【活用ガイド】

JVNDB-2012-002633

複数のビデオドライバが ASLR 機能をサポートしていない問題

概要

複数のビデオドライバには、Enhanced Mitigation Experience Toolkit (EMET) における Address Space Layout Randomization (ASLR) 機能をサポートしていない問題があります。

EMET の機能である ASLR には、Data Execution Prevention (DEP) 機能と組み合わせて、脆弱性を使用した攻撃に対する影響を軽減する効果があります。複数のビデオドライバには、ASLR 機能をサポートしていない問題があります。

Microsoft Windows における ASLR および DEP の詳細は、Microsoft の提供する Security Research & Defense Blog (http://blogs.technet.com/b/srd/archive/2010/12/08/on-the-effectiveness-of-dep-and-aslr.aspx) を参照してください。

なお、PaX を使用している Linux システム上で動作する ATI ドライバにも、同様の問題があることが報告されています。
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


（複数のベンダ）
  • （複数の製品）

対象となる製品は複数存在します。

詳しくは VU#458153 が提供する Vendor Information を確認してください。
想定される影響

ユーザのシステムが、脆弱性を使用した攻撃の影響を受けやすくなる可能性があります。

また、ASLR 機能をサポートしていないドライバ上で ASLR を "Always on" に設定した場合、システムが異常終了してしまう可能性があります。
対策

[アップデートする]
AMD から、EMET の system-wide ASLR 機能に対応した Radeon 用 Catalyst driver version 12.6 が公開されました。
該当の製品を使用しているユーザは、最新版へ更新してください。

[ワークアラウンドを実施する]
以下の回避策を適用することで、この問題の影響を軽減することが可能です。

* 標準の VGA ドライバを使用する
* ASLR 機能をサポートするビデオアダプタを使用する
ベンダ情報

Advanced Micro Devices (AMD)
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

参考情報

  1. JVN : JVNVU#458153
  2. US-CERT Vulnerability Note : VU#458153
  3. 関連文書 : Microsoft Security Research & Defense Blog - On the effectiveness of DEP and ASLR
更新履歴

  • [2012年06月07日]
      掲載
    [2012年07月06日]
      ベンダ情報：AMD (サポート & ダウンロード) を追加
      対策：内容を更新

公表日2012/06/07
登録日2012/06/07
最終更新日2012/07/06