HINWEIS: ADV180002 wurde am 10. Juli 2018 überarbeitet. Der folgende Inhalt ist die ursprüngliche, archivierte Version von ADV180002. Die aktuellsten Informationen zu den in dieser Sicherheitsempfehlung behandelten spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten finden Sie oben auf dieser Seite.

Kurzzusammenfassung

Microsoft ist eine neue öffentlich gemeldete Klasse von Sicherheitsanfälligkeiten bekannt, die als „spekulative ausführungsseitige Channelangriffe“ bezeichnet werden und viele moderne Prozessoren und Betriebssysteme wie etwa Intel, AMD und ARM betreffen. Hinweis: Dieses Problem betrifft andere Systeme wie etwa Android, Chrome, iOS und MacOS, weshalb wir Kunden raten, sich Informationen von den entsprechenden Herstellern einzuholen.

Microsoft hat mehrere Updates veröffentlicht, um das Risiko durch diese Sicherheitsanfälligkeiten zu mindern. Darüber hinaus haben wir Maßnahmen zum Schutz unserer Cloud Services ergriffen. Nachfolgend finden Sie weitere Informationen.

Microsoft hat aktuell keine Hinweise darauf, dass diese Sicherheitsanfälligkeiten zu Angriffen auf Kunden genutzt wurden. Microsoft arbeitet auch weiterhin eng mit Branchenpartnern einschließlich Prozessorchipherstellern, Hardware-OEMs und App-Herstellern zusammen, um den Schutz der Kunden zu gewährleisten. Für den umfassenden Schutz sind Hardware-, Firmware- und Softwareupdates erforderlich. Dies beinhaltet möglicherweise Microcode von Geräte-OEMs und in manchen Fällen auch Updates für Antivirensoftware.

Diese Sicherheitsempfehlung behebt die folgenden Sicherheitsanfälligkeiten:

• CVE-2017-5753 – Bounds check bypass
• CVE-2017-5715 – Branch target injection
• CVE-2017-5754 – Rogue data cache load

Empfohlene Maßnahmen

Für Heimanwender besteht der beste Schutz darin, dafür zu sorgen, dass die Computer immer auf dem neuesten Stand sind. Hierzu können Sie die automatischen Updates verwenden. Hier erfahren Sie, wie Sie automatische Updates aktivieren. Zusätzlich zum Installieren der Windows-Sicherheitsupdates vom Januar 2018 müssen Sie möglicherweise auch Firmwareupdates Ihres Geräteherstellers installieren, um optimalen Schutz zu gewährleisten. Informationen zu relevanten Updates erhalten Sie von Ihrem Gerätehersteller.

Wenn automatische Updates aktiviert sind, wird das Windows-Sicherheitsupdate vom Januar 2018 für die Geräte angeboten, auf denen unterstützte Antivirenanwendungen ausgeführt werden. Updates können in beliebiger Reihenfolge installiert werden.

1. Wenn Sie die automatische Updatefunktion aktiviert und so konfiguriert haben, dass sie Updates für Windows bereitstellt, erhalten Sie die Updates, sobald sie veröffentlicht worden sind, vorausgesetzt Ihr Gerät und Ihre Software sind kompatibel. Es wird empfohlen, zu überprüfen, ob diese Updates installiert wurden. Wenn automatische Updates nicht aktiviert sind, suchen und installieren Sie manuell das Sicherheitsupdate für das Windows-Betriebssystem vom Januar 2018.
2. Installieren Sie das entsprechende Firmwareupdate, das von Ihrem OEM-Gerätehersteller bereitgestellt wird.

Kunden, die Surface-Produkte verwenden, müssen sowohl Firmware- als auch Softwareupdates anwenden. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 4073065.  

Potenzielle Leistungseinbußen

Bei Tests hat Microsoft gewisse Leistungseinbußen aufgrund dieser Risikominderungen festgestellt. Für die meisten Geräte von Heimanwendern sind die Auswirkungen möglicherweise nicht wahrnehmbar. Die Auswirkungen hängen jedoch von der jeweiligen Hardwaregeneration und der Implementierung durch den Prozessorchiphersteller ab. Für Microsoft hat die Sicherheit der angebotenen Software und Services einen hohen Stellenwert. Wir haben deshalb beschlossen, bestimmte Risikominderungsstrategien zu implementieren, um einen besseren Schutz für unsere Produkte zu bieten. Wir arbeiten eng mit Hardwareherstellern zusammen, um die Leistung zu verbessern und gleichzeitig für ein hohes Maß an Sicherheit zu sorgen.

