にゃんたくのひとりごと

ひとりごとです。感じたことだけをただ気ままに書きます。

投機的実行機能を持つCPUに関する脆弱性(Meltdown、Spectre)情報についてまとめてみた。

どもどもにゃんたくです(「・ω・)「ガオー

 

新年早々から表題の脆弱性対応に追われた方々は多いのではないでしょうか。

多数のサイト、Twitter等で注意喚起や情報が発信されておりました。

現状までに収集できた注意喚起情報等をまとめてみましたので、参考にしてみて下さい。

※あくまでも僕視点ですのでご了承ください 

※ 本部ブログ内容を更新、修正した場合は<更新履歴>に記載しております

 

 

脆弱性について

【概要】
投機的実行機能を持つ CPU に対してサイドチャネル攻撃を行われてしまう脆弱性

脆弱性名:「Meltdown」「Spectre」

 

※サイドチャネル攻撃とは↓

サイドチャネル攻撃(side-channel attack) | IoT

 

【CVE番号】
CVE-2017-5715(Spectre)

CVE-2017-5753(Spectre)

CVE-2017-5754(Meltdown)

 

【対象】
投機的実行機能を持つ CPU

 

【対策】

・OS をアップデートする

※各ベンダーが提供する情報を参照して下さい

Microsoftの定例外パッチがリリースされておりますが、適用した場合、ウイルス対策ソフトとの間に互換性の問題が発生し、ブルースクリーン状態に陥る恐れがあります

Microsoftの定例外パッチと各ウイルス対策ソフトの対応状況は、下記を参考にして下さい

CVE-2017-5753, CVE-2017-5715, and CVE-2017-5754 (Meltdown and Spectre) Windows antivirus patch compatibility

 

▼各主要OSのパッチ、アップデート情報

Microsoft

・ADV180002 | Guidance to mitigate speculative execution side-channel vulnerabilities
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/adv180002

 

Windows Server を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス
https://support.microsoft.com/ja-jp/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution

 

・投機的実行のサイドチャネルの脆弱性から保護するための IT プロフェッショナル向け Windows クライアント ガイダンス
https://support.microsoft.com/ja-jp/help/4073119/protect-against-speculative-execution-side-channel-vulnerabilities-in

 

Apple

・ARM ベースおよび Intel CPU の投機的実行の脆弱性について
https://support.apple.com/ja-jp/HT208394

 

Appleのセキュリティアップデート情報
macOS High Sierra 10.13.2補足アップデート
http://support.apple.com/ja-jp/HT208397

Safari 11.0.2
http://support.apple.com/ja-jp/HT208403

iOS 11.2.2
http://support.apple.com/ja-jp/HT208401

 

Linux

※各ディストリビューションによって対策は異なります

※本脆弱性に対応済みか調べる方法が公開されております

https://news.mynavi.jp/article/20180109-linux_vulnerability/

(元記事:https://www.cyberciti.biz/faq/check-linux-server-for-spectre-meltdown-vulnerability/

 

 

 

日本の記事まとめ


JVN

JVNVU#93823979: CPU に対するサイドチャネル攻撃

JVNVU#94630516: 複数の Apple 製品における脆弱性に対するアップデート

 


ITpro

ニュース解説 - 最大2割の性能低下も、大手ITがCPU脆弱性対策のテスト結果を公表:ITpro

ニュース - 「再起動の問題に対処する」、インテルが顧客からの指摘受け:ITpro

ニュース - ヴイエムウェアがCPU脆弱性対策を追加、仮想化ソフトの対策進む:ITpro

ニュース解説 - 古いCPUで顕著な性能低下も、脆弱性問題で企業は大わらわ:ITpro

ニュース - CPU脆弱性問題の影響か、佐賀県庁で一時Office365が利用できず:ITpro

ニュース - iPhoneやFirefoxでもCPU脆弱性問題、更新版の提供始まる:ITpro

ニュース - CPU脆弱性問題でAWSとAzureの対応状況が判明:ITpro

ニュース - インテル、CPUの脆弱性に「AMDやアームとともに対応」:ITpro

ニュース - グーグルがCPU脆弱性の詳細を明らかに、Intel・AMD・Armが対象:ITpro

 

