テンプルナイツ

Googleが発見したCPUの脆弱性「Spectre」「Meltdown」

　Googleの研究チーム「Project Zero」が1月3日に発表した多くのCPUに影響する脆弱性「Spectre」「Meltdown」を4gamer.netが詳しく紹介している。

　「Spectre」はアプリが別のアプリの利用しているメモリ領域を読み取れる。具体的にはブラウザの自動入力情報(パスワード等)を取得できる。「Meltdown」はOSが管理しているメモリ領域「カーネルメモリ空間」を特権機構を超えて覗き見ることができる。具体的には悪意を持つプログラムがアカウントやパスワードを取得できる。

　「Spectre(Variant1)」の方はIntelとAMDとArmが対象で、既にWindows、 ARMv8用Linuxの修正プログラムが提供されている。

　「Spectre(Variant2)」はIntelとArmが対象で、 ARMv8用Linuxの修正プログラムは提供されている。Windows向けは未発表。

　「Meltdown(Variant3)」はIntelとArmのCortex-A75が対象となっているが、Cortex-A7はまだ製品が出回っていない為、Intel CPUのみの脆弱性となる。この問題を完全に対策した場合、CPUの性能が大きく低下すると騒がれていたが、アップルがごく僅かな性能低下で対策できたことから、Windowsも同様の対応が期待される。

　なお、アップルは全てのMacとiOS製品が「Spectre」「Meltdown」の影響を受けると発表しているが、いくつかの問題についてはiOS 11.2、macOS 10.13.2、tvOS 11.2にて既に対処を行っており、今後のアップデートで脆弱性を塞ぐとしている。

　Googleは「Meltdown」についてAndroid向けにパッチを配信しているが、パッチが利用できるかどうかはデバイスメーカーによる。「Spectre」については1月23日配信予定の「Chrome 64」で対策する。

　……Windowsが修正パッチの適用で大幅な性能低下が起きるかどうかという問題は残るが、基本的にユーザーがすることはいつも通りパッチを当てることのみ。しかし、Androidはセキュリティ方面のパッチがデバイス毎になって本当にどうしようもないな。

投稿者: (公開日： / 最終更新日： )

記事別アクセスランキング