Details der Empfehlung

Beschreibung der Sicherheitsanfälligkeiten

Mithilfe von spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten kann der Inhalt des Arbeitsspeichers über eine Vertrauensstellung hinaus ausgelesen werden, was zur Veröffentlichung von Informationen führen kann. Es gibt mehrere Angriffsvektoren, mit deren Hilfe ein Angreifer die Sicherheitsanfälligkeiten in Abhängigkeit von der konfigurierten Umgebung auslösen kann.

Microsoft arbeitet gemeinsam mit Hardware- und Softwareherstellern an der Entwicklung von Risikominderungen, um Kunden für Produkte und Services von Microsoft Schutz zu bieten. Durch diese Risikominderungen werden Angreifer daran gehindert, eine Schwachstelle in der CPU auszunutzen, durch die Inhalte des Arbeitsspeichers offengelegt werden könnten.

Kunden von Microsoft Windows-Clients

In Clientszenarien könnten mithilfe einer schädlichen Benutzermodusanwendung die Inhalte des Kernelarbeitsspeichers offengelegt werden.

Kunden, die Windows-Clientbetriebssysteme einschließlich Windows 7 Service Pack 1, Windows 8.1 und Windows 10 verwenden, müssen sowohl Firmware- als auch Softwareupdates anwenden. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 4073119.

Kunden, die Surface- und Surface Book Produkte von Microsoft verwenden, müssen sowohl Firmware- als auch Softwareupdates anwenden. Die meisten Kunden haben automatische Updates aktiviert und müssen keine Maßnahmen ergreifen, da dieses Sicherheitsupdate automatisch heruntergeladen und installiert wird.

Microsoft arbeitet auch weiterhin eng mit Branchenpartnern zusammen, um die Risikominderungen für diese Klasse von Sicherheitsanfälligkeiten zu optimieren.

Kunden von Microsoft Windows Server

In Serverszenarien könnten mithilfe einer schädlichen Benutzermodusanwendung die Inhalte des Kernelarbeitsspeichers offengelegt werden. In anderen Hostumgebungen mit mehreren Mandanten könnte eine virtuelle Maschine den Arbeitsspeicher des Hostbetriebssystems oder den Arbeitsspeicher von anderen Gastbetriebssystemen, die auf demselben physischen Computer ausgeführt werden, auslesen.

Kunden, die Windows-Serverbetriebssysteme einschließlich Windows Server 2008 R2 Service Pack 1, Windows Server 2012 R2 und Windows Server 2016 verwenden, müssen Firmware- und Softwareupdates anwenden sowie den Schutz konfigurieren. Weitere Informationen einschließlich Problemumgehungen finden Sie im Microsoft Knowledge Base-Artikel 4072698.

Microsoft Azure hat Maßnahmen ergriffen, um die Sicherheitsanfälligkeiten auf der Hypervisorebene zu beheben, um in Azure ausgeführte Windows Server-VMs zu schützen. Weitere Informationen zu diesem Thema finden Sie hier.

Microsoft arbeitet auch weiterhin eng mit Branchenpartnern zusammen, um die Risikominderungen für diese Klasse von Sicherheitsanfälligkeiten zu optimieren.

Kunden von Microsoft Cloud

Microsoft hat bereits Risikominderungen für die meisten Cloud Services des Unternehmens bereitgestellt und arbeitet für die restlichen Cloud Services mit Hochdruck daran.  Weitere Informationen zu diesem Thema finden Sie hier.

Kunden von Microsoft SQL Server

In Szenarien, in denen Microsoft SQL Server ausgeführt wird, sollten sich Kunden an die im Microsoft Knowledge Base-Artikel 4073225 beschriebenen Anleitungen halten.

Kunden von Microsoft HoloLens

Windows 10-Updates für HoloLens sind für Kunden von HoloLens über Windows Update verfügbar.

Nach der Installation des Windows-Sicherheitsupdates vom Februar 2018 müssen Kunden von HoloLens keine zusätzlichen Schritte ausführen, um ihre Gerätefirmware zu aktualisieren. Diese Risikominderungen werden auch Bestandteil aller zukünftigen Versionen von Windows 10 für HoloLens sein.

