p>この記事では、最新のCPU脆弱性である Meltdown と Spectre を紹介し、それらを修正する現在の解決法について説明する。
Google Project Zeroと多くの研究者が、ほとんどのデスクトップおよびモバイルデバイスのセキュリティに影響を与える2つのハードウェアの欠陥を発見し、利用可能にした。MeltdownとSpectreと呼ばれるこの脆弱性は、CPUの「投機的実行」を使用することで意図しないプロセスに仮想メモリを利用できるようにするもので、仮想メモリを所有していないプロセスがデータを読み取る可能性がある。これは低レベルハードウェアの問題であり、Intel、AMD、およびARM CPUの多くのモデルに影響を与える。この問題は、昨年6月にGoogleによって各プロセッサメーカーに報告されていた。
Meltdownにより、あるプロセスがOSのカーネルメモリの一部にアクセスし、機密データを公開することができてしまう。 Spectreはあるプロセスが他のプロセスのメモリ空間にアクセスすることを可能にし、データを読み取りに対し脆弱なものにする。Meltdownは、Intelプロセッサの1995年以降のモデルに遡る可能性のあるアウト・オブ・オーダー実行に影響を及ぼす。研究者は、2011年以降のモデルに遡るいくつかのIntelプロセッサでテスト攻撃を実行している。特定のARMプロセッサは、この欠陥の亜種に対して脆弱であり、特定CPUレジストリの内容を他のプロセスで利用できてしまう。AMDプロセッサはMeltdownの影響を受けていないようである。Spectreは、主要なCPU（AMD、ARM、Intel）すべてに影響を与える。これらの脆弱性とそれを悪用するために必要なことの詳細については、Google Project Zeroのこの記事と、Meltdown（PDF）およびSpectre（PDF）の調査論文を読むことを勧める。
これらの脆弱性は重大とみなされている。Linux、MacOS、Windowsなど、使われているほとんどのOSが影響を受ける。AppleのiOSとtvOS（ただしwatchOSは除く）と同様、Androidも影響を受ける。根本的な解決策は、CERTが言及しているように、システムのCPUを脆弱性を示さないものに置き換えることである。これは事実上不可能であるため、ソフトウェアによる解決策が導入されたか、または作業中である。問題は、これらの修正がパフォーマンスに悪影響を与えているらしいことである。影響は最悪で30%に達するとも評価されている。Intelは、パフォーマンスの低下は「ワークロードに依存するもの」であり、「平均的なコンピュータユーザーにとっては重要ではなく、時間の経過とともに緩和される」と述べた。
Intelはまた、OSメーカーにソフトウェアとファームウェアの修正を提供したと述べた。AMDはセキュリティ速報を掲載し、その中で、脆弱性の概要、どの脆弱性がAMDのプロセッサを搭載したシステムに影響を及ぼすか、OSベンダーから提供される修正、そしてパフォーマンスに小さな影響があるであろうことを通知した。ARMも独自の速報を掲示し、どのプロセッサが影響を受けているのか、またその問題に対処する方法について説明した。
Microsoftは来週、標準的な更新メカニズムを通じてアップデートを発行する予定である。Linuxでは、32ビットカーネル用のパッチは公開済みだが、64ビット／ARMの作業は進行中である。Appleは声明を出し、iOS 11.2、macOS 10.13.2、およびtvOS 11.2でのMeltdownの軽減策をリリースしたと語った。また、以下のように語った。
公開ベンチマークによるテストでは、2019年12月のアップデートの変更により、GeekBench 4ベンチマークやSpeedometer、JetStream、ARES-6などの一般的なWebブラウジングベンチマークで測定されたmacOSとiOSのパフォーマンスが大幅に低下することはなかった。
Spectreに関して、Appleは以下のように述べている。
これらの技術を分析すると、MacやiOSデバイス上でローカルに実行されているアプリケーションであっても、Webブラウザで実行されるJavaScriptで潜在的に悪用される可能性があることが明らかになった。AppleはmacOSやiOS上でSafariのアップデートを公開し、これらの攻撃手法を軽減する予定である。今回のテストでは、Safariの今後の緩和策ではSpeedometerとARES-6のテストには大きな影響はなく、JetStreamのベンチマークに2.5％未満の影響があることが示されている。私たちはSpectre技術のためにオペレーティングシステム内のさらなる緩和策を開発してテストし続け、iOS、macOS、tvOS、およびwatchOSの今後のアップデートでそれらをリリースする。
クラウドベンダーに関して、Amazonが述べたことによれば、AWSのシステム上で実行されているほとんどのインスタンスが保護されており、残りの一部は早急に対処される。 Microsoft曰く、Azureの大部分の顧客は保護されており、一部の顧客は1月10日にインスタンスが再起動されるという通知をすでに受け取っているとのことである。Googleは自社のクラウドシステムにパッチを適用済みで、独自のイメージを使用している顧客だけがそれを更新する必要があると述べた。Xenはハイパーバイザー向けにパッチをリリースした。アプリケーションレベルに関して、Googleは、ユーザーに対しChromeのサイト分離を使用するように指示している。なお、これはFirefoxでも利用可能な機能である。 MicrosoftはEdgeとIE 11の脆弱性を回避するパッチ（KB4056890）を公開した。2018年1月のAndroidセキュリティ速報では、Googleが自社のモバイルOSにおいてこの問題に対処した方法について詳しく説明されている。 速報によれば、パートナーは1ヶ月前にこの件を通知されており、AOSPは近いうちにパッチを適用される。
Googleは、関連する攻撃が使われている痕跡を現在のところ認識していないと述べたが、未検証の攻撃コードは公開されている。