概要 #

Intel は最近、一部のプロセッサとファームウェアの実装と設計に影響を及ぼす一連の脆弱性を公開しました。この脅威はデバイスからサーバー プラットフォームにまで影響を及ぼします。

次のセクションでは、これらの脆弱性がデータセンター内のネットワーク デバイスとサーバー ベースのインフラストラクチャにどのように影響するかについて説明します。

Intel ファームウェアの脆弱性 #

これらの脆弱性のリスクに対処するために、Intel は、システム管理者とセキュリティ管理者がこれらの脅威に対処できるように、いくつかのリソースを提供する推奨事項を公開しました。

Intel-SA-00086 セキュリティレビュー
Intel-SA-00086 サポート記事
Intel-SA-00086 検出ツール

上記の指摘事項を読み、各ベンダーが提供しているファームウェアアップデートを適用することで、これらの脆弱性を悪用する将来の攻撃に備え、安全なインフラストラクチャを維持することをお勧めします。

これらの脆弱性がデータセンターのネットワーク インフラストラクチャにどのような影響を与えるかについては、次の前提をまとめることができます。

1. これらの脆弱性は、ほとんどの Intel プロセッサに影響を及ぼし、いずれかによって影響を受ける可能性があります。
2. これらの脆弱性は権限昇格の脅威に基づいているため、任意のコードを実行するにはオペレーティング システムへのローカル アクセスが必要です。または、少なくともこれらの脆弱性を利用するには管理者としてリモート アクセスする必要があります。
3. ベンダーが提供するファームウェア アップデートを適用し、Intel Management Engine (Intel ME)、Intel Trusted Execution Engine (Intel TXE)、Intel Server Platform Services (SPS)、および Intel ATM のサービスを可能であれば無効にする必要があります。
4. 管理ネットワークを分離してオペレーティング システムへのローカルおよびリモート アクセスを強化し、ユーザーまたはプロセスによるオペレーティング システムへのアクセス権限を回避します。
5. これは、仮想またはハードウェア プラットフォーム、オンプレミスまたはクラウド環境、さらにはマイクロサービスにも影響を及ぼします。すべてのレイヤーでこの脅威からの保護に注意する必要があります。

カーネルメモリリークの脆弱性またはIntel CPUのバグ #

Intel CPU は、マイクロコードの更新では修正できない、OS レベルですべて (Windows、Linux、macOS) に影響を与える重大なチップレベルのセキュリティ バグの影響を受けています。

カーネルメモリリークの脆弱性とは、ユーザー空間プログラム（データベース、JavaScript、Webブラウザなど）が、オペレーティングシステムで指定された仮想メモリ境界を越えることで、保護されたカーネルメモリ内の特定のコンテンツに不正にアクセスできるという問題です。OSレベルでの対策としては、カーネルページテーブル分離（KPTI）を実装し、カーネルメモリがユーザープロセスから見えないようにすることが挙げられます。

しかし、これは完璧な世界ではないため、このパッチによって適用されるセキュリティ強化により、ユーザー プログラムのパフォーマンスが約 30% 低下します。また、速度低下は、ワークロードと、カーネルとユーザー空間プログラム間の I/O 集中使用率に大きく依存します。データ センター内のネットワーク機能の特定のケースでは、タスクが明確で、SSL オフロード、コンテンツ切り替えなどのレイヤー 7 集中機能があっても、データ処理が多すぎないため、それほど重大ではありません。

この脆弱性は、主にプログラムまたはログインしたユーザーによって悪用され、カーネルのメモリのデータ内容を読み取ることができます。そのため、仮想化、マイクロサービス、クラウド システムなどのリソース共有環境が影響を受け、悪用される可能性が高くなります。

OS レベルでの決定的なパッチが提供されるまで、これまでのセクションで設定した予防策で今のところは十分でしょう。

AMD は、自社のプロセッサがこの脆弱性の影響を受けておらず、したがってパフォーマンスの低下も受けていないことを確認しました。

メルトダウンとスペクター攻撃 #

Meltdown 攻撃と Spectre 攻撃は、CPU キャッシュをサイドチャネルとして使用して実行された CPU 命令から情報を抽出する機能を利用する、いくつかの CPU ハードウェア実装で見つかったサイドチャネル脆弱性を指します。現在、これらの攻撃にはいくつかのバリエーションがあります。

バリアント1（CVE-2017-5753、 分光): 境界チェックバイパス
バリアント2（CVE-2017-5715、また 分光): 分岐ターゲット注入
バリアント3（CVE-2017-5754、 メルトダウン): 不正なデータキャッシュのロード、カーネルメモリの読み取り後に実行されるメモリアクセス許可チェック

これらの攻撃に関する詳細な技術的説明は、http://www.kb.cert.org/vuls/id/584653を参照してください。

メルトダウンとスペクターの影響 RELIANOID ロードバランサー #

これらの脆弱性のリスクは RELIANOID ロードバランサが低い 攻撃者はオペレーティング システムにローカルでアクセスできる必要があり、ユーザー権限を利用して悪意のあるコードを実行できる必要があるためです。 RELIANOID Enteprise Edition は、ローカルの非管理者ユーザーがサードパーティ コードを実行することを許可しないネットワーク固有のアプライアンスであるため、このような事態が発生する可能性は低く、適切な管理方法で防止できます。

さらに、ロード バランサの管理ネットワークは通常プライベートであり、デフォルトでは管理ユーザー以外の追加ユーザーは存在しないため、リスクは低くなります。一方、パブリック仮想環境、コンテナ プラットフォーム、クラウド環境などのマルチテナント システムは、最大のリスクに直面する可能性があります。

攻撃を防ぐために、上記のセキュリティ推奨事項に従ってください。

現在、これらの脆弱性を完全に軽減するオペレーティング システム レベルのパッチがいくつかありますが、パフォーマンスに若干の副作用が生じます。弊社のセキュリティ チームは、アプリケーション配信サービスへの影響を最小限に抑えながら、このセキュリティの脅威をできるだけ早く軽減する確定的なパッチを提供できるよう取り組んでいます。

今後の情報は、公式サポートチャンネルを通じて提供されます。