Voici l' avis de sécurité de Microsoft sur les vulnérabilités, qui ont reçu trois numéros "CVE":
- CVE-2017-5715 - Injection de cible de branche ( "Spectre" )
- CVE-2017-5753 - Contournement de vérification des limites ( "Spectre" )
- CVE-2017-5754 - Chargement du cache de données escrocs ( "Meltdown" )
La base de connaissances Microsoft sur l'impact de ces vulnérabilités sur SQL Server est activement mise à jour à mesure que de nouvelles informations deviennent disponibles:
KB 4073225: SQL Server Guidance to protect against speculative execution side-channel vulnérabilités .
La recommandation exacte de Microsoft dépendra de votre configuration et de votre scénario d'entreprise, veuillez vous reporter à la base de connaissances pour plus de détails. Si vous hébergez sur Azure, par exemple, aucune action n'est requise (l'environnement est déjà corrigé). Cependant, si vous hébergez des applications dans des environnements virtuels ou physiques partagés avec du code potentiellement non fiable, d'autres atténuations peuvent être nécessaires.
Les correctifs SQL sont actuellement disponibles pour les versions SQL impactées suivantes:
Ces correctifs de serveur SQL protègent contre CVE 2017-5753 ( Spectre: contournement de vérification des limites ).
Pour vous protéger contre CVE 2017-5754 ( Meltdown: chargement de cache de données escrocs ), vous pouvez activer l' observation des adresses virtuelles du noyau (KVAS) sous Windows (via une modification du registre) ou l' isolement de la table des pages du noyau Linux (KPTI) sous Linux (via un correctif de votre Distributeur Linux).
Pour vous protéger contre CVE 2017-5715 ( Spectre: injection de cible de branche ), vous pouvez activer la prise en charge du matériel d'atténuation de l'injection de branche (IBC) via une modification du registre plus une mise à jour du micrologiciel de votre fabricant de matériel.
Notez que KVAS, KPTI et IBC peuvent ne pas être requis pour votre environnement, et ce sont les changements ayant l'impact le plus significatif sur les performances (soulignement le mien):
Microsoft conseille à tous les clients d'installer des versions mises à jour de SQL Server et Windows. Cela devrait avoir un impact négligeable à minimal sur les performances des applications existantes, basé sur les tests Microsoft des charges de travail SQL. Cependant, nous vous recommandons de valider avant de déployer dans un environnement de production.
Microsoft a mesuré l'impact de l'observation d'adresse virtuelle du noyau (KVAS), de l'indirection de table de page du noyau (KPTI) et de l'atténuation de l'injection de cible de branche (IBC) sur diverses charges de travail SQL dans divers environnements et a trouvé certaines charges de travail avec une dégradation importante. Nous vous recommandons de valider l'impact sur les performances de l'activation de ces fonctionnalités avant le déploiement dans un environnement de production. Si l'impact sur les performances de l'activation de ces fonctionnalités est trop élevé pour une application existante, les clients peuvent déterminer si isoler SQL Server du code non approuvé exécuté sur la même machine est une meilleure atténuation pour leur application.
Conseils spécifiques à Microsoft System Center Configuration Manager (SCCM): conseils
supplémentaires pour atténuer les vulnérabilités des canaux côté exécution spéculative à partir du 8 janvier 2018 .
Articles de blog associés:
