新たに「Meltdown」「Spectre」関連の脆弱性、IntelはBIOSアップデートの準備
Intelなどのプロセッサに発覚した「Meltdown」「Spectre」と呼ばれる脆弱性に関連して、新たに2件の脆弱性が確認された。
Intelなどのプロセッサに発覚した「Meltdown」「Spectre」と呼ばれる脆弱性 に関連して、新たに2件の脆弱性が確認された。IntelやMicrosoftは5月21日、この脆弱性に関する情報を公開し、今後の対応について説明している。
Intelによると、プロセッサに実装されている2つのソフトウェア分析手法に関して、もし悪用されればセンシティブなデータが流出する恐れのある問題が、セキュリティ研究者によって発見された。Intelではこの脆弱性を、それぞれ「Speculative Store Bypass（SSB）＝Variant 4」（CVE-2018-3639）、「Rogue System Register Read（RSRE）＝Variant 3a」（CVE-2018-3640）と命名している。
いずれの脆弱性も、これまでに発覚した脆弱性と同様、投機的実行と呼ばれる命令実行の手法を使ったマイクロプロセッサが影響を受ける。危険度は「中」程度、共通脆弱性評価システム（CVSS）では4.3（最大値は10.0）と評価している。
脆弱性が存在するのは、Intel Core、Core X、Xeon、Atom、Celeron、Pentiumなど多数のプロセッサ。Intel以外のプロセッサを搭載したシステムについては、メーカーに問い合わせるよう促している。
Intelは数週間以内に、今回の脆弱性に対処するBIOSアップデートやソフトウェアアップデートの正式版を公開する見通し。
Microsoftが21日に臨時公開したセキュリティ情報によれば、RSREの脆弱性は、「Surface Book」や「Surface Pro」などの製品が影響を受ける。悪用された場合、「アドレス空間配置のランダム化（ASLR）」と呼ばれるセキュリティ対策をかわされる恐れがある。
この問題を緩和するためのファームウェアアップデートは、準備が整った時点でWindows Updateを通じて配信する方針。
一方、SSBの脆弱性については、「現時点でわれわれのソフトウェアやクラウドサービスインフラに、脆弱性のあるコードパターンは見つかっていない」と説明している。
「Spectre」「Meltdown」脆弱性に新たな変種
IntelおよびMicrosoftは米国時間5月21日、「Spectre」および「Meltdown」脆弱性に新たに発見された変種について情報を公開した。数億台のコンピュータやモバイルデバイスに搭載されているプロセッサにさらなる脆弱性が見つかったことになる。
Intelは今回見つかった変種を「Variant 4」と呼んでいる。同社によると、このVariant 4も1月に最初に公開されたのと同じセキュリティ脆弱性の多くを利用するが、重要情報を抜き出す方法が異なるという。
Intelのブログ記事 によると、Variant 4がウェブブラウザ上で利用するエクスプロイトの多くは最初の修正パッチで対応済みのため、同社はVariant 4を中程度のリスクに分類している。Variant 4は「Speculative Store Bypass」（投機的ストアのバイパス）と呼ばれるものを利用しており、これはプロセッサに重要データを潜在的にセキュアでない領域にロードさせることを可能にするものだ。
Intelによると、この脆弱性が悪用された形跡は確認されておらず、今後数週間のうちに脆弱性を完全に修正するパッチをリリースする予定だという。Intelはすでにメーカーおよびソフトウェアベンダーにアップデートを提供していると、同社のセキュリティ担当エグゼクティブバイスプレジデントLeslie Culbertson氏はブログ記事で述べている。
またCulbertson氏は、最初のパッチで発生したようにコンピュータの性能に影響が生じることはないだろうと述べる一方で、Intelのテスト環境で試したところ2～8％の性能低下がみられたことを認めている。フィックスはデフォルトでは無効化されており、これを有効にするかどうかはベンダーが判断すると同社は説明する。
Microsoftはセキュリティ勧告 の中で、この脆弱性ではブラウザのJavaScriptを利用して攻撃を実行することが可能だと述べている。
Spectreの最初の脆弱性を発見したGoogleの「Project Zero」チームは、Variant 4の問題についても2月に初めてIntel、AMD、ARMに報告していた。その際、同チームもVariant 4を中程度のリスクと分類 している。
ARMのセキュリティアップデートによると、同社のプロセッサの大半にVariant 4による影響は認められなかったという。
「重要なのは、この方法がローカルで動いているマルウェアに依存する点だ」とARMは述べている 。
AMDもセキュリティ勧告でユーザーにシステムのアップデートを勧めており、MicrosoftがAMD製品を対象にしたアップデートのテストを近く完了させると述べている。
