Loading

×Sorry to interrupt
Uncaught ReferenceError: addCTracking is not defined
throws at https://kb.vmware.com/resource/KM_TealiumTrackingJS?v=0.5:100:1

Refresh

Cookie Preference Center

General Information on cookies

When you visit our website, we use cookies to ensure that we give you the best experience. This information does not usually directly identify you, but it can give you a more personalized web experience. Because we respect your right to privacy, you can choose not to allow some types of cookies by clicking on the different category headings to find out more and change your settings. However, blocking some types of cookies may impact your experience on the site and the services we are able to offer. Further information can be found in our

Cookie Policy.

Strictly Necessary

Strictly Necessary

Always Active

Strictly Necessary

Strictly necessary cookies are always enabled since they are essential for our website to function. They enable core functionality such as security, network management, and website accessibility. You can set your browser to block or alert you about these cookies, but this may affect how the website functions. For more information please visit www.aboutcookies.org or www.allaboutcookies.org.

Cookie Details‎

Performance

Performance

Performance

Performance cookies are used to analyze the user experience to improve our website by collecting and reporting information on how you use it. They allow us to know which pages are the most and least popular, see how visitors move around the site, optimize our website and make it easier to navigate.

Cookie Details‎

Please confirm your settings by refreshing the page.

Functional

Functional

Functional

Functional cookies help us keep track of your past browsing choices so we can improve usability and customize your experience. These cookies enable the website to remember your preferred settings, language preferences, location and other customizable elements such as font or text size. If you do not allow these cookies, then some or all of these services may not function properly.

Cookie Details‎

Advertising

Advertising

Advertising

Advertising cookies are used to send you relevant advertising and promotional information. They may be set through our site by third parties to build a profile of your interests and show you relevant advertisements on other sites. These cookies do not directly store personal information, but their function is based on uniquely identifying your browser and internet device.

Cookie Details‎

Advertising Cookies

Consent Leg.Interest

Select All Vendors

Select All Vendors

Select All Hosts

Select All

Clear Filters

Information storage and access

Apply

Confirm My Choices Reject All Allow All

My Subscriptions

Loading

Knowledge Base

适用于分支目标注入的管理程序辅助客户机缓解方法 (52085)

Last Updated: 9/17/2019Categories: InformationalTotal Views: 1Language:
Chinese (Simplified)JapaneseEnglish

Subscribe to get an email
newsletter with new updates

Please provide article feedback:

Symptoms

免责声明：本文是 Hypervisor-Assisted Guest Mitigation for Branch Target injection 的翻译版本。尽管我们会不断努力为本文提供最佳翻译版本，但本地化的内容可能会过时。有关最新内容，请参见英文版本。

Purpose

更新：KB 55111 中介绍的管理程序辅助客户机缓解方法是一个累积过程，也可以缓解本文所述的问题。

Intel 和 AMD 最近的微码更新为分支目标注入缓解 (Spectre v2) 提供了硬件支持。要在虚拟机中使用此新硬件功能，必须启用管理程序辅助客户机缓解。

本文档将重点介绍与 vSphere 有关的管理程序辅助客户机缓解。请查看 KB52245：VMware 对推测执行安全问题 CVE-2017-5753、CVE-2017-5715、CVE-2017-5754（也称为 Spectre 和 Meltdown）的响应，全面了解 VMware 对这些问题的响应。

有关 VMware 提供的与此知识库相关的修补程序，请参见 VMware 安全公告 VMSA-2018-0004.3。

Resolution

修补 VMware vSphere Hypervisor 并更新 CPU 微码（vSphere 修补程序将针对下表所述的处理器执行这些操作）后，客户机操作系统可以使用硬件支持进行分支目标缓解。

要在 vSphere 中启用分支目标缓解方法硬件支持，请按如下所示顺序执行这些步骤：

注意：确保首先更新 vCenter Server，有关详细信息，请参见 vMotion 和 EVC 信息部分。

升级到 vCenter 5.5 – 6.5 的以下版本之一：

6.5 U1g：Release Notes。

6.0 U3e：Release Notes。

5.5 U3h：Release Notes。

重要信息：请查看 vCenter 的发行说明，因为“已知问题”部分中列出了新项目。

应用以下两个 ESXi 修补程序。注意：可以同时应用这两个修补程序，这样只需要重新引导主机一次即可。

ESXi 6.5：ESXi650-201803401-BG* 和 ESXi650-201803402-BG**

ESXi 6.0：ESXi600-201803401-BG* 和 ESXi600-201803402-BG**

ESXi 5.5：ESXi550-201803401-BG* 和 ESXi550-201803402-BG**

* 这些 ESXi 修补程序提供的框架使得客户机操作系统能够利用新的推测执行控制机制。这些修补程序不包含微码。

**这些 ESXi 修补程序应用下表中列出的微码更新。这些修补程序不包含上述框架。

表 1.列出了 ESXi 修补程序 ESXi650-201803402-BG、ESXi600-201803402-BG 和 Esxi550-update01-201803402-BG 中包含相应微码更新的 Intel 和 AMD 处理器。请联系硬件供应商以确定是否建议使用 BIOS/固件更新，这些更新可能包含其他改进。ESXi 需要微码更新，以便为客户机虚拟机提供新的推测执行控制机制来缓解 CVE-2017-5715。VMware 在上述 ESXi 修补程序中已包含微码更新，可简化部署过程并最大限度缩短停机时间。

