またしても。
サイバーセキュリティ研究者のグループが発表した最新の報告によると、Intel製チップに存在する複数の脆弱性により、攻撃者がプロセッサから直接データを盗むことが可能だそうです。
この問題では、macOSやWindows、Android、Chromeを最新バージョンにアップデートする必要があり、Intel（インテル）やApple（アップル）、Google（グーグル）、Microsoft（マイクロソフト）などの企業は、この脆弱性に対するパッチやサポートページをリリースしています。
なおTechCrunchによれば、この脆弱性はiPhoneやiPad、Apple Watchには影響しないとのこと。GoogleとMicrosoftのクラウドサービスの顧客は現在保護されていますが、Amazonのクラウドサービスについては現在米Gizmodoが問い合わせています。
脆弱性の正体
このバグは、2011年以降に製造されたすべてのIntel製チップに影響します。｢投機的実行｣と呼ばれるプロセッサ機能の脆弱性を利用し、デバイスのCPUからブラウザの履歴や、パスワードや暗号化キーなどの機密データを直接盗み出すことができます。
なお、このバグが実際に悪用された例があるかはわかっていません。というのも、他の多くのハッキングとは異なり、今回の欠陥を悪用しても痕跡が残らない可能性があるため、被害を見分けるのはかなり困難（difficult or impossible）とのこと。
何が起こる？
今回の脆弱性は、2018年に明らかになったIntelプロセッサの2つの脆弱性 ｢Meltdown｣ ｢Spectre｣ を連想させます。攻撃の仕組みは、CPUの性能を最適化する技法である｢投機的実行｣を利用し、攻撃者が機密データを盗むというもの。投機的実行とは、実行されるであろう処理をCPUが先回りして実行する最適化技法で、Meltdown、Spectreの際もこの投機的実行が脆弱性の要因となっていました。
こちらの動画は、実際に今回の脆弱性（ZombieLoad、後述）が悪用されているシーンです。たとえ、匿名のTorブラウザやDuckDuckGo検索エンジンを使っていても、攻撃者はユーザーがウェブサイトを訪問した際のスパイ行為に成功しています。
以下は研究者による報告で、また問題に関するウェブサイトも公開されています。
通常、プログラムは自分のデータしか参照しませんが、悪意のあるプログラムはバッファを不正利用し、他のプログラムが現在実行している機密を盗み出せます。これらのデータには、ブラウザの履歴、Webサイトのコンテンツ、ユーザー・キー、パスワードなどの機密だけでなく、ディスクの暗号化キーなどのシステムレベルの機密もあります。この攻撃はパソコンだけでなく、クラウドにも及ぶ可能性があります
今回の脆弱性は｢ZombieLoad｣｢Fallout｣｢Store-to-leak forwarding｣｢Meltdown UC｣｢RIDL（Rogue In-Flight Data Load）｣と名付けられており、Intelはこれらの脆弱性を｢マイクロアーキテクチャ・データ・サンプリング（MDS）｣と呼んでいます。
ZombieLoadの攻撃により、ハッカーは個人的なブラウジングデータやその他の機密データを盗み出し、FalloutやRIDLではセキュリティを乗り越えて機密データが漏洩します。Store-to-leak forwardingとMeltdown UCは、MeltdownおよびSpectreに関連する既知の脆弱性と組み合わされ、CPUから機密データを盗みます。
第8、9世代Coreプロセッサではハードウェアレベルで対応済み
Intelの広報担当者は米Gizmodoに対し、MDSは｢最新の第8世代および第9世代インテルCoreプロセッサー、および第2世代Xeonプロセッサにてハードウェアレベルですでに対応されています。その他の影響を受ける製品については、マイクロコードのアップデートと、対応するOSおよびソフトウェアのアップデートを組み合わせることで、影響を緩和することができます｣と伝えています。
またIntelがリリースしたパッチによる性能への影響は、一般向け製品なら3%、データセンター向け製品なら9%程度の低下になります。
なお、研究者のCristiano Giuffrida氏はWiredに対し、｢これはCPUを部品のネットワークとして扱い、部品間のトラフィックを盗聴するようなものです｣と伝えています。｢コンポーネント間の通信はなんでも聞こえるのです｣。
この脆弱性が実際に悪用されたかどうかの手がかりは今のところありませんが、ユーザーはすべてのデバイスとアプリをアップデートして、自動アップデートを永久に有効にしておくことが推奨されます。
Source: Gizmodo US
