CPUの脆弱性(サイドチャネル攻撃)への対応について
更新日：2019年10月2日
CPUの脆弱性(サイドチャネル攻撃)への対応について
日頃は、MAGNIAシリーズ製品をご愛用いただきまして誠にありがとうございます。
このたび第三者機関により発見され、複数の研究機関、企業から情報公開されております、投機的実行機能やアウトオブオーダー実行機能を持つCPUの脆弱性につきまして、ご案内いたします。
弊社対象装置をご利用いただいている場合、悪意のあるプログラムによりセキュリティの脆弱性を突いた攻撃を受けると、メモリのデータを不正に取得されてしまう可能性があります。
脆弱性に関する情報
・以下のいずれの脆弱性とも、悪意のあるプログラムが攻撃対象のサーバー上で実行された場合、本来保護されるメモリのデータ(*)を不正に取得される、というものです。
・本脆弱性によるデータの改ざんの可能性はありません。
・悪意のあるプログラムが攻撃対象のサーバー上で実行されなければ、本脆弱性による被害に遭うことはありません。
(*)オペレーティングシステムのカーネル領域などのデータ
＜2018年8月に公表された脆弱性（CVE-2018-3615、CVE-2018-3620、CVE-2018-3646）＞
関連情報：
JVNVU#97646030 「Intel 製 CPU の投機的実行機能に対するサイドチャネル攻撃 (L1TF)」
https://jvn.jp/vu/JVNVU97646030/
インテル社から公開されたプレスリリース(脆弱性情報・英文)
Security Exploits and Intel Products
https://newsroom.intel.com/press-kits/security-exploits-intel-products/
＜2018年5月に公表された脆弱性（CVE-2018-3639、CVE-2018-3640）＞
関連情報：
JVNVU#97971879 「投機的実行機能を持つ CPU に対するキャッシュサイドチャネル攻撃」 http://jvn.jp/vu/JVNVU97971879/
インテル社から公開されたプレスリリース(脆弱性情報・英文)
Security Exploits and Intel Products
https://newsroom.intel.com/press-kits/security-exploits-intel-products/
＜2018年1月に公表された脆弱性（CVE-2017-5715、CVE-2017-5753、CVE-2017-5754）＞
関連情報：
JVNVU#93823979 「CPU に対するサイドチャネル攻撃」
https://jvn.jp/vu/JVNVU93823979/
インテル社から公開されたプレスリリース(脆弱性情報・英文)
Security Exploits and Intel Products
https://newsroom.intel.com/press-kits/security-exploits-intel-products/
対処方法
システムBIOS、オペレーティングシステムなど、下記に記載している修正を、全て適用する必要があります。
・システムBIOSアップデートの適用
＜対象機種一覧、修正物件公開時期＞
製品保守期間内の製品を掲載しています。
システムBIOSアップデートモジュールは準備中であり、モジュールの公開時期等の情報は随時更新いたします。
対象機種一覧
| 製品名 |
対象脆弱性 | |||
|---|---|---|---|---|
CVE-2017-5715 （2018年1月公開分のみ） |
CVE-2017-5715,CVE-2018-3639, 3640,CVE-2018-3615, 3620, 3646 （2018年1月から8月公開分） |
|||
公開時期 |
公開ページ |
公開時期 |
公開ページ |
|
| MAGNIA C1300b | ⇒ | 準備中 | − | |
| MAGNIA C1300c | 2018/8/10 | ダウンロード  |
準備中 | − |
| MAGNIA C1300d | 2018/8/10 | ダウンロード |
2019/1/25 | ダウンロード |
| MAGNIA C1300e | 2018/5/14 | ダウンロード |
2018/10/23 | ダウンロード |
| MAGNIA C1300f | 2018/5/14 | ダウンロード |
2018/10/11 | ダウンロード |
| MAGNIA T1340b | ⇒ | 準備中 | − | |
| MAGNIA T1340c | 2018/8/10 | ダウンロード |
準備中 | − |
| MAGNIA T1340d | 2018/8/10 | ダウンロード |
2019/1/25 | ダウンロード |
| MAGNIA T1340e | 2018/5/14 | ダウンロード |
2018/10/23 | ダウンロード |
| MAGNIA T1340f | 2018/5/14 | ダウンロード |
2018/10/11 | ダウンロード |
| MAGNIA T1540d | 2018/8/10 | ダウンロード |
2019/1/25 | ダウンロード |
| MAGNIA R1310b | ⇒ | 準備中 | − | |