表

供应商

代码名称

FMS

Plt ID

MCU 修订号

VMware VCG 名称

Intel

Sandy Bridge DT

0x206a7

12

0x2d

Intel Xeon E3-1100 系列；

Intel Xeon E3-1200 系列；

Intel i7-2655-LE 系列；

Intel i3-2100 系列

Intel

Sandy Bridge EP

0x206d7

6d

0x713

Intel Xeon E5-1400 系列；

Intel Xeon E5-1600 系列；

Intel Xeon E5-2400 系列；

Intel Xeon E5-2600 系列；

Intel Xeon E5-4600 系列；
Intel Pentium 1400 系列

Intel

Ivy Bridge DT

0x306a9

12

0x1f

Intel Xeon E3-1100-C-v2 系列；
Intel Xeon E3-1200-v2 系列；
Intel i3-3200 系列；

Intel i7-3500-LE/UE；
Intel i7-3600-QE；
Intel Pentium B925C

Intel

Ivy Bridge EP

0x306e4

ed

0x42c

Intel Xeon E5-4600-v2 系列；

Intel Xeon E5-2400-v2 系列；

Intel Xeon E5-2600-v2 系列；

Intel Xeon E5-1400-v2 系列；

Intel Xeon E5-2600-v2 系列

Intel

Ivy Bridge EX

0x306e7

ed

0x713

Intel Xeon E7-8800/4800/2800-v2 系列

Intel

Haswell DT

0x306c3

32

0x24

Intel Xeon E3-1200-v3 系列；
Intel i7-4700 EQ 系列；
Intel i3-4300 系列；
Intel i5-4500-TE 系列

Intel

Haswell EP

0x306f2

6f

0x3c

Intel Xeon E5-2400-v3 系列；

Intel Xeon E5-1400-v3 系列；

Intel Xeon E5-1600-v3 系列；

Intel Xeon E5-2600-v3 系列；

Intel Xeon E5-4600-v3 系列

Intel

Haswell EX

0x306f4

80

0x11

Intel Xeon E7-8800/4800-v3 系列

Intel

Broadwell H

0x40671

22

0x1d

Intel Xeon E3-1200-v4 系列；
Intel Core i7-5700EQ

Intel

Broadwell EP/EX

0x406f1

ef

0xb00002a

Intel Xeon E7-8800/4800-v4 系列；

Intel Xeon E5-4600-v4 系列；

Intel Xeon E5-2600-v4 系列；

Intel Xeon E5-1600-v4 系列

Intel

Broadwell DE

0x50662

10

0x15

Intel Xeon D-1500 系列

Intel

Broadwell DE

0x50663

10

0x7000012

Intel Xeon D-1500 系列

Intel

Broadwell DE

0x50664

10

0xf000011

Intel Xeon D-1500 系列

Intel

Broadwell NS

0x50665

10

0xe000009

Intel Xeon D-1500 系列

Intel

Skylake H/S

0x506e3

36

0xc2

Intel Xeon E3-1500-v5 系列；

Intel Xeon E3-1200-v5 系列

Intel

Skylake SP

0x50654

b7

0x2000043

Intel Xeon Platinum 8100 (Skylake-SP) 系列；

Intel Xeon Gold 6100/5100、Silver 4100、Bronze 3100 (Skylake-SP) 系列

Intel

Kaby Lake H/S/X

0x906e9

2a

0x84

Intel Xeon E3-1200-v6

AMD

Zen EPYC

0x800f12

不适用

0x8001227

AMD EPYC 7xx1 系列

要在 Workstation/Fusion 中启用分支目标缓解方法硬件支持，应执行以下步骤：

部署以下任一版本的 Workstation/Fusion：

Workstation 14.1.1

Workstation 12.5.9

Fusion 10.1.1

Fusion 8.5.10

应用您的平台供应商提供的针对 CVE-2017-5715 的微码/BIOS 更新。

对于每个虚拟机，通过以下步骤启用管理程序辅助客户机缓解：

应用操作系统供应商提供的针对客户机操作系统的所有安全修补程序。

确保虚拟机使用虚拟硬件版本 9 或更高版本。Upgrading a virtual machine to the latest hardware version (multiple versions) (1010675) 讨论了硬件版本。

