お客様各位
2018年5月23日 掲載
2019年1月10日 更新
富士通株式会社
投機的実行機能を持つCPUに対するサイドチャネル攻撃(CVE-2018-3639、CVE-2018-3640)について
2018年1月に公開されました投機的実行機能を持つCPUに対するサイドチャネル攻撃の派生型が、新たに報告されています。
以下の対処方法をご覧いただき、ご対応くださいますようお願いいたします。
投機的実行機能(speculative execution)
- CPUの高速化手法の1つ。分岐命令の先のプログラムを予測して実行する機能。現在使われている一般的なCPUにはほぼ搭載されている。
脆弱性の概要
今回の脆弱性は、悪意あるプログラムが攻撃対象のパソコン上で実行された場合に、従来保護されていたメモリに格納されているデータ(※1)やレジスタ(※2)が参照可能となるものです。
- データの改ざんの可能性はありません。
- 攻撃者が本脆弱性を突くためには悪意あるプログラムを攻撃対象の装置上で実行することが必要になりますので、外部ネットワーク(インターネット等)からリモートアクセスをするだけではメモリデータを参照する行為はできません。
- (※1)OSのカーネル領域のメモリ、各プロセスのメモリや各仮想マシンのメモリ
- (※2)CPUの状態を表示する記憶域
対処方法
BIOSのアップデートおよびWindowsの脆弱性修正の適用が必要です。
BIOSのアップデート
BIOSアップデートが必要かどうか、およびBIOSの提供時期については、対象機種一覧をご確認ください。
- ドライバダウンロードページで、機種を選択するか、型名を入力し、検索結果を表示します。
- 該当するBIOS書換データをダウンロードします。
- ダウンロードしたデータを解凍し、Readme.txtをよく読みアップデートします。
Windowsの脆弱性修正の適用
マイクロソフト社は CVE-2018-3639(ADV180012)の問題を緩和するためのセキュリティアップデートを公開しています。
次のページを参照のうえ、セキュリティアップデートの適用および必要なレジストリの設定を実施ください。CVE-2018-3640(ADV180013)は、BIOSアップデートのみで対応できます。Windowsのセキュリティアップデートはありません。
アップデートによる影響について
今回のアップデートを適用することで、お客様の運用環境によっては性能への影響が発生する可能性があります。
脆弱性に関する詳細
詳細については以下のサイトをご覧ください。
- CVE:CVE-2018-3639(英語) (Common Vulnerabilities and Exposures)
- CVE:CVE-2018-3640(英語) (Common Vulnerabilities and Exposures)
- JVNVU#97971879 投機的実行機能を持つCPUに対するキャッシュサイドチャネル攻撃 (Japan Vulnerability Notes)
- Q2 2018 Speculative Execution Side Channel Update(英語) (Intel Corporation)
- Analysis and mitigation of speculative store bypass (CVE-2018-3639) (英語) (Microsoft Corporation)
参考
- 「投機的実行機能を持つCPUに対するサイドチャネル攻撃」について (2018年1月)