プロセッサの脆弱性「Meltdown」と「Spectre」についてまとめてみた

森永大志

2018.01.04

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

森永です。

新年早々大変な脆弱性が出てきてセキュリティクラスタがざわついてます。
内容によって2つの脆弱性に分かれていて、「Meltdown」と「Spectre」と名前がつけられています。
現在使用されているほぼ全てのCPUにおいて対象となりうるという相当影響範囲が広い脆弱性です。

まだ詳細が公開されていない部分もありますが、パッチで対処できる脆弱性ですので落ち着いて対応し、続報を待ちましょう。

現在分かっている範囲の情報をまとめます。

概要

今回の脆弱性は大きく3つに分けられます。

Variant 1と2のことを「Spectre」、Variant 3のことを「Meltdown」と呼称しています。

OSとアプリケーション間でデータをやり取りする部分に関する脆弱性
メモリ上の本来はプロテクトされているはずのデータが見えてしまう（パスワードなど機密情報も見える）
1995年以降に製造された全てのIntelプロセッサが対象となりうる（2013年以前のIntel Itanium/Atomは除く）
- ARMやAMDは未確認だがありえないわけではない
- CPUに関連する脆弱性のため、個人のPCだけでなくオンプレサーバ、クラウドのサーバ全て対象となる
- IntelのCPUを搭載したスマホなども対象となりうる
パッチ適用していないIntel CPUとXen(PV)を使用しているクラウドベンダでは影響がありうる
- DockerやLXC、OpenVZなどを使用していても影響がある可能性がある
- 完全仮想化している場合は影響なし
OSのパッチを適用することで対処可能
- 各社パッチを公開し始めていますのですぐ適用しましょう
アンチウィルスソフトでの検知は理論上は可能だが、現実的には難しい
- 通常のアプリケーションの挙動と区別が非常に難しい
ログが残らないので攻撃を受けたことをトレースすることは難しい

Google Project ZeroのJann Horn氏によるレポートはこちらです。

違うアプリケーション同士でデータをやり取りする部分に関する脆弱性
メモリ上の本来はプロテクトされているはずのデータが見えてしまう（パスワードなど機密情報も見える）
モダンなCPUは全てが対象となりうる（Intelに限らず、AMDもARMでも確認済み）
- CPUに関連する脆弱性のため、個人のPCだけでなくスマートフォン、オンプレサーバ、クラウドのサーバ全て対象となる
アプリケーションのパッチを適用することで対処可能
- 一部アプリケーションでパッチが公開されています
- 全てのアプリケーションでパッチが適用されることは考えれらないため、Meltdownより対処が面倒
アンチウィルスソフトでの検知は理論上は可能だが、現実的には難しい
- 通常のアプリケーションの挙動と区別が非常に難しい
ログが残らないので攻撃を受けたことをトレースすることは難しい