虚拟硬件版本 9 是分支目标注入 (CVE-2017-5715) 管理程序辅助客户机缓解方法的最低要求。

为获得最佳性能，建议使用虚拟硬件版本 11 或更高版本。虚拟硬件版本 11 启用 PCID/INVPCID。这些功能可能会降低 CVE-2017-5754 缓解方法对支持这些功能的 CPU 的性能影响。有关任何 VMware 性能影响的最新信息，请参见 KB 52337

关闭虚拟机电源，然后重新打开虚拟机（仅重新启动是不够的）。

vMotion 和 EVC 信息

运行已修补 vSphere Hypervisor 且具有更新的微码的 ESXi 主机将看到以前无法获得的新 CPU 功能。

这些新功能将提供给由该主机启动的所有虚拟硬件版本 9+ 虚拟机。由于这些虚拟机现在能够看到额外的 CPU 功能，因此将阻止 vMotion 到缺少微码或应用管理程序修补程序的 ESXi 主机。

借助 vCenter 修补程序，可以在 EVC 群集中保留 vMotion 兼容性。

为了保留此兼容性，在群集中的所有主机正确更新之前，将在群集中的客户机中隐藏新功能。此时，群集将自动升级其功能以公开新功能。未应用修补程序的 ESXi 主机将无法再进入 EVC 群集。

确认操作正确

要确认主机同时具有 VMware 管理程序和更新的微码，请执行以下步骤：

打开配置为使用虚拟硬件版本 9 或更高版本的虚拟机的电源。

查看该虚拟机的 vmware.log 文件，并查找以下条目之一：

“Capability Found: cpuid.IBRS”

“Capability Found: cpuid.IBPB”

“Capabliity Found: cpuid.STIBP”

上述任一日志条目均指示已正确更新 CPU 微码和管理程序。

要确认端到端操作（包括客户机操作系统启用分支目标缓解方法硬件支持），请联系您的操作系统供应商。

ESXi 微码更新信息

对于已知的 Spectre 漏洞，Intel和 AMD 针对许多受影响的处理器提供了 CPU 微码更新，添加了新的推测执行控制机制。

大多数服务器供应商很快将在其下一个 BIOS/固件更新中包括这些 CPU 微码更新。强烈建议客户针对其服务器应用这些 BIOS/固件更新。

如果服务器 BIOS/固件尚未应用这些关键 CPU 微码更新，上面列出的 ESXi 修补程序还会自动应用这些更新。AMD 和 Intel 定义的机制能够始终确保最新微码更新处于活动状态，无论 BIOS 和操作系统的应用顺序为何。因此，ESXi 永远不会覆盖 BIOS 提供的较新版本的微码更新，旧版 BIOS 也不会阻止 ESXi 应用较新版本。

要确认 CPU 已针对这些功能更新微码，请启动主机上的虚拟机，然后查看 vmware.log 文件。

具有更新微码的 Intel CPU 将在主机 CPUID[7].EDX[26:27] 中具有非零值。
hostCPUID level 00000007, 0: 0x00000000 0xd39ffffb 0x00000008 0x0c000000
^ [4-9a-f]in nibble

具有更新微码的 AMD CPU 将在主机 CPUID[0x80000008].EBX[12] 中具有非零值。
hostCPUID level 80000008, 0: 0x00003030 0x00001007 0x0000603f 0x00000000
^ [13579bdf] in nibble

Changelog：

01/09/18：初始发布
03/20/18：已结合使用修补程序和过程信息与 VMSA-2018-0004.3 更新知识库。
04/09/19：已使用 KB55111 中所述的累积管理程序辅助客户机缓解过程信息更新 KB。

Detectable by VMware SkylineTM

Actions

Copy

link to clipboard
copied!

Print

Language:
Chinese (Simplified)JapaneseEnglish

Attachments

Additional Resources

KB
•
End Of General Availability of the Free vSphere Hypervisor (ESXi 7.x and 8.x) (2107518)

Result 1 of 1

Ask The Community

Get answers quickly from VMware experts in the community

Post Subject

CONTINUE IN COMMUNITIES

Related Products:

VMware Workstation Pro

VMware Workstation Player

VMware vSphere ESXi

VMware vCenter Server

VMware Fusion

Related Versions:

VMware Workstation Pro 14.x (for Linux)

VMware Workstation Player 14.x (Windows)

VMware Workstation Player 14.x (Linux)

VMware Workstation Player 14.x

VMware Workstation Player 12.x (Windows)

VMware Workstation Player 12.x (Linux)

VMware vSphere ESXi 6.5

VMware vSphere ESXi 6.0

VMware vSphere ESXi 5.5

VMware vSphere ESXi 5.1

VMware vCenter Server 6.5.x

VMware vCenter Server 6.0.x

VMware vCenter Server 5.5.x

VMware Fusion 8.x

view all

Support Assistant