen Channelangriffen zu reduzieren.

Microsoft lagen zum Zeitpunkt der Veröffentlichung dieses Dokuments keine Informationen zu ausnutzbaren Codemustern dieser Sicherheitsanfälligkeitsklasse in der Software oder Clouddienstinfrastruktur von Microsoft vor, aber wir setzen unsere Untersuchungen fort. Microsoft verfolgt zur Risikominderung im Fall von Speculative Store Bypass die folgende Strategie:

• Sollte ein anfälliges Codemuster gefunden werden, stellt Microsoft ein entsprechendes Sicherheitsupdate bereit.
• Für Microsoft Windows und Azure wird Speculative Store Bypass Disable-Unterstützung (SSBD) hinzugefügt, wie von Intel und AMD dokumentiert. SSBD unterbindet das Auftreten von Speculative Store Bypass. Dadurch wird das Sicherheitsrisiko vollständig vermieden. Für Windows auf ARM-Geräten stellen OEMs ein Update zur Verfügung, welches das Risiko eines Speculative Store Bypass automatisch mindert, wie von ARM dokumentiert. Diese Risikominderung wird über Windows Update bereitgestellt.
• Microsoft setzt die Entwicklung, Veröffentlichung und Bereitstellung von Risikominderungen mit umfassendem Schutz für spekulative ausführungsseitige Channelsicherheitsanfälligkeiten, einschließlich Speculative Store Bypass, fort. Ausführliche Informationen finden Sie im Microsoft Security Research & Defense-Blog.
• Microsoft untersucht weiterhin spekulative ausführungsseitige Channelsicherheitsanfälligkeiten, beispielsweise durch Kontaktaufnahme mit Experten und im Rahmen des entsprechenden Bounty-Programms. Weitere Informationen finden Sie unter https://technet.microsoft.com/de-de/mt846432.aspx.

Empfohlene Maßnahmen (am 13. November 2018 aktualisiert)

1. Registrieren Sie sich für Sicherheitsbenachrichtigungen per E-Mail, um über inhaltliche Änderungen dieser Sicherheitsempfehlung informiert zu werden.  Weitere Informationen finden Sie unter Technische Sicherheitsbenachrichtigungen von Microsoft.

2. Machen Sie sich mit den Details zur Sicherheitsanfälligkeit vertraut. Im Abschnitt Informationsquellen finden Sie Links zu weiterführenden Informationen.

3. Microsoft empfiehlt Entwicklern den aktualisierten Entwicklerleitfaden für Speculative Store Bypass unter folgender Adresse: https://docs.microsoft.com/de-de/cpp/security/developer-guidance-speculative-execution.

4. Wenden Sie die Updates wie folgt an:

   4.1. Wenden Sie die Windows-Updates an, die Unterstützung für SSBD bieten. Weitere Informationen zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Sicherheitsupdates.

   4.2. Hardwarespezifische Maßnahmen können in Geräten erforderlich sind, die bestimmte Prozessoren verwenden:

   a. Intel-Prozessoren: Eine Liste der betroffenen Intel-Prozessoren finden Sie hier in der Sicherheitsempfehlung von Intel. Wenden Sie Hardware-/Microcodeupdates Ihres Geräte-OEM für betroffene Intel-basierte Systeme an. Beachten Sie, dass für SSBD in Intel-Prozessoren der entsprechende Microcode installiert sein muss. Wenden Sie sich für Informationen zu Firmware-/BIOS-Versionen, die SSBD-kompatibel sind, an Ihren OEM.

   b. AMD-Prozessoren: Eine Liste der betroffenen AMD-Prozessorfamilien finden Sie hier in der Sicherheitsempfehlung von AMD. Aktualisierter Microcode ist nicht erforderlich.

   c. ARM-Prozessoren: Eine Liste der betroffenen ARM-Prozessoren finden Sie hier in der Sicherheitsempfehlung von ARM. Ein von OEMs bereitgestelltes Update wird über Windows Update zur Verfügung gestellt, um das Risiko eines Speculative Store Bypass zu mindern (standardmäßig aktiviert und kann nicht deaktiviert werden). Fragen Sie Ihren OEM nach der Verfügbarkeit.

   4.3. Werten Sie die Auswirkungen auf die Leistung durch die Aktivierung von SSBD in Ihrer Umgebung aus.

   4.4. Werten Sie das Risiko von Speculative Store Bypass auf Ihre Umgebung aus, einschließlich des CVSS-Werts und des Risikos von anfälligen Codemustern in Drittanbietersoftware, und legen Sie fest, ob SSBD aktiviert werden sollte.

   4.5. Zum Aktivieren von SSBD verwenden Sie die hier dokumentierten Registrierungseinstellungen:

   • Leitfaden für IT-Experten zum Schutz vor spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten bei Windows-Clients
   • Windows-Server: Anweisungen zum Schutz vor spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten

   4.6. Zur Überprüfung des Status von SSBD wurde das PowerShell-Skript „Get-SpeculationControlSettings“ aktualisiert, sodass betroffene Prozessoren, der Status der SSBD-Betriebssystemupdates sowie ggf. der Zustand des Prozessormicrocodes registriert werden. Weitere Informationen und das PowerShell-Skript zum Herunterladen finden Sie auf folgender Website: Grundlegendes zur Ausgabe des PowerShell-Skripts „Get-SpeculationControlSettings“.

