İşte Microsoft'un üç "CVE" numarası atanmış güvenlik açıkları hakkındaki Güvenlik Danışmanlığı :
- CVE-2017-5715 - Şube hedef enjeksiyonu ( "Spectre" )
- CVE-2017-5753 - Sınır kontrol baypas ( "Spectre" )
- CVE-2017-5754 - Rogue veri önbellek yükü ( "Meltdown" )
Bu güvenlik açıklarının SQL sunucusunu nasıl etkilediğine ilişkin Microsoft KB, yeni bilgiler kullanıma sunuldukça etkin olarak güncelleştirilmektedir:
KB 4073225: Spekülatif yürütme yan kanal güvenlik açıklarına karşı koruma sağlamak için SQL Server Kılavuzu .
Microsoft'un kesin önerisi yapılandırmanıza ve iş senaryosuna bağlı olacaktır, ayrıntılar için lütfen KB'ye bakın. Örneğin, Azure'da barındırıyorsanız, herhangi bir eylem gerekmez (ortam zaten yamalı). Bununla birlikte, uygulamaları potansiyel olarak güvenilmeyen koda sahip paylaşılan sanal veya fiziksel ortamlarda barındırıyorsanız, diğer azaltma işlemleri gerekebilir.
SQL düzeltme ekleri şu anda aşağıdaki etkilenen SQL sürümleri için kullanılabilir:
Bu SQL sunucu yamaları CVE 2017-5753'e karşı koruma sağlar ( Spectre: Bounds check bypass ).
CVE 2017-5754'e ( Erime : Rogue data cache load ) karşı korumak için Windows'ta (kayıt defteri değişikliği yoluyla) veya Linux Çekirdek Sayfa Tablosu Yalıtımı'nda Çekirdek Sanal Adres Gölgeleme'yi (KVAS) etkinleştirebilirsiniz. (KPTI) etkinleştirebilirsiniz. Linux distribütörü).
CVE 2017-5715'e ( Spectre: Branch target enjeksiyon ) karşı koruma sağlamak için , kayıt defteri değişikliği artı donanım üreticinizin ürün yazılımı güncellemesi yoluyla Şube Hedef Enjeksiyonu azaltma donanım desteğini (IBC) etkinleştirebilirsiniz .
KVAS, KPTI ve IBC'nin ortamınız için gerekli olmayabileceğini ve bunların en önemli performans etkisi olan değişiklikler olduğunu vurgulayın (benimkisi vurgulayın):
Microsoft, tüm müşterilere SQL Server ve Windows'un güncelleştirilmiş sürümlerini yüklemelerini önerir. Bu, SQL iş yüklerinin Microsoft testine dayalı olarak mevcut uygulamalara minimum performans etkisi göz ardı edilebilir olmalıdır, ancak bir üretim ortamına dağıtımdan önce doğrulamanızı öneririz.
Microsoft, Çekirdek Sanal Adres Gölgeleme (KVAS), Çekirdek Sayfa Tablosu İndirimi (KPTI) ve Şube Hedef Enjeksiyon Azaltımı'nın (IBC) çeşitli ortamlardaki çeşitli SQL iş yükleri üzerindeki etkisini ölçtü ve önemli ölçüde bozulma gösteren bazı iş yükleri buldu. Bir üretim ortamına dağıtımdan önce bu özelliklerin etkinleştirilmesinin performans etkisini doğrulamanızı öneririz. Bu özellikleri etkinleştirmenin performans etkisi mevcut bir uygulama için çok yüksekse, müşteriler SQL Server'ı aynı makinede çalışan güvenilir olmayan koddan izole etmenin uygulamaları için daha iyi bir azaltma olup olmadığını düşünebilir.
Microsoft System Center Configuration Manager'a (SCCM) özgü yönerge:
08 Ocak 2018'den itibaren spekülatif yürütme yan kanal güvenlik açıklarını azaltmak için ek kılavuz .
İlgili blog gönderileri: