GNU Linux-libre 4.14.266-gnu1
[releases.git] / Documentation / x86 / tsx_async_abort.rst
1 .. SPDX-License-Identifier: GPL-2.0
2
3 TSX Async Abort (TAA) mitigation
4 ================================
5
6 .. _tsx_async_abort:
7
8 Overview
9 --------
10
11 TSX Async Abort (TAA) is a side channel attack on internal buffers in some
12 Intel processors similar to Microachitectural Data Sampling (MDS).  In this
13 case certain loads may speculatively pass invalid data to dependent operations
14 when an asynchronous abort condition is pending in a Transactional
15 Synchronization Extensions (TSX) transaction.  This includes loads with no
16 fault or assist condition. Such loads may speculatively expose stale data from
17 the same uarch data structures as in MDS, with same scope of exposure i.e.
18 same-thread and cross-thread. This issue affects all current processors that
19 support TSX.
20
21 Mitigation strategy
22 -------------------
23
24 a) TSX disable - one of the mitigations is to disable TSX. A new MSR
25 IA32_TSX_CTRL will be available in future and current processors after
26 microcode update which can be used to disable TSX. In addition, it
27 controls the enumeration of the TSX feature bits (RTM and HLE) in CPUID.
28
29 b) Clear CPU buffers - similar to MDS, clearing the CPU buffers mitigates this
30 vulnerability. More details on this approach can be found in
31 :ref:`Documentation/admin-guide/hw-vuln/mds.rst <mds>`.
32
33 Kernel internal mitigation modes
34 --------------------------------
35
36  =============    ============================================================
37  off              Mitigation is disabled. Either the CPU is not affected or
38                   tsx_async_abort=off is supplied on the kernel command line.
39
40  tsx disabled     Mitigation is enabled. TSX feature is disabled by default at
41                   bootup on processors that support TSX control.
42
43  verw             Mitigation is enabled. CPU is affected and MD_CLEAR is
44                   advertised in CPUID.
45
46  ucode needed     Mitigation is enabled. CPU is affected and MD_CLEAR is not
47                   advertised in CPUID. That is mainly for virtualization
48                   scenarios where the host has the updated microcode but the
49                   hypervisor does not expose MD_CLEAR in CPUID. It's a best
50                   effort approach without guarantee.
51  =============    ============================================================
52
53 If the CPU is affected and the "tsx_async_abort" kernel command line parameter is
54 not provided then the kernel selects an appropriate mitigation depending on the
55 status of RTM and MD_CLEAR CPUID bits.
56
57 Below tables indicate the impact of tsx=on|off|auto cmdline options on state of
58 TAA mitigation, VERW behavior and TSX feature for various combinations of
59 MSR_IA32_ARCH_CAPABILITIES bits.
60
61 1. "tsx=off"
62
63 =========  =========  ============  ============  ==============  ===================  ======================
64 MSR_IA32_ARCH_CAPABILITIES bits     Result with cmdline tsx=off
65 ----------------------------------  -------------------------------------------------------------------------
66 TAA_NO     MDS_NO     TSX_CTRL_MSR  TSX state     VERW can clear  TAA mitigation       TAA mitigation
67                                     after bootup  CPU buffers     tsx_async_abort=off  tsx_async_abort=full
68 =========  =========  ============  ============  ==============  ===================  ======================
69     0          0           0         HW default         Yes           Same as MDS           Same as MDS
70     0          0           1        Invalid case   Invalid case       Invalid case          Invalid case
71     0          1           0         HW default         No         Need ucode update     Need ucode update
72     0          1           1          Disabled          Yes           TSX disabled          TSX disabled
73     1          X           1          Disabled           X             None needed           None needed
74 =========  =========  ============  ============  ==============  ===================  ======================
75
76 2. "tsx=on"
77
78 =========  =========  ============  ============  ==============  ===================  ======================
79 MSR_IA32_ARCH_CAPABILITIES bits     Result with cmdline tsx=on
80 ----------------------------------  -------------------------------------------------------------------------
81 TAA_NO     MDS_NO     TSX_CTRL_MSR  TSX state     VERW can clear  TAA mitigation       TAA mitigation
82                                     after bootup  CPU buffers     tsx_async_abort=off  tsx_async_abort=full
83 =========  =========  ============  ============  ==============  ===================  ======================
84     0          0           0         HW default        Yes            Same as MDS          Same as MDS
85     0          0           1        Invalid case   Invalid case       Invalid case         Invalid case
86     0          1           0         HW default        No          Need ucode update     Need ucode update
87     0          1           1          Enabled          Yes               None              Same as MDS
88     1          X           1          Enabled          X              None needed          None needed
89 =========  =========  ============  ============  ==============  ===================  ======================
90
91 3. "tsx=auto"
92
93 =========  =========  ============  ============  ==============  ===================  ======================
94 MSR_IA32_ARCH_CAPABILITIES bits     Result with cmdline tsx=auto
95 ----------------------------------  -------------------------------------------------------------------------
96 TAA_NO     MDS_NO     TSX_CTRL_MSR  TSX state     VERW can clear  TAA mitigation       TAA mitigation
97                                     after bootup  CPU buffers     tsx_async_abort=off  tsx_async_abort=full
98 =========  =========  ============  ============  ==============  ===================  ======================
99     0          0           0         HW default    Yes                Same as MDS           Same as MDS
100     0          0           1        Invalid case  Invalid case        Invalid case          Invalid case
101     0          1           0         HW default    No              Need ucode update     Need ucode update
102     0          1           1          Disabled      Yes               TSX disabled          TSX disabled
103     1          X           1          Enabled       X                 None needed           None needed
104 =========  =========  ============  ============  ==============  ===================  ======================
105
106 In the tables, TSX_CTRL_MSR is a new bit in MSR_IA32_ARCH_CAPABILITIES that
107 indicates whether MSR_IA32_TSX_CTRL is supported.
108
109 There are two control bits in IA32_TSX_CTRL MSR:
110
111       Bit 0: When set it disables the Restricted Transactional Memory (RTM)
112              sub-feature of TSX (will force all transactions to abort on the
113              XBEGIN instruction).
114
115       Bit 1: When set it disables the enumeration of the RTM and HLE feature
116              (i.e. it will make CPUID(EAX=7).EBX{bit4} and
117              CPUID(EAX=7).EBX{bit11} read as 0).