[EventId 157] CVE-2018-3646、Hyper-V-Hypervisor（Intel CPU）とKB4497165

Atom | RSS

このサイトを検索 | Search this site

Windowsサンドボックスを有効にするとイベントID157警告が記録されます。

警告なので無視でかまいませんが、
「CVE-2018-3646」と「hypervisor core」が気になったので調査しました。

CVE-2018-3646はJVN (jvn.jp) で解説されています。

要約すると、
「ログが記録されたPCは脆弱性の存在するIntel製CPUが実装されている。」

Intel製CPUの投機的実行機能には、サイドチャネル攻撃により L1 データキャッシュ情報が漏えいする脆弱性 (L1 Terminal Fault SGX、L1 Terminal Fault OS/SMM、L1 Terminal Fault VMM) が存在します。
jvn.jp

できること

今のところ、Intel CPUの脆弱性は完全に抑え込むことはできません。

私ができることは次のとおり。

• ログに記載されたコマンドを実行する
• CVE-2018-3646の緩和策に対応したセキュリティ更新プログラムを適用する
• Windowsサンドボックスを削除する

イベントログ

イベントログ

メッセージ	The hypervisor did not enable mitigations for CVE-2018-3646 for virtual machines because HyperThreading is enabled and the hypervisor core scheduler is not enabled. To enable mitigations for CVE-2018-3646 for virtual machines, enable the core scheduler by running "bcdedit /set hypervisorschedulertype core" from an elevated command prompt and reboot.
ログの名前	システム
ソース	Hyper-V-Hypervisor
イベントID	157
レベル	警告
ユーザー	SYSTEM

Google翻訳
ハイパースレッディングが有効で、ハイパーバイザーコアスケジューラが有効になっていないため、ハイパーバイザーは仮想マシンのCVE-2018-3646の緩和策を有効にしませんでした。

仮想マシンのCVE-2018-3646の緩和策を有効にするには、昇格したコマンドプロンプトから「bcdedit / set hypervisorschedulertype core」を実行してコアスケジューラを有効にし、再起動します。

緩和策

先ずは、ログに書かれているコマンドを実行してみましょう。

当方のハイパーバイザースケジューラーの種類は 0x4 (root) ですが、ログはcoreに設定するコマンドが記録されています。

コマンドを実行する時は、管理者として起動したコマンドプロンプトを利用します。

c:\_	管理者：コマンド プロンプト	ー　□　×
C:\WINDOWS\system32>bcdedit /set hypervisorschedulertype core

Microsoftの緩和策

Windows 10 v1903以降のバージョンに対応したセキュリティ更新プログラム、KB4497165が提供されています。

Microsoft Updateカタログからダウンロードすることができます。
Windows Updateには落ちてきません。

本来は、Intelが提供するマイクロコード、PCメーカーが提供するBIOSアップデートが必要ですが、KB4497165はWindows 10 v1903以降のバージョンが動作している時に有効な緩和策です。

インストール対象のCPUが限定されているので、MS公式サイトの情報を確認してからインストールしましょう。

 External link

• KB4497165: Intel 製マイクロコードの更新プログラム | support.microsoft.com
• Microsoft Update カタログ | KB4497165

あとがき

Windows Sandboxはシステム要件が定められており、Windows 10 Homeは対象外です。

Windows SandboxはWindows 10（ホストOS）の上に、隔離されたWindows 10仮想環境 (Windows Sandbox) を提供する技術です。

ホストOSとWindows Sandboxは完全に隔離されているので、Windows Sandboxで起きた不具合はホストOSに影響を与えません。

Windowsサンドボックスをセットアップする手順は関連記事をお探しください。

Windowsの機能からHyper-Vを有効にしている環境でも、イベントID157が記録される可能性があります。

 External link

• JVNVU#97646030: Intel 製 CPU の投機的実行機能に対するサイドチャネル攻撃 (L1TF, L1 Terminal Fault)
• KB4497165: Intel 製マイクロコードの更新プログラム | support.microsoft.com
• Hyper-v ハイパーバイザーのスケジューラの種類について理解し、使用する | Microsoft Docs

SC2

ブログサークルSNS
クリックして応援してね！

このサイトを検索 | Search this site