Häufig gestellte Fragen (FAQ)

1. Für welche Systeme stellen diese Sicherheitsrisiken eine Gefahr dar?

Diese Sicherheitsanfälligkeiten betreffen sowohl Client- als auch Serverbetriebssysteme. Für Systeme und Dienste, die so konfiguriert sind, dass die Ausführung von nicht vertrauenswürdigem Code zulässig ist, stellen diese Sicherheitsanfälligkeiten in erster Linie ein Risiko dar. Darüber hinaus besteht für in Browserszenarien verwendete Clientsysteme, wie beispielsweise Arbeitsstationen oder Terminalserver, ein erhöhtes Risiko aufgrund dieser Sicherheitsanfälligkeiten.

2. Welche CVE-Nummern sind diesen Sicherheitsrisiken zugeordnet?

• Siehe CVE-2017-5715
• Siehe CVE-2017-5753
• Siehe CVE-2017-5754

3. Wurden aktive Angriffe festgestellt?

Nein. Microsoft lagen zum Zeitpunkt der Veröffentlichung dieser Sicherheitsempfehlung keine Informationen vor, dass diese Sicherheitsanfälligkeiten für Angriffe auf Kunden ausgenutzt wurde.

4. Wurden diese Sicherheitsrisiken öffentlich gemacht?

Ja. Die Sicherheitsanfälligkeiten wurden am 3. Januar 2018 unter https://bugs.chromium.org/p/project-zero/issues/detail?id=1272 öffentlich gemacht.

5. Die am 3. Januar 2018 veröffentlichten Windows-Sicherheitsupdates wurden mir nicht angeboten. Was ist zu tun?

Um negative Auswirkungen auf die Geräte von Kunden zu vermeiden, wurden die am 3. Januar 2018 veröffentlichten Windows-Sicherheitsupdates nur Geräten angeboten, auf denen kompatible Antivirensoftware ausgeführt wird. Weitere Informationen zum Beziehen der Updates finden Sie im Microsoft Knowledge Base-Artikel 4072699.

6. Warum gibt es für Windows Server 2008- und Windows Server 2012-Plattformen kein Update? Wann können Kunden mit einem entsprechenden Fix rechen?

Die Behebung einer Sicherheitsanfälligkeit bei Hardware mithilfe eines Softwareupdates stellt eine erhebliche Herausforderung für manche Betriebssysteme dar und erfordert umfangreiche Änderungen bei der Architektur. Microsoft arbeitet eng mit den betroffenen Prozessorchipherstellern zusammen, um die bestmögliche Methode zum Bereitstellen von Risikominderungen zu analysieren.

Update vom 13. März 2018: Microsoft hat die folgenden Sicherheitsupdates für Windows Server 2008 und Windows Server 2012 veröffentlicht, um Risikominderungen für die in dieser Sicherheitsempfehlung behandelten Sicherheitsanfälligkeiten bereitzustellen. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle „Betroffene Produkte“. Beachten Sie, dass diese Updates nur über Windows Update verfügbar sind.

• 4090450 – Windows Server 2008 für 32-Bit-Systeme
• 4090450 – Windows Server 2008 für x64-basierte Systeme
• 4090450 – Windows Server 2008 für Itanium-basierte Systeme
• 4088877 – (monatlicher Rollup) Windows Server 2012
• 4088880 – (reines Sicherheitsupdate) Windows Server 2012

7. Ich verwende eine x86-Architektur, und die Ausgabe der PowerShell-Überprüfung weist darauf hin, dass ich vor diesen spekulativen ausführungsseitigen Channelsicherheitsanfälligkeiten nicht vollständig geschützt bin. Wird Microsoft in Zukunft vollständigen Schutz anbieten?

Die Behebung einer Sicherheitsanfälligkeit bei Hardware mithilfe eines Softwareupdates stellt eine erhebliche Herausforderung dar, und Risikominderungen für ältere Betriebssysteme können umfangreiche Änderungen bei der Architektur erforderlich machen. Mit den in dieser Sicherheitsempfehlung aufgeführten bestehenden 32-Bit-Updatepaketen werden CVE-2017-5753 und CVE-2017-5715 vollständig behoben, sie bieten jedoch derzeit keinen Schutz für CVE-2017-5754. Microsoft arbeitet eng mit den betroffenen Prozessorchipherstellern zusammen, um für X86-Kunden die bestmögliche Methode für Risikominderungen zu analysieren, die in einem zukünftigen Update bereitgestellt werden können.

Update vom 13. März 2018: Microsoft hat die folgenden Sicherheitsupdates veröffentlicht, um zusätzlichen Schutz für die 32-Bit-Versionen (x86) von Windows im Zusammenhang mit CVE 2017-5754 („Meltdown“) zu bieten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle „Betroffene Produkte“. Beachten Sie, dass diese Updates nur über Windows Update verfügbar sind.

• 4088875 – (monatlicher Rollup) für Windows 7 für 32-Bit-Systeme Service Pack 1
• 4088878 – (reines Sicherheitsupdate) für Windows 7 für 32-Bit-Systeme Service Pack 1
• 4088876 – (monatlicher Rollup) für Windows 8.1 für 32-Bit-Systeme
• 4088879 – (reines Sicherheitsupdate ) für Windows 8.1 für 32-Bit-Systeme

Update vom 13. Februar 2018: Microsoft hat die folgenden Sicherheitsupdates veröffentlicht, um zusätzlichen Schutz für die 32-Bit-Versionen (x86) von Windows 10 im Zusammenhang mit CVE 2017-5754 („Meltdown“) zu bieten. Links zum Herunterladen und Installieren der Updates über den Microsoft Update-Katalog finden Sie in der Tabelle „Betroffene Produkte“:

• 4074596 – Windows 10 für 32-Bit-Systeme
• 4074591 – Windows 10, Version 1511, für 32-Bit-Systeme
• 4074590 – Windows 10, Version 1607, für 32-Bit-Systeme
• 4074592 – Windows 10, Version 1703, für 32-Bit-Systeme

Update vom 18. Januar 2018: Microsoft hat das Sicherheitsupdate 4073291 veröffentlicht, um zusätzlichen Schutz für die 32-Bit-Version (x86) von Windows 10, Version 1709, im Zusammenhang mit CVE 2017-5754 („Meltdown“) zu bieten. Links zum Herunterladen und Installieren des Updates über den Microsoft Update-Katalog finden Sie in der Tabelle „Betroffene Produkte“.

8. Worin genau bestehen die Sicherheitsanfälligkeiten?

Hierbei handelt es sich um Sicherheitsanfälligkeiten bezüglich der Veröffentlichung von Informationen. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann vertrauliche Informationen offenlegen, die für die weitere Ausnutzung des Systems verwendet werden können. In Umgebungen mit gemeinsam genutzten Ressourcen (z. B. in manchen Cloud Services-Konfigurationen) könnte ein virtueller Computer mithilfe dieser Sicherheitsanfälligkeit missbräuchlich auf Informationen auf einem anderen virtuellen Computer zugreifen. In anderen als webbasierten Szenarien auf eigenständigen Systemen würde ein Angreifer vorher Zugriff auf das System benötigen oder müsste nicht vertrauenswürdigen Code im System ausführen, um diese Sicherheitsanfälligkeiten ausnutzen zu können. In webbasierten Szenarien könnte ein Angreifer einen Benutzer dazu verleiten, eine schädliche Website zu besuchen, um diese Sicherheitsanfälligkeiten auszunutzen. Ein Angreifer könnte auch schädlichen Code in Werbenetzwerke einschleusen, die von vertrauenswürdigen Websites verwendet werden, oder Schadsoftware in eine manipulierte, aber vertrauenswürdige Website einbetten.

Für sich genommen ermöglichen diese Sicherheitsanfälligkeiten nicht die Ausführung beliebigen Codes.

9. Ist mein Gerät geschützt, nachdem ich die Windows-Sicherheitsupdates angewendet habe, die Microsoft am 3. Januar 2018 veröffentlicht hat?

Für den umfassenden Schutz Ihrer Geräte vor den in dieser Sicherheitsempfehlung beschriebenen drei Sicherheitsanfälligkeiten müssen Sie die Sicherheitsupdates für Windows installieren und von Ihrem Hardware-OEM bereitgestellte Microcodeupdates anwenden.

Wenn Ihr OEM kein Microcodeupdate anbietet oder wenn Sie es nicht anwenden können, wird mit den am 3. Januar 2018 veröffentlichten Windows-Sicherheitsupdates alleine Folgendes behoben:

• CVE-2017-5753 – Bounds check bypass
• CVE-2017-5754 – Rogue data cache load

Zum Beheben von CVE-2017-5715 – Branch target injection müssen Sie ein Microcodeupdate in Kombination mit dem Windows-Sicherheitsupdate anwenden. Bei Fragen zu Microcodeupdates müssen Sie sich an Ihren OEM wenden. Systeme ohne aktualisierten Microcode bleiben wie in FAQ 8 beschrieben anfällig für die Veröffentlichung von Informationen: Worin genau bestehen die Sicherheitsanfälligkeiten?

10. Ich verwende ein AMD-basiertes Gerät und kompatible Antivirensoftware, erhalte aber das Windows-Sicherheitsupdate vom Januar 2018 nicht. Woran liegt das?

Microsoft hat gemeinsam mit AMD daran gearbeitet, Updateblockierungen bei einem kleinen Prozentsatz älterer AMD-Prozessoren zu beheben (die zuvor blockiert wurden, um zu vermeiden, dass Geräte nach der Installation der neuesten Sicherheitsupdates für das Windows-Betriebssystem nicht mehr gestartet werden können). Seit dem 18. Januar 2018 hat Microsoft die Aktualisierung von allen AMD-Geräten mit dem Sicherheitsupdate für das Windows-Betriebssystem fortgesetzt, um Schutz vor den als Spectre und Meltdown bezeichneten Sicherheitsanfälligkeiten beim Chipsatz zu bieten. Die folgenden KBs zu Updates für das Windows-Betriebssystem enthalten Informationen zum Beziehen des Updates. Beachten Sie, dass Sie vor der Aktualisierung zunächst eine kompatible Antivirensoftware benötigen.

• 3. Januar 2018 – KB4056897 (reines Sicherheitsupdate)
• 9. Januar 2018 – KB4056894 (monatlicher Rollup)
• 3. Januar 2018 – KB4056888 (BS-Build 10586.1356)
• 3. Januar 2018 – KB4056892 (BS-Build 16299.192)
• 3. Januar 2018 – KB4056891 (BS-Build 15063.850)
• 3. Januar 2018 – KB4056890 (BS-Build 14393.2007)
• 3. Januar 2018 – KB4056898 (reines Sicherheitsupdate)
• 3. Januar 2018 – KB4056893 (BS-Build 10240.17735)
• 9. Januar 2018 – KB4056895 (monatlicher Rollup)

Spezifische Informationen zu AMD-Geräten erhalten Sie in der Sicherheitsempfehlung von AMD. Kunden, die Windows-Clientbetriebssysteme einschließlich Windows 7 Service Pack 1, Windows 8.1 und Windows 10 verwenden, finden weitere Informationen im Microsoft Knowledge Base-Artikel 4073119. Kunden, die Windows-Serverbetriebssysteme einschließlich Windows Server 2008 R2 Service Pack 1, Windows Server 2012 R2 und Windows Server 2016 verwenden, finden weitere Informationen im Microsoft Knowledge Base-Artikel 4072698.

11. Intel hat Neustartprobleme im Zusammenhang mit Microcode bei einigen älteren Prozessoren festgestellt. Was ist zu tun?

Intel hat im Zusammenhang mit dem kürzlich veröffentlichten Microcode, durch den das Problem mit Spectre Variante 2 (CVE 2017-5715 – Branch Target Injection) behoben werden soll, Probleme gemeldet. Intel hat festgestellt, dass dieser Microcode zu einer „höheren Anzahl von Neustarts als erwartet sowie zu sonstigem unberechenbarem Systemverhalten“ führen kann, und weist darauf hin, dass derartige Situationen „Datenverlust oder -beschädigung“ zur Folge haben können. Aus eigener Erfahrung wissen wir, dass Systeminstabilität in bestimmten Fällen Datenverlust oder Datenbeschädigung nach sich ziehen kann. Am 22. Januar hat Intel Kunden empfohlen, die Bereitstellung der aktuellen Microcodeversion für betroffene Prozessoren so lange auszusetzen, bis Intel zusätzliche Tests für die aktualisierte Lösung ausgeführt hat. Uns ist bewusst, dass Intel die potenziellen Auswirkungen der aktuellen Microcodeversion weiter untersucht, und möchten die Kunden bitten, sich die jeweils aktuellsten Informationen zu diesem Thema zu besorgen, damit sie informierte Entscheidungen treffen können.