ITmedia

Intel、脆弱性対策パッチによるリブート増加問題やパフォーマンスへの影響について説明 - ITmedia NEWS

Oracleが四半期パッチ公開、Intel CPUの脆弱性に対処 - ITmedia NEWS

IntelのPC管理機能AMTにセキュリティ問題、簡単に悪用可能 - ITmedia NEWS

Intelの一部CPU搭載マシン、脆弱性対策パッチ適用でリブート増加 - ITmedia NEWS

AMD、RyzenとEPYCのSpectre対策を今週中に提供へ GPUには影響なし - ITmedia NEWS

脆弱性対策パッチで6〜8%のパフォーマンス低下 Intelがベンチマーク公表 - ITmedia NEWS

Google、Chromebookの「Meltdown」対策リストを公開 - ITmedia NEWS

NVIDIA、CPUの脆弱性対応でドライバのアップデート公開 GPUは影響受けず - ITmedia NEWS

Windowsパッチで一部AMDマシンに不具合、Microsoftが対応説明 - ITmedia NEWS

Apple、「Spectre」の緩和策もリリース SafariとWebKitのセキュリティ対策強化 - ITmedia NEWS

Apple、プロセッサ脆弱性「Meltdown」と「Spectre」の対策について説明 - ITmedia NEWS

Intel、プロセッサ脆弱性対策で「来週末までに過去5年に製造したプロセッサの9割に更新実行」 - ITmedia NEWS

Intel、プロセッサ脆弱性はAMDやArmにもあり、対策で協力中と説明 - ITmedia NEWS

プロセッサ脆弱性「Meltdown」と「Spectre」のまとめサイト開設 - ITmedia NEWS

 

@IT

プロセッサの脆弱性問題、Azureは対策済み、オンプレミスの対応策は?――Windows関連のまとめ:Microsoft Azure最新機能フォローアップ(46) - @IT

 

ZDNet

MS、CPU脆弱性パッチによるAMDシステムの起動エラーに対応--修正版を公開 - ZDNet Japan

インテルのCPU脆弱性対策パッチによる再起動の問題、新世代チップでも - ZDNet Japan

オラクルが定例パッチ公開--「Meltdown/Spectre」対策も - ZDNet Japan

「Spectre」のような脆弱性は「おそらくほかにも」--ArmのCEOが警告 - ZDNet Japan

グーグル、「Spectre」フィックスによる性能への影響はほぼ無いと強調 - ZDNet Japan

インテル、「Meltdown/Spectre」に対処するファームウェアのバグを認める - ZDNet Japan

CPU脆弱性に慌てるべからず--Windows管理者が持つべき4つの心構え - ZDNet Japan

CPU脆弱性対策パッチによる性能への影響、インテルがベンチマーク公開 - ZDNet Japan

AMD製チップにも「Spectre」脆弱性の影響--CTOが認める - ZDNet Japan

CPUの脆弱性騒動、これまでの動きから見えたこと - ZDNet Japan

CPUの脆弱性パッチがLinuxマシンの性能に与える影響--レッドハットが検証 - ZDNet Japan

IBM、脆弱性「Meltdown/Spectre」への対策を「POWER」CPU向けに公開 - ZDNet Japan

NVIDIA、GPUドライバを更新--「Spectre」問題に対処 - ZDNet Japan

MS、CPUの脆弱性対策パッチによる性能への影響示す--古いWindowsでより顕著 - ZDNet Japan

マイクロソフト、一部AMDチップ搭載PCへのCPU脆弱性パッチを一時停止 - ZDNet Japan

CPU脆弱性への修正含む「Windows」アップデートでAMDユーザーに不具合 - ZDNet Japan

「iOS11.2.2」リリース、プロセッサの脆弱性「Spectre」に対処 - ZDNet Japan

CPU脆弱性のパッチ提供が本格化、Windowsはアンチウイルスの確認も - ZDNet Japan

CPUの脆弱性、Linux関係者らの見方や対応 - ZDNet Japan

プロセッサの脆弱性は全てのMacとiOS機器に影響--アップル、対策を公表 - ZDNet Japan

インテル、CPUに影響する脆弱性「Meltdown」「Spectre」対策でパッチを公開 - ZDNet Japan

インテル、ARM、AMDなど多数のCPUに脆弱性--各社が対応急ぐ - ZDNet Japan

マイクロソフト、CPUの脆弱性問題で緩和策を緊急公開 - ZDNet Japan

 

Gigazine

IntelがCPUの脆弱性「メルトダウン」「スペクター」対策後のパフォーマンス低下の結果一覧を公開 - GIGAZINE

CPU脆弱性対策パッチでAMDマシンが起動しなくなる不具合を受けてMicrosoftが更新プログラムの配布を停止 - GIGAZINE

プロセッサの脆弱性問題「メルトダウン」「スペクター」対応パッチでAMDユーザーの一部がPCを使えなくなる恐れ - GIGAZINE

CPUの脆弱性問題の根本原因の「投機的実行」との格闘はXbox 360時代から存在する - GIGAZINE

CPUに内在する脆弱性問題「メルトダウン」「スペクター」への各社の対応まとめ - GIGAZINE

Intel製CPUに内在する脆弱性問題の根は深く「すべてのプロセッサが安全性と高速性を両立できない問題を抱える」との指摘 - GIGAZINE

Intelのプロセッサチップに根本的な設計上の欠陥が発覚、各OSにアップデートの必要性 - GIGAZINE

 

