Phenquestions
Microsoft a publié une mise à jour de sécurité-KB4571756-qui désactivera le vGPU RemoteFX fonctionnalité en raison d'une faille de sécurité. Il s'applique à Windows 10, version 2004 et à toutes les éditions Windows Server version 2004.
Après cette mise à jour, toute VM sur laquelle RemoteFX vGPU est activé échouera avec les messages d'erreur suivants :
- La machine virtuelle ne peut pas être démarrée car tous les GPU compatibles RemoteFX sont désactivés dans Hyper-V Manager.
- La machine virtuelle ne peut pas être démarrée car le serveur a des ressources GPU insuffisantes.
Même si l'utilisateur final essaie de réactiver le vGPU RemoteFX, la VM affichera le message d'erreur-
Nous ne prenons plus en charge l'adaptateur vidéo RemoteFX 3D. Si vous utilisez toujours cet adaptateur, vous pouvez devenir vulnérable aux risques de sécurité.
Qu'est-ce que la fonctionnalité RemoteFX vGPU?
Lors de l'exécution de machines virtuelles, la fonctionnalité RemoteFX vGPU vous permet de partager le GPU physique. La fonctionnalité s'adapte bien lorsque le GPU physique est une ressource trop importante, mais à la place, toutes les machines virtuelles peuvent partager dynamiquement le GPU pour leur charge de travail. L'avantage est, bien sûr, la réduction du coût du GPU et la diminution de la charge CPU. Si vous voulez imaginer, c'est comme exécuter plusieurs applications DirectX en même temps sur le même GPU physique. Ainsi, au lieu d'acheter 4 GPU, un GPU pourrait vous aider, en fonction de la charge de travail. Il est également venu avec des contre-mesures qui limitaient la surutilisation du GPU physique.
Quelle est la vulnérabilité de sécurité autour de RemoteFX vGPU?
RemoteFX vGPU est ancien. Il a été introduit dans Windows 7 et fait maintenant face à une vulnérabilité d'exécution de code à distance. Une vulnérabilité d'exécution de code à distance existe lorsque Hyper-V RemoteFX vGPU sur un serveur hôte ne parvient pas à valider correctement l'entrée d'un utilisateur authentifié sur un système d'exploitation invité. Cela se produit lorsque Hyper-V RemoteFX vGPU sur un serveur hôte ne parvient pas à valider correctement l'entrée d'un utilisateur authentifié sur un système d'exploitation invité lorsqu'un attaquant exécute une application conçue sur un système d'exploitation invité, qui attaque les pilotes vidéo tiers individuels s'exécutant sur l'Hyper -V hôte.
Une fois que l'attaquant a accès, il peut exécuter n'importe quel code sur l'OS hôte. Comme il s'agit d'un problème architectural, il n'y a pas de solution pour cela.
Alternatives à RemoteFX vGPU
La seule option consiste à utiliser un autre vGPU, qui pourrait provenir d'applications tierces ou Microsoft suggère d'utiliser l'attribution discrète de périphérique (DDA). Il vous permet de mettre l'ensemble du périphérique PCIe dans une machine virtuelle. Non seulement vous pouvez autoriser l'accès aux voitures graphiques, mais vous pouvez également partager le stockage NVMe.
Le plus gros avantage de DDA à part qu'il est sécurisé, il n'est pas nécessaire d'installer des pilotes sur l'hôte avant que le périphérique ne soit monté dans la VM. Tant que la machine virtuelle peut identifier l'emplacement PCIe du périphérique, le chemin peut être déterminé pour que la machine virtuelle le monte. En bref, DDA passant un GPU à une VM permet au pilote GPU natif d'être utilisé dans la VM et toutes les capacités. Cela inclut DirectX 12, CUDA, etc., ce qui n'était pas possible avec RemoteFX vGPU.
Comment réactiver RemoteFX vGPU
Microsoft avertit clairement que vous ne devriez pas utiliser le vGPU RemoteFX, mais si vous devez le faire, il existe un moyen de le réactiver à vos risques et périls.
En supposant que vous ayez déjà configuré l'adaptateur RemoteFX vGPU 3D, voici les détails qui ne fonctionneront que sur Windows 10, version 1803 et versions antérieures
Configurer RemoteFX vGPU avec Hyper-V Manager
Pour configurer le RemoteFX vGPU 3D à l'aide du gestionnaire Hyper-V, procédez comme suit :
- Arrêter la machine virtuelle
- Ouvrez le gestionnaire Hyper-V et accédez aux paramètres de la VM.
- Cliquez sur Ajouter du matériel.
- Sélectionnez Adaptateur graphique 3D RemoteFX, puis sélectionnez Ajouter.
Configurer RemoteFX vGPU avec les applets de commande PowerShell
- Activer-VMRemoteFXPhysicalVideoAdapter
- Ajouter-VMRemoteFx3dVideoAdapter
- Get-VMRemoteFx3dVideoAdapter
- Set-VMRemoteFx3dVideoAdapter
- Get-VMRemoteFXPhysicalVideoAdapter
Vous pouvez en savoir plus à ce sujet ici sur Microsoft.