Während von Intel neuer Microcode getestet, aktualisiert und bereitgestellt wird, stellen wir heute das Out-of-Band-Update KB4078130 zur Verfügung, mit dem nur die Risikominderung für CVE2017-5715 – Sicherheitsanfälligkeit für Branch Target Injection – deaktiviert wird. Unsere Tests haben ergeben, dass dieses Update das beschriebene Verhalten verhindert. Eine komplette Liste der Geräte finden Sie unter Intel – Microcode Revision Guidance. Dieses Update betrifft Windows 7 Service Pack 1, Windows 8.1 und alle Versionen von Windows 10 (Client und Server). Wenn Sie ein betroffenes Gerät verwenden, können Sie dieses Update anwenden, indem Sie es von der Microsoft Update-Katalog-Website herunterladen. Durch Anwenden dieses Updates wird nur die Risikominderung für CVE2017-5715 – Sicherheitsanfälligkeit für Branch Target Injection – deaktiviert.

Mit Stand 25. Januar gibt es keine Hinweise darauf, dass Spectre Variante 2 (CVE 2017-5715) zu Angriffen auf Kunden genutzt wurde. Wir empfehlen Benutzern von Windows, ggf. die Risikominderung für CVE-2017-5715 erneut zu aktivieren, sobald Intel meldet, dass dieses unberechenbare Systemverhalten für Ihr Gerät behoben wurde.

Update vom 24. April 2018:

Microsoft hat das eigenständige Sicherheitsupdate 4078407 veröffentlicht, das standardmäßig die Risikominderung für Spectre Variante 2 (CVE 2017-5715) für alle unterstützten Versionen von Windows 10 und Windows 10-Servern aktiviert. Laden Sie dieses Update von der Microsoft Update-Katalog-Website herunter, um es anzuwenden. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 4078407.

12. Wenn ich die reinen Sicherheitsupdates vom Januar oder Februar 2018 nicht installiert habe, was muss ich dann installieren, um vor den in dieser Empfehlung beschriebenen Sicherheitsrisiken geschützt zu sein?

Reine Sicherheitsupdates sind nicht kumulativ. In Abhängigkeit von der ausgeführten Betriebssystemversion müssen Sie die reinen Sicherheitsupdates vom Januar, Februar und März installieren, um vor den in dieser Sicherheitsempfehlung beschriebenen Sicherheitsanfälligkeiten geschützt zu sein. Wenn Sie beispielsweise Windows 7 für 32-Bit-Systeme auf einer betroffenen Intel-CPU ausführen, müssen Sie die reinen Sicherheitsupdates vom Januar, Februar und März installieren. Wir empfehlen, diese reinen Sicherheitsupdates in der Reihenfolge ihrer Veröffentlichung zu installieren. Hinweis: In einer früheren Version dieser FAQ wurde fälschlicherweise darauf hingewiesen, dass das reine Sicherheitsupdate vom Februar die im Januar veröffentlichten Sicherheitsfixes für die Probleme im Zusammenhang mit dieser Sicherheitsempfehlung beinhaltet.

13. Wenn ich Sicherheitsupdates vom Februar anwende, wird dann der Schutz für CVE-2017-5715 deaktiviert, so wie dies beim Sicherheitsupdate 4078130 der Fall war?

Nein. Das Sicherheitsupdate 4078130 war ein spezieller Fix, um unvorhersehbares Systemverhalten, Leistungsprobleme und/oder unerwartete Neustarts nach der Installation von Microcode zu verhindern. Durch Anwenden der Sicherheitsupdates vom Februar unter Windows-Clientbetriebssystemen werden alle drei Risikominderungen aktiviert. Unter Windows-Serverbetriebssystemen müssen Sie noch die Risikominderungen aktivieren, nachdem entsprechende Tests durchgeführt wurden. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 4072698.

14. Mir ist bewusst, dass Intel Microcodeupdates veröffentlicht hat. Wo kann ich diese Updates für mein System finden und installieren?