| MAGNIA R1310c | 2018/8/10 | ダウンロード |
準備中 | − |
| MAGNIA R1310d | 2018/8/10 | ダウンロード |
2019/1/25 | ダウンロード |
| MAGNIA R1310e | 2018/5/14 | ダウンロード |
2018/10/23 | ダウンロード |
| MAGNIA R1310f | 2018/5/14 | ダウンロード |
2018/10/11 | ダウンロード |
| MAGNIA R1510b | ⇒ | 2019/9/20 | ダウンロード |
|
| MAGNIA R3310b | ⇒ | 2019/9/20 | ダウンロード |
|
| MAGNIA R3310c | ⇒ | 2019/1/18 | ダウンロード |
|
| MAGNIA R3310d | 2018/5/10 | ダウンロード |
準備中 | − |
| MAGNIA R3310e | 2018/8/31 | ダウンロード |
準備中 | − |
| MAGNIA R3310f | 2018/5/18 | ダウンロード |
2018/10/22 | ダウンロード |
| MAGNIA R3320b | ⇒ | 2019/9/20 | ダウンロード |
|
| MAGNIA R3320c | ⇒ | 2019/1/18 | ダウンロード |
|
| MAGNIA R3320d | 2018/8/31 | ダウンロード |
2018/12/7 | ダウンロード |
| MAGNIA R3320e | 2018/6/15 | ダウンロード |
2018/10/23 | ダウンロード |
| MAGNIA R3320f | 2018/5/18 | ダウンロード |
2018/10/22 | ダウンロード |
| MAGNIA R3510a | ⇒ | 準備中 | − | |
| MAGNIA R3510b | 2018/7/12 | ダウンロード |
2018/12/7 | ダウンロード |
| MAGNIA R3510c | 2018/5/10 | ダウンロード |
準備中 | − |
| MAGNIA R3510d | 2018/5/10 | ダウンロード |
準備中 | − |
| MAGNIA R3510e | 2018/5/18 | ダウンロード |
2018/10/22 | ダウンロード |
| MAGNIA R3520a | ⇒ | 準備中 | − | |
| MAGNIA R3520b | 2018/7/12 | ダウンロード |
2018/12/7 | ダウンロード |
| MAGNIA R3520c | 2018/5/10 | ダウンロード |
準備中 | − |
| MAGNIA R3520d | 2018/5/10 | ダウンロード |
準備中 | − |
| MAGNIA R3520e | 2018/5/18 | ダウンロード |
2018/10/22 | ダウンロード |
| MAGNIA T3350b | ⇒ | 準備中 | − | |
| MAGNIA T3350c | 2018/7/12 | ダウンロード |
2018/12/7 | ダウンロード |
| MAGNIA T3350d | 2018/8/31 | ダウンロード |
2018/12/7 | ダウンロード |
| MAGNIA T3350e | 2018/6/15 | ダウンロード |
2018/10/23 | ダウンロード |
| MAGNIA T3350f | 2018/5/18 | ダウンロード |
2018/10/22 | ダウンロード |
| MAGNIA D3305a | ⇒ | 2019/9/20 | ダウンロード |
|
| MAGNIA D3305b | 2018/8/31 | ダウンロード |
準備中 | − |
・オペレーティングシステム(OS)などのセキュリティアップデートの適用
オペレーティングシステム(OS)やアプリケーションのセキュリティアップデート情報は、下記をご確認ください
セキュリティアップデートの適用は、システムBIOSアップデートと同時に適用する必要はありません。脆弱性リスクの軽減に効果があるため、セキュリティアップデートの速やかな適用をお願いいたします。
なお、下記のセキュリティアップデート情報は1月31日時点の情報になります。
＜2018年8月に公表された脆弱性（CVE-2018-3615、CVE-2018-3620、CVE-2018-3646）への対応＞
[Windows]
Microsoft社の下記サイトに情報が公開されています
- 投機的実行のサイドチャネルの脆弱性を緩和するガイダADV180018 | L1TF バリアントを緩和するためのマイクロソフト ガイダンス
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180018
[VMWare]
vmware社の下記サイトに情報が公開されています
- VMSA-2018-0020
VMware vSphere, Workstation, and Fusion updates enable Hypervisor-Specific Mitigations for L1 Terminal Fault - VMM vulnerability.
