Dưới đây là Tư vấn bảo mật của Microsoft về các lỗ hổng đã được gán ba số "CVE":
- CVE-2017-5715 - Tiêm mục tiêu chi nhánh ( "Spectre" )
- CVE-2017-5753 - Bỏ qua kiểm tra giới hạn ( "Spectre" )
- CVE-2017-5754 - Tải bộ đệm dữ liệu Rogue ( "Meltdown" )
Microsoft KB về cách các lỗ hổng này ảnh hưởng đến máy chủ SQL đang được cập nhật tích cực khi có thông tin mới:
KB 4073225: Hướng dẫn máy chủ SQL để bảo vệ chống lại các lỗ hổng kênh bên thực thi đầu cơ .
Đề xuất chính xác của Microsoft sẽ phụ thuộc vào cấu hình và kịch bản kinh doanh của bạn, vui lòng tham khảo KB để biết chi tiết. Nếu bạn đang lưu trữ trên Azure, chẳng hạn, không cần thực hiện hành động nào (môi trường đã được vá). Tuy nhiên, nếu bạn đang lưu trữ các ứng dụng trong các môi trường ảo hoặc vật lý được chia sẻ với mã không đáng tin cậy, thì có thể cần phải giảm thiểu.
Các bản vá SQL hiện có sẵn cho các phiên bản SQL bị ảnh hưởng sau:
Các bản vá máy chủ SQL này bảo vệ chống lại CVE 2017-5753 ( Spectre: Bound check bypass ).
Để bảo vệ chống lại CVE 2017-5754 ( Meltdown: Tải bộ đệm dữ liệu Rogue ), bạn có thể bật Kernel Virtual Địa chỉ ảo (KVAS) trên Windows (thông qua thay đổi sổ đăng ký) hoặc Cách ly bảng trang hạt nhân Linux (KPTI) trên Linux (thông qua bản vá từ bạn Nhà phân phối Linux).
Để bảo vệ chống lại CVE 2017-5715 ( Spectre: Branch target tiêm ), bạn có thể kích hoạt hỗ trợ phần cứng giảm thiểu Branch Target Injection (IBC) thông qua thay đổi sổ đăng ký cộng với cập nhật firmware từ nhà sản xuất phần cứng của bạn.
Lưu ý rằng KVAS, KPTI và IBC có thể không cần thiết cho môi trường của bạn và đây là những thay đổi có tác động hiệu suất đáng kể nhất (nhấn mạnh của tôi):
Microsoft khuyên tất cả khách hàng cài đặt các phiên bản cập nhật của SQL Server và Windows. Điều này sẽ có tác động không đáng kể đến hiệu suất tối thiểu đối với các ứng dụng hiện có dựa trên việc Microsoft kiểm tra khối lượng công việc SQL, tuy nhiên, chúng tôi khuyên bạn nên xác thực trước khi triển khai vào môi trường sản xuất.
Microsoft đã đo lường tác động của Bóng tối Địa chỉ ảo Kernel (KVAS), Chỉ định bảng trang hạt nhân (KPTI) và Giảm thiểu mục tiêu tiêm chi nhánh (IBC) đối với các khối lượng công việc SQL khác nhau trong các môi trường khác nhau và tìm thấy một số khối lượng công việc với sự xuống cấp đáng kể. Chúng tôi khuyên bạn nên xác thực tác động hiệu suất của việc bật các tính năng này trước khi triển khai vào môi trường sản xuất. Nếu tác động hiệu năng của việc kích hoạt các tính năng này quá cao đối với một ứng dụng hiện có, khách hàng có thể xem xét việc cách ly SQL Server khỏi mã không tin cậy chạy trên cùng một máy có phải là giảm thiểu tốt hơn cho ứng dụng của họ hay không.
Hướng dẫn cụ thể của Trình quản lý cấu hình hệ thống Microsoft (SCCM):
Hướng dẫn bổ sung để giảm thiểu các lỗ hổng kênh bên thực thi đầu cơ kể từ ngày 08 tháng 1 năm 2018 .
Bài viết trên blog liên quan: