AMDの欠陥が認識される

CTS-Labsは1週間ほど前にいくつかのAMDの欠陥を公表しました。脆弱性の開示情報に定期的に目を通すわたしたちにとっては、この公表は気になりました。公式のウェブサイトには実際の技術詳細がまったく記されていないだけでなく、AMDとの調整に関する情報もありません。この開示には、次のような奇妙な法的免責事項も含まれていました:

「この報告書で表明されている意見は投資アドバイスではなく、いかなる種類の投資アドバイスや勧告ともみなされるべきではありません」。1

実際、Trail of Bitsは一歩踏み出て、CTS-Labsの発見の正確性を再評価し、確認するためにCTS-Labsから支払いを受けたことを認めています。それがなかったとしたら、そもそもこの件が重く受け止められることはなかったでしょう。

しかし今朝、AMDはCTS-Labsが報告している脆弱性に対する詳細な見解を公表しました。パッチは公開されていないものの、これらの脆弱性とお客様のエクスポージャーが深刻なものであることを一層よく理解できるようになりました。

脆弱性の詳細

ウェブサイトや多くのニュース記事ではこの開示以降、大々的に取り上げられているものの、わたしたちの評価では、AMDの脆弱性は過剰に伝えられ、SpectreとMeltdownほど重大ではないと考えています。これら2つの欠陥は、次の2つの理由によって懸念されています。1つ目は、プロセッサーの設計に根本的な欠陥があるという点です。2つ目は、これらの脆弱性が、不正なリモート攻撃によって悪用される可能性があるという点です。たとえば、Spectreのホワイトペーパーでは、JavaScript概念実証について具体的に言及しています。

影響の評価

CHIMERA-HWを除いて、取り上げられているすべてのAMDの欠陥は、ファームウェアの問題です。ハードウェアの欠陥を軽減するよりも、ファームウェアの問題にパッチを適用するほうがはるかに容易です。これまでのようにAMDが比較的早い時期にファームウェア修正を出す可能性があります。CHIMERA-HWに関しては、ハードウェアレベルにおける脆弱性であると考えられます。CTS-Labsはこれを「製造元バックドア」と呼んでいます。これは単に、故意ではない設計ミスの可能性が高いです。

普及率

この脆弱性について考慮する必要がある別の面は、AMDの普及率にあります。MeltdownとSpectreが大事になった1つの原因は、実にさまざまなプロセッサーに影響を及ぼしたためでした。AMDはCPU市場シェアの約20%を占有しており、これらの脆弱性の影響を受ける可能性があるのはその一部であると表明しています。

緊急措置は不要

これらの脆弱性は歓迎できるものではありませんが、おそらく眠りを妨げるほどのものでもありません。AMDは「今後数週間で」ファームウェア更新と軽減策を準備すると報告しています。CTS-Labsによる調整努力が足りなかった現状では、最善と思われます。

Tenableでは、これらの問題を特定するための新たなプラグインを鋭意調査しています。これまで同様、十分信頼できるユーザーにのみ管理者アクセスを許可することは、これらの脆弱性からすべてのユーザーを保護するのに大いに役立ちます。