Diese Updates sind derzeit über den Microsoft Update-Katalog für Geräte verfügbar, auf denen Windows 10, Version 1709, und Windows Server, Version 1709, ausgeführt wird. Weitere Informationen und das neueste verfügbare Microcodeupdate für Geräte, auf denen Windows 10, Version 1709, oder Windows Server, Version 1709, ausgeführt wird, finden Sie im Microsoft Knowledge Base-Artikel 4090007.

Update vom 15. Mai 2018:

Diese Updates sind derzeit über den Microsoft Update-Katalog für Geräte verfügbar, auf denen Windows 10, Version 1803, und Windows Server, Version 1803, ausgeführt wird. Weitere Informationen und das neueste verfügbare Microcodeupdate für Geräte, auf denen Windows 10, Version 1803, oder Windows Server, Version 1803, ausgeführt wird, finden Sie im Microsoft Knowledge Base-Artikel 4100347.

Update vom 24. April 2018:

Diese Updates sind derzeit über den Microsoft Update-Katalog für Geräte verfügbar, auf denen Windows 10 ausgeführt wird. Weitere Informationen und das neueste verfügbare Microcodeupdate für Geräte, auf denen Windows 10 ausgeführt wird, finden Sie im Microsoft Knowledge Base-Artikel 4091666.

Update vom 14. März 2018:

Diese Updates sind derzeit über den Microsoft Update-Katalog für Geräte verfügbar, auf denen Windows 10, Version 1703, ausgeführt wird. Weitere Informationen und das neueste verfügbare Microcodeupdate für Geräte, auf denen Windows 10, Version 1703, ausgeführt wird, finden Sie im Microsoft Knowledge Base-Artikel 4091663.

Diese Updates sind derzeit über den Microsoft Update-Katalog für Geräte verfügbar, auf denen Windows 10, Version 1607, und Windows Server 2016 ausgeführt wird. Weitere Informationen und das neueste verfügbare Microcodeupdate für Geräte, auf denen Windows 10, Version 1607, oder Windows Server 2016 ausgeführt wird, finden Sie im Microsoft Knowledge Base-Artikel 4091664.

Microsoft nimmt verfügbare Microcodeupdates von Intel für Windows-Betriebssysteme vor, wenn diese verfügbar werden. Aktuelle Microcodeupdates von Intel finden Sie im Microsoft Knowledge Base-Artikel 4093836 oder in diesen häufig gestellten Fragen (FAQ).

15. Welche Risikominderungen gibt es für AMD-Prozessoren bezüglich CVE 2017-5715, Branch Target Injection?

Kunden, die Windows 10, Version 1709, und Windows Server, Version 1709 (Server Core-Installation), ausführen, müssen das Sicherheitsupdate 4093112 installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715, Branch Target Injection, zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Dieses Update ist auch über Windows Update verfügbar.

Update vom 10. Juli 2018

Kunden, die Windows 8.1, Windows Server 2012 R2 oder Windows Server 2012 R2 (Server Core-Installation) ausführen, müssen das Sicherheitsupdate 4338815 (monatlicher Rollup) oder 4338824 (reines Sicherheitsupdate) installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715 – Branch Target Injection zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Diese Updates sind auch über Windows Update verfügbar.

Kunden, die Windows Server 2012 oder Windows Server 2012 (Server Core-Installation) ausführen, müssen das Sicherheitsupdate 4338830 (monatlicher Rollup) oder 4338820 (reines Sicherheitsupdate) installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715 – Branch Target Injection zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Diese Updates sind auch über Windows Update verfügbar.

Kunden, die Windows Server 2008 oder Windows Server 2008 (Server Core-Installation), ausführen, müssen das Sicherheitsupdate 4340583 installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715 – Branch Target Injection zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Diese Updates sind auch über Windows Update verfügbar.

Update vom 12. Juni 2018:

Kunden, die Windows 10, Version 1703, ausführen, müssen das Sicherheitsupdate 4284874 installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715, Branch Target Injection, zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Diese Updates sind auch über Windows Update verfügbar.

Kunden, die Windows 10 ausführen, müssen das Sicherheitsupdate 4284860 installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715, Branch Target Injection, zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Diese Updates sind auch über Windows Update verfügbar.

Kunden, die Windows 7, Windows Server 2008 R2 oder Windows Server 2008 R2 (Server Core-Installation) ausführen, müssen das Sicherheitsupdate 4284826 (monatlicher Rollup) oder 4284867 (reines Sicherheitsupdate) installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715 – Branch Target Injection zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Diese Updates sind auch über Windows Update verfügbar.