https://www.vmware.com/security/advisories/VMSA-2018-0020.html
[Linux(RHEL)]
Red Hat社の下記サイトに情報が公開されています
- L1TF - L1 Terminal Fault Attack - CVE-2018-3620 & CVE-2018-3646
https://access.redhat.com/security/vulnerabilities/L1TF
＜2018年5月に公表された脆弱性（CVE-2018-3639、CVE-2018-3640）への対応＞
[Windows]
Microsoft社の下記サイトに情報が公開されています
-ADV180012 | Microsoft Guidance for Speculative Store Bypass
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180012
-ADV180013 | Microsoft Guidance for Rogue System Register Read
https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180013
[VMWare]
vmware社の下記サイトに情報が公開されています
-VMSA-2018-0012
VMware vSphere, Workstation and Fusion updates enable Hypervisor-Assisted Guest Mitigations for Speculative Store Bypass issue.
https://www.vmware.com/security/advisories/VMSA-2018-0012.html
[Linux(RHEL)]
Red Hat社の下記サイトに情報が公開されています
- Kernel Side-Channel Attack using Speculative Store Bypass - CVE-2018-3639
https://access.redhat.com/security/vulnerabilities/ssbd
[Linux(SUSE Linux)]
SUSE社の下記サイトに情報が公開されています
- Security Vulnerability: Spectre Variant 4 (Speculative Store Bypass) aka
https://www.suse.com/support/kb/doc/?id=7022937
＜2018年1月に公表された脆弱性（CVE-2017-5715、CVE-2017-5753、CVE-2017-5754）への対応方法＞
[Windows]
Microsoft社の下記サイトに情報が公開されています（＊１、＊２）
- 投機的実行のサイドチャネルの脆弱性を緩和するガイダンス
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV180002
ホストOSだけではなくゲストOSにも適用する必要があります。
Internet ExplorerやSQL Serverなど、アプリケーションに対しても、アップデートの適用をお願いします。
（＊１）アップデートを適用するためには、セキュリティ対策ソフトウェアが予め対応している必要があります。ご使用のソフトウェアが対応していることを確認した上での適用をお願いいたします。
https://support.microsoft.com/ja-jp/help/4072699
（＊２）修正モジュールが提供されていない、Windows Server 2008/2012の対応については、現在マイクロソフト社に確認中です。
[VMWare]
vmware社の下記サイトに情報が公開されています
- VMSA-2018-0002.3
VMware ESXi, Workstation and Fusion updates address side-channel analysis due to speculative execution.
https://www.vmware.com/security/advisories/VMSA-2018-0002.htm
[Linux(RHEL)]
Red Hat社の下記サイトに情報が公開されています
- Kernel Side-Channel Attacks - CVE-2017-5754 CVE-2017-5753 CVE-2017-5715
https://access.redhat.com/security/vulnerabilities/speculativeexecution
■アップデートの影響について
今回のアップデートを適用することにより、お客様の運用環境によっては性能への影響が生じる可能性があります。運用環境への影響を考慮した上で、適用をお願いします。
