Meltdown, Spectre: Antiviren-Software prüfen, Patches einspielen, Schutz verifizieren

Da es sich bei Speculative Execution und Indirect Branch Prediction um Features zur Steigerung der Performance handelt, liegt es auf der Hand, dass ihre Deaktivierung auf Kosten der Leistungs­fähigkeit geht. Während die Folgen auf einer Workstation kaum spürbar sein dürften, muss man auf einem stark ausgelasteten virtualisierten Server wohl mit Einbußen rechnen.

Intel hat eine Liste sämtlicher Prozessoren veröffentlicht, die von der Schwachstelle betroffen sind. Darunter finden sich auch fast alle Chips der letzten Generationen.

Abhängig vom eingesetzten Patch-Management wird der von Microsoft bereitgestellte Security-Fix automatisch eingespielt oder nachdem er vom WSUS-Admin freigegeben wurde. Es handelt sich dabei um:

• KB4056892 für Windows 10 1709 und Server 1709
• KB4056891 für Windows 10 1703
• KB4056890 für Windows 10 1607 und Server 2016
• KB4056888 für Windows 10 1511
• KB4056898 für Windows 8.1 und Server 2012 R2
• KB4056897 für Windows 7 und Server 2008 R2

Für Windows Server 2008 und 2012 liegt kein Patch vor.

Update: Microsoft hat die Auslieferung der Patches für Rechner mit bestimmten AMD-CPUs gestoppt, weil die PCs einiger Kunden nach dem Update nicht mehr starteten.

Kein Patch bei inkompatiblen Antiviren-Programmen

Bevor man den Security-Fix verteilt, sollte man sicherstellen, dass auf den Systemen ein Virenscanner läuft, der mit dem Patch kompatibel ist. Einige dieser Sicherheits­produkte nutzen nämlich nicht unterstützte Aufrufe in den Windows-Kernel. Dies kann dazu führen, dass der Rechner nach dem Einspielen des Updates nicht mehr bootet.

Um das zu verhindern, verlangt Microsoft von den Anbietern der Antiviren-Software, dass sie einen bestimmten Wert in die Registry schreiben, der die Kompatibilität mit dem Patch attestiert. Andernfalls lässt sich das Update nicht installieren, welches nebenbei auch noch Sicherheits­lücken von SMB schließt.

Eine Reihe von bekannten Anbietern hat diese Hürde noch nicht genommen, wie dieses Spreadsheet von Kevin Beaumont zeigt. Wenn man das Vorhanden­sein dieses Registry-Schlüssels prüfen möchte, dann kann man das mit PowerShell so tun:

Get-Item HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat

Der Befehl sollte den Schlüssel cadca5fe-87d3-4b96-b7fb-a231484277cc mit dem Wert 0 anzeigen.

Bedeutsam ist dieser Eintrag in die Registrier­datenbank über den aktuellen Patch hinaus. Nachdem Updates für Windows kumulativ sind, erhalten Rechner ohne diesen Key künftig keine Security-Updates mehr (siehe dazu dieses Support-Dokument von Microsoft).

Vorgehen bei Windows Server

Die Einrichtung der Schutz­mechanismen unter Windows Server unterscheidet sich von jener auf dem Client, weil das bloße Anwenden des Patches dort nicht reicht. Wie auf einer Workstation muss man aber auch dort erst sicher­stellen, dass eine vorhandene Antivirenlösung den erforderlichen Key in die Registrier­datenbank geschrieben hat.

Dieser Support-Leitfaden weist darauf hin, wie Anwender nach der Installation des Updates die Funktionen gegen die Ausnutzung von Meltdown und Spectre einschalten können. Microsoft legt seinen Kunden vor allem bei Remote Desktop Session Hosts (RDSH) und Maschinen mit aktivierter Hyper-V-Rolle nahe, dies zu tun. Die Aktivierung erfolgt über drei Registry-Schlüssel.

Auch dieses Dokument wiederholt, dass die Patches auf OS-Ebene alleine nicht ausreichen. Zusätzlich erforderlich sind Upgrades der Firmware, die durch den Lieferanten der Hardware bereitgestellt werden sollten. Dieser Prozess ist aktuell noch in seinen Anfängen.

Schutzstatus mit Script prüfen

Nachdem also gleich mehrere Schutzschilde für zwei Schwachstellen erforderlich sind, wird sich in der Praxis nicht so einfach feststellen lassen, ob ein Rechner ausreichend abgesichert wurde oder noch Lücken aufweist.

Aus diesem Grund stellte Microsoft ein PowerShell-Script zur Verfügung, welches das Vorhandensein aller Mechanismen prüft. Es kann von der TechNet-Gallery heruntergeladen werden.

Bevor man es ausführt, sollte man sicherstellen, dass die Execution-Policy zumindest auf RemoteSigned gesetzt ist. Danach entpackt man die ZIP-Datei in ein Verzeichnis, wechselt dorthin und lädt das Modul mit dem Befehl

Import-Module .\SpeculationControl.psd1

Anschließend führt man

Get-SpeculationControlSettings

aus. Administrative Rechte sind dafür nicht erforderlich.

Defizite in der Konfiguration erscheinen in roter Schrift, ein optimales Ergebnis erreicht man nur durch eine Kombination von Firmware- und OS-Update.