2017-01-04 セキュリティニュースまとめ

Intel、ARM、AMD などほとんどすべての CPU チップセットに影響を与える脆弱性「Meltdown」および「Spectre」の問題について、両脆弱性に関するポータルサイトからの情報のまとめ

参照

• Meltdown 脆弱性および Spectre 脆弱性について、セキュリティリサーチャーによるホワイトペーパー https://meltdownattack.com/

Meltdown 脆弱性

• 影響を受けるシステム:
  • アウト・オブ・オーダー実行 をサポートする Intel プロセッサは潜在的に影響を受ける。実質的には 1995 年以降に発表されたすべての Intel プロセッサを搭載するデスクトップ PC、ノート PC、クラウド上のコンピュータリソースもこれに該当する(Intel Itanium プロセッサと 2013 年以前の Atom プロセッサを除く)。
  • 少なくとも 2011 年に発表された Intel プロセッサ世代では本脆弱性の悪用が可能であることを検証済み
  • 現時点で確認済みなのは Intel 社製プロセッサのみで、ARM および AMD プロセッサが同脆弱性による影響を受けるかどうかは確認できていない
• CVE:
  • CVE-2017-5754
• 技術的詳細
  • 学術論文: https://meltdownattack.com/meltdown.pdf
  • ブログエントリ: Cyberus Technology Blog - Meltdown
  • Google Project Zero: Project Zero: Reading privileged memory with a side-channel
• POC: あり
  • Meltdown 脆弱性エクスプロイトの様子 (動画)

Meltdown in Action: Dumping memory

Spectre 脆弱性

• 影響を受けるシステム:
  • 投機的実行 をサポートするすべてのプロセッサを搭載したデスクトップ PC、ノート PC、クラウド上のコンピュータリソース、スマートフォンが潜在的に本脆弱性の影響を受ける。
  • Intel、AMD、ARM、の各プロセッサが同脆弱性による影響を受けることを検証確認している。
• CVE:
  • CVE-2017-5715
  • CVE-2017-5753
• 技術的詳細
  • 学術論文: https://spectreattack.com/spectre.pdf
  • Google Project Zero: Project Zero: Reading privileged memory with a side-channel
• POC: あり (上記学術論文で紹介されている)

セキュリティアドバイザリ

Meltdown and Spectre の「Where can I find official security advisories of involved/affected companies?」に一覧の記載あり

• Intel Security Advisory / Newsroom
• Microsoft Security Guidance
• Amazon Security Bulletin
• ARM Security Update
• Google Project Zero Blog
• MITRE CVE-2017-5715 / CVE-2017-5753 / CVE-2017-5754
• Red Hat Vulnerability Response

修正パッチ・緩和策

Linux:

• KPTI (旧名 KAISER) について KAISER: hiding the kernel from user space [LWN.net]

Windows:

• TBD

MacOS:

• High Sierra 10.13.2 で修正された?

  cc @qwertyoruiopz

  — Alex Ionescu (@aionescu) 2018年1月3日

• macOS High Sierra 10.13.2、セキュリティアップデート 2017-002 Sierra、セキュリティアップデート 2017-005 El Capitan のセキュリティコンテンツについて support.apple.com