Prüfskript gegen Spectre und Co. wurde erweitert

Moin.

Get-SpeculationControlSettings

sagt sicherlich den meisten etwas.

Mit den neuen Spectrevarianten muss man nun weitere Schritte machen, um zu prüfen, ob man betroffen ist.
Powershell öffnen und dort:

Install-Module SpeculationControl

das ergibt als Output vermutlich

WARNING: Version '1.0.2' of module 'SpeculationControl' is already installed at 'C:\Program Files\WindowsPowerShell\Modules\SpeculationControl\1.0.2'. To install version '1.0.8', run Install-Module and add the -Force parameter, this command will install version '1.0.8' in side-by-side with version '1.0.2'.

Also:

Install-Module SpeculationControl -force

und danach

Import-Module SpeculationControl

und dann erst kommt man mit

Get-SpeculationControlSettings

zum Ziel. Die Ausgabe könnte nach Installation der heutigen Patches so aussehen:

PS C:\WINDOWS\system32> Get-SpeculationControlSettings
Speculation control settings for CVE-2017-5715 [branch target injection]
For more information about the output below, please refer to https://support.microsoft.com/en-in/help/4074629

Hardware support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is present: True
Windows OS support for branch target injection mitigation is enabled: True

Speculation control settings for CVE-2017-5754 [rogue data cache load]

Hardware requires kernel VA shadowing: True
Windows OS support for kernel VA shadow is present: True
Windows OS support for kernel VA shadow is enabled: True
Windows OS support for PCID performance optimization is enabled: False [not required for security]

Speculation control settings for CVE-2018-3639 [speculative store bypass]

Hardware is vulnerable to speculative store bypass: True
Hardware support for speculative store bypass mitigation is present: False
Windows OS support for speculative store bypass mitigation is present: True
Windows OS support for speculative store bypass mitigation is enabled system-wide: False


BTIHardwarePresent                  : True
BTIWindowsSupportPresent            : True
BTIWindowsSupportEnabled            : True
BTIDisabledBySystemPolicy           : False
BTIDisabledByNoHardwareSupport      : False
KVAShadowRequired                   : True
KVAShadowWindowsSupportPresent      : True
KVAShadowWindowsSupportEnabled      : True
KVAShadowPcidEnabled                : False
SSBDWindowsSupportPresent           : True
SSBDHardwareVulnerable              : True
SSBDHardwarePresent                 : False
SSBDWindowsSupportEnabledSystemWide : False

Wie man sieht: diesem System fehlen Microcodeupdates gegen "speculative store bypass", während die Microcodeupdates für Spectre2 ("branch target injection") vorhanden sind. Siehe dazu https://support.microsoft.com/en-us/help/4074629/understanding-the-outpu ...

Edit: Prüfskript für speculative store bypass, welches man als Domänenstartskript nutzen könnte:

Get-SpeculationControlSettings | out-file \\server\share\$env:computername.txt
If ( Select-String "SSBDWindowsSupportEnabledSystemWide : True" -Quiet \\server\share\$env:computername.txt ) { del \\server\share\$env:computername.txt }  