Informationsquellen

• Intel: https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00115.html
• AMD: https://www.amd.com/en/corporate/security-updates
• ARM: https://developer.arm.com/support/arm-security-updates/speculative-processor-vulnerability
• Microsoft Security Research & Defense-Blog: https://aka.ms/sescsrdssb
• Google Project Zero: https://bugs.chromium.org/p/project-zero/issues/detail?id=1528

FAQ (aktualisiert am 13. November 2018)

1. Microsoft veröffentlicht Sicherheitsupdates für diese Sicherheitsempfehlung. Bedeutet dies, dass anfälliger Code gefunden wurde?

Nein. Microsoft konnte zum Zeitpunkt der Veröffentlichung dieses Dokuments keine anfälligen Codemuster in der Software oder Clouddienstinfrastruktur von Microsoft feststellen. Die am 12. Juni 2018 veröffentlichten Updates bieten Unterstützung von Windows für SSBD (Speculative Store Bypass Disable) in Intel-Prozessoren. Weitere Informationen finden Sie im aktualisierten Abschnitt Kurzzusammenfassung.

2. Was bedeutet ein „anfälliges Codemuster“?

Bei einem anfälligen Codemuster handelt es sich um Softwarecode, der Voraussetzungen schafft, die die Ausnutzung von Speculative Store Bypass ermöglichen. Ausführlichere Informationen finden Sie in der Übersicht über Speculative Store Bypass unter: https://aka.ms/sescsrdssb.

3. Wann werden die Windows-Updates, die Unterstützung für SSBD bieten, verfügbar sein?

Geräte mit Intel-Prozessoren: Die Unterstützung für SSBD wurde in allen unterstützten Versionen von Windows im Juli 2018 veröffentlicht.

Geräte mit AMD-Prozessoren: Microsoft hat die Unterstützung für SSBD in unterstützten Versionen von Windows 10, Windows Server 2016 und Windows Server 2019 am 13. November 2018 veröffentlicht. Informationen zum Update finden Sie in der Tabelle Sicherheitsupdates. Wir arbeiten weiterhin gemeinsam mit AMD daran, Unterstützung für SSBD in zusätzlichen unterstützten Versionen von Windows anzubieten.

Microsoft hat die Unterstützung für SSBD in unterstützten Versionen von Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows Server 2012, Windows 8.1 und Windows Server 2012 R2 am 8. Januar 2019 veröffentlicht. Informationen zum Update finden Sie in der Tabelle Sicherheitsupdates. Wir arbeiten weiterhin gemeinsam mit AMD daran, Unterstützung für SSBD in zusätzlichen unterstützten Versionen von Windows anzubieten.

Geräte mit ARM-Prozessoren: Updates werden von OEMs über Windows Update zur Verfügung gestellt. Fragen Sie Ihren OEM nach der Verfügbarkeit.

Weitere Informationen zu den Updates und den Schritten zur Aktivierung von SSBD finden Sie im Abschnitt Empfohlene Maßnahmen.

4. Gibt es Auswirkungen auf die Leistung, wenn ich die Updates installiere, die Unterstützung für SSBD auf AMD- und Intel-Prozessoren bieten?

Nein. Durch die Installation der Updates selbst wird die Leistung Ihrer CPU nicht beeinträchtigt.

5. Gibt es Auswirkungen auf die Leistung, wenn ich SSBD auf unterstützten AMD- und Intel-Prozessoren aktiviere?

Bei Tests hat Microsoft gewisse Leistungseinbußen durch die Aktivierung von SSBD festgestellt. Die tatsächlichen Leistungseinbußen hängen jedoch von mehreren Faktoren ab, wie beispielsweise vom jeweiligen Chipsatz in Ihrem physischen Host und den ausgeführten Workloads.

6. Wo finde ich Informationen zum ebenfalls am 21. Mai 2018 angekündigten CVE-2018-3640?

Siehe ADV180013 | Leitfaden von Microsoft für Rogue System Register Read.

7. Ist die Microsoft Cloud-Infrastruktur betroffen?

Microsoft konnte zum Zeitpunkt der Veröffentlichung dieses Dokuments keine anfälligen Codemuster in der Software oder Clouddienstinfrastruktur von Microsoft feststellen. Darüber hinaus wurden Defense-in-Depth-Risikominderungen in der Microsoft Cloud-Infrastruktur bereitgestellt, um spekulative ausführungsseitige Channelsicherheitsanfälligkeiten direkt zu beheben.

8. Welche Unterschiede gibt es zwischen Speculative Store Bypass und den Sicherheitsanfälligkeiten Spectre und Meltdown?

Speculative Store Bypass ist eine Unterklasse der spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten wie Spectre und Meltdown.

9. Wo finde ich Anweisungen von Microsoft für die Sicherheitsanfälligkeiten Spectre und Meltdown?

Siehe ADV180002 | Anweisungen für die Risikominderung von spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten.