CPU脆弱性Foreshadow自分用まとめ

脆弱性概要

Intelプロセッサの投機実行を利用した脆弱性。攻撃者はこの脆弱性を利用してサイドチャネル攻撃を実行することができる。Foreshadowに関連して2つの攻撃手法が発見されている。主に仮想マシンへの影響が懸念される。

本脆弱性の公式サイトはこちら

CVE番号

Foreshadowと呼ばれる脆弱性は「CVE-2018-3615」。「CVE-2018-3620」と「CVE-2018-3646」は「CVE-2018-3615」を調査しているうちに発見された新たな攻撃手法。

影響

悪意のある攻撃者は本脆弱性を利用してOSや他アプリケーションの情報を盗むことができる。CVE-2018-3646の脆弱性では仮想環境上で別ユーザーの情報を搾取することができるため、レンタルサーバやIaaSなどのクラウドサーバでの影響が懸念される。本攻撃はログを残さないため、情報を搾取されたかの確認は難しい。

影響や脆弱性の仕組みについてはRedHadが公開した動画及びギガジンによる解説が大変分かりやすい。

影響範囲

Intel Core™i3 / i5 / i7 / Mプロセッサー（45nmおよび32nm）
第2、第3、第4、第5、第6、第7、第8世代のIntel Coreプロセッサ
Intel X99およびX299プラットフォーム用Intel Core Xシリーズプロセッサフ​​ァミリ
インテル®Xeon®プロセッサー3400/3600/5500/5600/6500/7500シリーズ
インテル®Xeon®プロセッサーE3 v1 / v2 / v3 / v4 / v5 / v6ファミリー
インテル®Xeon®プロセッサーE5 v1 / v2 / v3 / v4ファミリー
インテル®Xeon®プロセッサーE7 v1 / v2 / v3 / v4ファミリー
インテル®Xeon®プロセッサースケーラブル・ファミリー
インテル®Xeon®プロセッサーD（1500,2100）

対策

Intelはマイクロコードのアップデートをすでに2018年の5月の段階で提供済み。

クラウドやOSベンダのアップデートを適用する。

そもそも本脆弱性への対策を実施しているクラウドベンダを利用する。（AzureやGoogleはすでに対策された方法を採用しているらしい・・？）

今回の対策ではパフォーマンスに影響することは少ないとの発表だが、クラウド事業者がアップデートをした場合は念のためアプリの動作を確認した方が良さそう。

報道・メディア等

インテルのプロセッサに新たな脆弱性「Foreshadow」–仮想化環境に対する大きな脅威 – ZDNet Japan
Intelが発表、キャッシュタイミングを利用したサイドチャネル攻撃の脆弱性「L1TF」：仮想化利用時に課題あり – ＠IT
Intel CPUの「SGX」機能に新たな脆弱性、仮想マシンなどにも影響 – ITmedia エンタープライズ

まとめ

主にサーバ運用をしている人、特にクラウドを利用している人に影響あり。個人のPCやオンプレでサーバ運用をしている人はほぼ影響無しと読み取った。（オンプレで本脆弱性を悪用されることがあれば、アプリケーションの脆弱性やその他の脆弱性が存在している可能性あり）

日本のお盆中に公表されたのでクラウドのエンジニアは眠れないお盆休みになりましたね。。。

このまとめを作成している最中にもっとしっかりと日本語でまとめられている方がいらっしゃったのでぜひ参考にして欲しい。