Update vom 8. Mai 2018:

Kunden, die Windows 10, Version 1607, Windows Server 2016 und Windows Server 2016 (Server Core-Installation) ausführen, müssen das Sicherheitsupdate 4103723 installieren, um zusätzliche Risikominderungen für AMD-Prozessoren bezüglich CVE 2017-5715 – Branch Target Injection zu erhalten. Links zum Herunterladen und Installieren der Updates finden Sie in der Tabelle Betroffene Produkte. Diese Updates sind auch über Windows Update verfügbar.

In der folgenden Tabelle finden Sie eine Zusammenfassung der Angriffsszenarien, vor denen Sie geschützt sind, wenn die Risikominderung für Branch Target Injection in Windows aktiviert ist und die erforderliche Hardwareunterstützung in AMD-CPUs vorhanden ist:

Der Benutzer-zu-Kernel-Schutz für CVE-2017-5715 ist für AMD-CPUs standardmäßig deaktiviert. Kunden müssen die Risikominderung aktivieren, um zusätzlichen Schutz für CVE-2017-5715 zu erhalten. Durch Aktivieren dieser Risikominderung kann die Leistung beeinträchtigt werden. Die tatsächlichen Leistungseinbußen hängen von mehreren Faktoren ab, wie beispielsweise vom jeweiligen Chipsatz in Ihrem physischen Host und den ausgeführten Workloads. Ausführliche Informationen zum Aktivieren dieses Schutzes finden Sie im Microsoft Knowledge Base-Artikel 4073119 für Windows-Clientbetriebssysteme.

Für AMD-CPUs, die SMT unterstützen, bietet das Aktivieren von STIBP oder das Deaktivieren von SMT zusätzlichen Schutz vor Angriffen durch gleichgeordnete Hardwarethreads. Zusätzliche Informationen und empfohlene Risikominderungen für AMD finden Sie in den AMD-Sicherheitsupdates und unter AMD Architecture Guidelines around Indirect Branch Control (Richtlinien zur AMD-Architektur bezüglich Indirect Branch Control).

16. Mir ist bewusst, dass AMD Microcodeupdates veröffentlicht hat. Wo kann ich diese Updates für mein System finden und installieren?

AMD hat kürzlich bekanntgegeben, dass das Unternehmen mit der Veröffentlichung von Microcode für neuere CPU-Plattformen im Zusammenhang mit Spectre Variante 2 (CVE 2017-5715 Branch Target Injection) begonnen hat. Weitere Informationen finden Sie in den AMD-Sicherheitsupdates und im AMD-Whitepaper: Architecture Guidelines around Indirect Branch Control (Richtlinien zur Architektur bezüglich Indirect Branch Control).

Microsoft wird Kunden über AMD-Microcodeupdates für Windows-Betriebssysteme informieren, sobald diese verfügbar sind. Sie sollten diese häufig gestellten Fragen (FAQ) regelmäßig auf Updates prüfen.

Zusätzlich empfohlene Maßnahmen

• Schützen Sie Ihren PC Wir raten Ihnen auch weiterhin, die Anleitungen unter „Schützen Sie Ihren PC“ zu befolgen, indem Sie eine Firewall aktivieren, regelmäßig die Software aktualisieren und Antivirensoftware installieren. Weitere Informationen finden Sie im Microsoft-Center für PC- und Onlinesicherheit.

• Halten Sie Microsoft-Software auf dem neuesten Stand Wenn Sie Microsoft-Software ausführen, sollten Sie die neuesten Sicherheitsupdates von Microsoft anwenden, um den größtmöglichen Schutz des Computers zu erzielen. Wenn Sie nicht sicher sind, ob Ihre Software auf dem neuesten Stand ist, besuchen Sie die Microsoft Update-Website, überprüfen Sie Ihren Computer auf verfügbare Updates, und installieren Sie alle angezeigten Updates mit hoher Priorität. Wenn Sie die automatische Updatefunktion aktiviert und so konfiguriert haben, dass sie Updates für Microsoft-Produkte bereitstellt, werden Ihnen die Updates geliefert, sobald sie veröffentlicht worden sind. Sie sollten aber überprüfen, ob sie installiert worden sind.