Security NEXT

【セキュリティ ニュース】Oracle、定例アップデートで脆弱性237件を解消 - 「Spectre」の緩和策も(1ページ目 / 全1ページ):Security NEXT

【セキュリティ ニュース】「VMware Workstation」「Fusion」に深刻な脆弱性 - 「Spectre」緩和策と同時に修正(1ページ目 / 全1ページ):Security NEXT

【セキュリティ ニュース】「ESXi」「Workstation」などにゲストOS向けの「Spectre」緩和策(1ページ目 / 全2ページ):Security NEXT

【セキュリティ ニュース】Apple、「Spectre」緩和策を追加した「macOS」や「iOS」を公開(1ページ目 / 全2ページ):Security NEXT

【セキュリティ ニュース】主要メーカー「CPU」に脆弱性、データ漏洩のおそれ - クラウド含む幅広い環境へ影響(1ページ目 / 全3ページ):Security NEXT

【セキュリティ ニュース】MS、CPU脆弱性緩和策で定例外パッチ - セキュリティ対策ソフトとの互換性問題も(1ページ目 / 全3ページ):Security NEXT

【セキュリティ ニュース】VMware、「Spectre」対策で「VMware ESXi」などにパッチ提供(1ページ目 / 全1ページ):Security NEXT

【セキュリティ ニュース】「Meltdown」「Spectre」の影響、MacやiOSデバイスにも - 一部は修正済み(1ページ目 / 全1ページ):Security NEXT

【セキュリティ ニュース】脆弱性「Spectre」の影響を緩和した「Firefox 57.0.4」がリリース(1ページ目 / 全1ページ):Security NEXT

 

マイナビニュース

脆弱性「Spectre」「Meltdown」のパッチを偽装したマルウェアに注意 | マイナビニュース

AMD、CPUの脆弱性「Spectre」の影響受けると発表 | マイナビニュース

LinuxでCPUのマイクロコードをアップデートする方法 | マイナビニュース

NVIDIA、同社製品が「Spectre」の影響を受けないと修正発表 | マイナビニュース

Windowsの「Spectre」対策、古いCPUほど遅くなる - Microsoft | マイナビニュース

NVIDIA、 脆弱性「Spectre」に対処したGPU Display Driverを公開 | マイナビニュース

JVN、CPUに対するサイドチャネル攻撃の脆弱性関連情報 | マイナビニュース

脆弱性「Meltdown」「Spectre」からWindows/Android/iOSを守る方法 | マイナビニュース

Linuxが脆弱性「Spectre」「Meltdown」に対応済みか調べる方法 | マイナビニュース

Intelプロセッサの脆弱性対応でWindowsとLinux性能低下の見通し | マイナビニュース

CPUの脆弱性「Meltdown」「Spectre」、IoTデバイスでは特に注意が必要 | マイナビニュース

 

Microsoft

Microsoftの定例外パッチ情報はこちら↓

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

 

[重要: 2018 / 1 / 4 更新] [告知] 2018 年 1 月 2 日より Azure IaaS 仮想マシンのメンテナンス期間が開始します – Japan Azure Technical Support Engineers' Blog

CPU の脆弱性から Azure のお客様を保護するために – Japan Azure Technical Support Engineers' Blog

Windows Server を投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス↓
https://support.microsoft.com/ja-jp/help/4072698/windows-server-guidance-to-protect-against-the-speculative-execution

投機実行サイド チャネル上の脆弱性から保護するための IT プロフェッショナル向け Windows クライアントのガイダンス↓

https://support.microsoft.com/ja-jp/help/4073119/windows-client-guidance-for-it-pros-to-protect-against-speculative-exe

 

Trend Micro

投機的実行に関する脆弱性「Meltdown」と「Spectre」について解説 | トレンドマイクロ セキュリティブログ

CPU の脆弱性「Meltdown」と「Spectre」への対応 | トレンドマイクロ セキュリティブログ

 

McAfee

「Meltdown」と「Spectre」にまつわる噂を読み解く

 

Kaspersky

MeltdownとSpectre:Intel搭載デバイスに見つかった深刻な2つの脆弱性 – カスペルスキー公式ブログ

 

Symantec

Meltdown と Spectre: チップの脆弱性が原因でメモリからデータが漏えいする恐れ | Symantec Connect

  

piyolog

CPUの脆弱性 MeltdownとSpectreについてまとめてみた - piyolog

 

サイオステクノロジー

CPU由来の脆弱性情報(Meltdown and Spectre Vulnerability : CVE-2017-5753, CVE-2017-5754, CVE-2017-5715) — | サイオスOSS | サイオステクノロジー

 

