【活用ガイド】

JVNDB-2018-001001

CPU に対するサイドチャネル攻撃

概要

投機的実行機能やアウトオブオーダー実行機能を持つ CPU に対してサイドチャネル攻撃を行う手法が複数の研究者によって報告されています。

投機的実行機能やアウトオブオーダー実行機能を持つ CPU に対してサイドチャネル攻撃を行う手法 (Spectre および Meltdown) が報告されています。

詳細については、Google Project Zero のブログ記事("Reading privileged memory with a side-channel")や Graz University of Technology (TU Graz) の研究者による情報("Meltdown and Spectre")を参照してください。

"Reading privileged memory with a side-channel"
https://googleprojectzero.blogspot.jp/2018/01/reading-privileged-memory-with-side.html

"Meltdown and Spectre"
https://meltdownattack.com/
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 4.7 (警告) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
CVSS v2 による深刻度
基本値: 4.4 (警告) [IPA値]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): 全面的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


（複数のベンダ）
  • （複数の製品）

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。
想定される影響

ユーザ権限で実行中のプロセスから、機密情報を取得される可能性があります。

Spectre 攻撃に関しては、細工された Javascript コードによって、Javascript からは取得できないはずの web ブラウザプロセス中のデータを取得可能であると報告されています。
対策

[アップデートする]
OS カーネルやアプリケーションにおける対策が進められています。各 OS ベンダやアプリケーション開発者の提供する情報をもとに、最新版へアップデートしてください。
ベンダ情報

Advanced Micro Devices (AMD) ARM Ltd. Google kernel.org Mozilla Foundation The Chromium Projects アップル
  • Apple Security Updates : HT208394
  • Apple セキュリティアップデート : HT208394
インテル マイクロソフト 横河電機株式会社 日本電気
  • NEC製品セキュリティ情報 : AV18-001
日立 富士通
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 情報漏えい(CWE-200) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2017-5715
  2. CVE-2017-5753
  3. CVE-2017-5754
参考情報

  1. JVN : JVNVU#93823979
  2. JVN : JVNVU#94630516
  3. JVN : JVNVU#99752892
  4. JVN : JVNVU#98137233
  5. National Vulnerability Database (NVD) : CVE-2017-5715
  6. National Vulnerability Database (NVD) : CVE-2017-5754
  7. National Vulnerability Database (NVD) : CVE-2017-5753
  8. CERT Vulnerability Analysis : Vulnerabilities Associated with CPU Speculative Execution
  9. US-CERT Cyber Security Alerts : TA18-004A
  10. US-CERT Vulnerability Note : VU#584653
  11. US-CERT Vulnerability Note : VU#155143
  12. ICS-CERT ADVISORY : ICSA-23-075-01
  13. ICS-CERT ADVISORY : ICSA-23-257-04
  14. ICS-CERT ALERT : ICS-ALERT-18-011-01
  15. 関連文書 : Meltdown
  16. 関連文書 : Meltdown and Spectre
  17. 関連文書 : Project Zero
更新履歴

  • [2018年01月04日]
      掲載
    [2018年01月09日]
      参考情報：US-CERT Cyber Security Alerts (TA18-004A) を追加
    [2018年01月10日]
      タイトル：内容を更新
      概要：内容を更新
      CVSS による深刻度：内容を更新
      想定される影響：内容を更新
      対策：内容を更新
      ベンダ情報：アップル (HT208394) を追加
      ベンダ情報：富士通 (JVNVU#93823979(CVE-2017-5715、CVE-2017-5753、CVE-2017-5754): 「投機的実行機能を持つ CPU に対するサイドチャネル攻撃」について) を追加
      参考情報：JVN (JVNVU#94630516) を追加
    [2018年01月12日]
      参考情報：ICS-CERT ALERT (ICS-ALERT-18-011-01) を追加
    [2018年01月15日]
      ベンダ情報：日立 (hitachi-sec-2018-201) を追加
    [2018年01月19日]
      ベンダ情報：日本電気 (AV18-001) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2017-5715) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2017-5754) を追加
      参考情報：National Vulnerability Database (NVD) (CVE-2017-5753) を追加
  • [2018年02月23日]
      ベンダ情報：横河電機株式会社 (セキュリティ情報：CPU脆弱性 Meltdown / Spectre について) を追加
      ベンダ情報：横河電機株式会社 (Security Information: CPU Vulnerability Meltdown / Spectre) を追加
  • [2023年03月20日]
      参考情報：JVN (JVNVU#99752892) を追加
      参考情報：ICS-CERT ADVISORY (ICSA-23-075-01) を追加
  • [2023年09月19日]
      参考情報：JVN (JVNVU#98137233) を追加
      参考情報：ICS-CERT ADVISORY (ICSA-23-257-04) を追加
  • [2024年04月11日]
      参考情報：US-CERT Vulnerability Note (VU#155143) を追加
      参考情報：CERT Vulnerability Analysis (Vulnerabilities Associated with CPU Speculative Execution) を追加

公表日2018/01/03
登録日2018/01/04
最終更新日2024/04/11