日立 ソリューションズ

複数のCPUに、サイドチャネル攻撃を許す脆弱性(MeltdownとSpectre)が確認される | セキュリティニュース | 日立ソリューションズの情報セキュリティブログ

 

その他

AWSもSpectreとMeltdownの対策完了を報告。対策後、Amazon EC2で性能の低下は見られないと - Publickey

GoogleはSpectreとMeltdownの対策を昨年6月に開始し12月には完了していた。性能低下の報告はなし - Publickey

Ashampoo、CPU脆弱性“Spectre”“Meltdown”のGUIチェックツールを無償公開 - 窓の杜

CPUの脆弱性[Spectre], [Meltdown] は具体的にどのような仕組みで攻撃する?影響範囲は? | SEの道標

Azure、AWS、GCP、Alibaba CloudのCPU脆弱性対応のまとめ | 技術的な何か。

Apple、チップのセキュリティ欠陥「Spectre」の修正パッチをリリース - iPhone Mania

macOS 10.13.2 High Sierraでも実行可能なCPU脆弱性「Spectre」のPoCが公開される。 | AAPL Ch.

CPU脆弱性Meltdownのパッチ適用でベンチマークスコアが25%低下した - Qiita

もともとは「お化け」とか「妖怪」といった意味だという。英語の「スペクター」という単語だ。カール・マルクスとフリードリヒ・ :日本経済新聞

Googleが発見した「CPUの脆弱性」とは何なのか。ゲーマーに捧ぐ「正しく恐れる」その方法まとめ - 4Gamer.net

CPU脆弱性問題でインテルに複数の集団訴訟。公表の遅れや修正による性能低下の損害を主張 - Engadget 日本版

Meltdown, Spectre で学ぶ高性能コンピュータアーキテクチャ - FPGA開発日記

インテルのチップに潜む「欠陥」が、コンピューターの基本的なセキュリティを脅威にさらす|WIRED.jp

Google、CPU脆弱性“Meltdown”“Spectre”の緩和策を「Google Chrome 64」へ導入 - 窓の杜

Apple曰く、メルトダウンとスペクター問題は「全MacシステムとiOSデバイス」に影響を与えるが長くは続かない | TechCrunch Japan

プロセッサの脆弱性は全てのMacとiOS機器に影響--アップル、対策を公表 - CNET Japan

プロセッサの脆弱性「Meltdown」と「Spectre」についてまとめてみた | Developers.IO

インテル:多くの半導体にハッカー攻撃への脆弱性-「バグ」は否定 - Bloomberg

GoogleのProject ZeroチームはCPUの重要な欠陥を昨年発見していた | TechCrunch Japan

インテル、ARM、AMDなど多数のCPUに脆弱性--各社が対応急ぐ - CNET Japan

マイクロソフト、CPUの脆弱性対策でAzureの計画メンテを前倒し、全リージョンの仮想マシンを今朝から強制再起動。Googleは対策済みと発表 - Publickey

Azure、AWS、GCPのCPU脆弱性対応のまとめ | 技術的な何か。

 

 

海外の記事まとめ

Vulnerability Note VU#584653 - CPU hardware vulnerable to side-channel attacks

https://newsroom.intel.com/news/intel-responds-to-security-research-findings/

Securing Azure customers from CPU vulnerability | Blog | Microsoft Azure

Processor Speculative Execution Research Disclosure

Google Online Security Blog: Today's CPU vulnerability: what you need to know

Project Zero: Reading privileged memory with a side-channel

Meltdown and Spectre

CVE-2017-5753, CVE-2017-5715, and CVE-2017-5754 (Meltdown and Spectre) Windows antivirus patch compatibility

 

以上です。

 

<更新履歴>

2018/01/05 AM 公開

2018/01/06 PM 一部内容更新(ITpro,ITmedia,ZDNet,Trend Micro,piyolog,Gigazine,その他)

2018/01/08 PM 一部内容更新(Security NEXT,サイオステクノロジー,その他)

2018/01/09 AM 一部内容更新(Appleのセキュリティアップデート情報,その他)

2018/01/10 AM 一部内容更新(【▼各主要OSのパッチ、アップデート情報】の項目を追加、JVN,ITpro,ITmedia,ZDNet,Trend Micro,Gigazine,マイナビニュース,@IT,Security NEXT,その他)

2018/01/11 AM 項目追加(McAfee,Kaspersky,Symantec)及び一部内容更新(ITmedia,ZDNet,Gigazine

2018/01/13 AM 一部内容更新(Security NEXT,ITpro,ITmedia,ZDNet,Gigazine,マイナビニュース,日立ソリューションズ,その他)

2018/01/15 AM 一部内容更新(ZDNet,その他)

2018/01/17 AM 一部内容更新(ITpro,ITmedia,ZDNet,マイナビニュース)

2018/01/20 AM 一部内容更新(Security NEXT,ITmedia,ZDNet