インテルやAMD製CPUに重大な脆弱性。PCやスマホなど広範囲に影響

2018年1月9日

「話のネタになる最新ITニュースまとめ」は、主に海外のIT業界で先週話題になったニュースを紹介する連載です。知っておいて損はない最新情報から、話のネタになりそうな事柄まで、さまざまなニュースをお届けしていきます。2018年初回は、年初からIT業界を騒然とさせているCPUの脆弱性に関するニュースをお届けします。

年明け早々に発覚したCPUの脆弱性「スペクター」と「メルトダウン」

2018年年明けからIT業界で大騒動となっているのが、インテルやAMD、ARM製のCPUに存在することが発覚した脆弱性に関するニュースです。この脆弱性は2種類あり、ほぼすべての近代CPUに影響をもたらすとのことで、大きな問題になっています。

2種類の脆弱性は発見した調査員により「Spectre（スペクター）」「Meltdown（メルトダウン）」と名づけられました

「スペクター」、そして「メルトダウン」と名づけられた2種類の脆弱性は、CPUのアーキテクチャー上に存在する欠陥です。年明け早々に、イギリスのIT系ニュースメディアのThe Registerによってその存在が報じられたのですが、このときはインテル製のCPUにだけ影響を及ぼすとされていました。しかし、報道の直後にGoogleのセキュリティチーム、Project Zeroが脆弱性に関する調査結果を公開し、インテルだけではなくARMやAMD製のCPUにも影響が及ぶことが明らかになりました。

Project Zeroによる調査報告

Googleの調査報告には「Variant1（CVE-2017-5753）」「Variant2（CVE-2017-5715）」「Variant3（CVE-2017-5754）」という3つの脆弱性について記述されています。「Variant1」と「Variant2」は「スペクター」、「Variant3」は「メルトダウン」に当たる脆弱性です。双方ともに、インテルがCPU性能向上のために導入した「投機的実行(Speculative Execution)」という技術を原因とすることが、調査により判明しました。

PCでプログラムを実行する際、CPUはOSから要求された複数の命令を順番に処理していくのですが、処理するたびにメモリー領域からデータを読み込む必要があります。さらに、命令は順番どおりに処理しないとエラーが出てしまう可能性があるため、データを読み込んでから命令を処理し次の命令へというプロセスをたどらないといけません。つまり、ひとつの命令を処理している間は、残りの命令が処理待機状態になっており、結果的にプログラムの実行速度が遅くなってしまうわけです。

これを解消すべく、インテルがCPUアーキテクチャーに導入した技術が「投機的実行」です。「投機的実行」には2種類あり、ひとつは特定の命令処理において、そこから枝分かれするような予測を行い、事前に処理する「分岐予測」です。簡単に言えば、入力されたデータに基づいて、処理されるであろう命令を予測し、先に処理しておくというものになります。

もうひとつは、順番どおりに処理すべき命令をランダムに処理する「アウト・オブ・オーダー」です。命令を順番どおりに実行しないと、整合性にエラーが出る可能性があるのですが、「アウト・オブ・オーダー」は整合性に影響が出ない命令を先に実行し、処理速度を向上させようというもの。もし、エラーが出たら「投機的実行」を行う直前まで戻る仕組みになっています。

今回明らかになった脆弱性は、この「投機的実行」のプロセスに起因します。

インテルおよびARM製CPUなど広範囲に影響を及ぼす「メルトダウン」

「メルトダウン」は「アウト・オブ・オーダー」に起因する脆弱性で、カーネルメモリーを含むメモリー領域にアクセスできてしまうというもの。データを書き換えられるような危険はありませんが、パスワードなど重要なデータを読み取られてしまう可能性があります。「メルトダウン」の影響が及ぶのは、1995年以降にリリースされたすべてのインテル製CPU（Itanium、Intel Atomを除く）およびARMの一部製品で、デスクトップやノートPCなど影響を受ける端末は広範囲にわたります。

「メルトダウン」は、OSの修正パッチをあてれば対策可能。すでにマイクロソフトやアップル、Googleなど各社がアップデートを配布しています。アップデートがまだの人は、早めに更新しましょう。

・アップル
アップルは12月に配布した各アップデート「macOS High Sierra 10.13.2」「iOS 11.2」「tvOS 11.2」で対策済み。

・マイクロソフト
2018年1月4日にWindows向けのアップデート「KB4056892」を配布済み。「Surface」シリーズが同アップデートを適用するには、「UEFIファームウェア」の更新が必要になり、まもなく利用可能になるとのこと。

・Google
Androidに関しては、セキュリティアップデートが1月1日より配布中。Androidはアップデートが自動で更新されるため、ユーザーが特に何かをする必要はありません。ただし、最新のスマートフォンでないとアップデートがなかなか届かない可能性もあります。

アプリケーションのアップデートが必要になる「スペクター」は非常に厄介

「スペクター」は、「メルトダウン」とは異なり「分岐予測」のプロセスに関する脆弱性です。アプリケーションの実行中に、別のアプリが任意のメモリー領域にアクセスすることを可能にしてしまいます。たとえば、ブラウザーの使用時に割り当てられたメモリー領域に、別のアプリケーションがアクセスし、メモリー領域に保存されているデータを盗み出す可能性があります。

「スペクター」が厄介なのは、OSではなくアプリケーションレベルでの修正が必要になるという点。そして、対象製品がインテル、AMD、ARMの近代CPUとされており、PCだけでなくスマートフォンまで影響を及ぼす可能性がある点です。根本的な解決は、CPUそのものを交換するしか方法がないとされていますが、各種アプリケーションにより対策が施されたアップデートが配布されています。使用しているアプリケーションの対応状況をこまめにチェックしてください。

アップルはSafariのアップデートを近日中に配信予定

「スペクター」「メルトダウン」の問題はしばらく続きそう

当初は、配布中のアップデートを適用することにより、処理速度の低下が心配されていましたが、一般ユーザーが使用するレベルでは、大幅な速度低下は起こらない模様。また、「スペクター」と「メルトダウン」を突いた攻撃は、現在のところ確認されていません。インテルは、今週中には影響を受けるCPUの約90％に修正が行き渡るとしており、事態は収束すると思われましたが、脆弱性の公表が遅れたことに対する集団訴訟がアメリカで発生。さらには、インテルのブライアン・クルザニッチCEOが、保有する自社株を2017年11月に売却していたことも明らかになり、専門家から疑惑の目を向けられており、「スペクター」「メルトダウン」の問題はしばらく続きそうな気配です。

ソース：Google、グラーツ大学、インテル、AMD、ARM

追記：2018/1/11

マイクロソフトが、配布中のアップデートを更新することによりPCのパフォーマンスが低下することを明らかにしました。パフォーマンスがどの程度低下するかは、CPUやWindowsのバージョンによって異なり、古いPCほど性能低下は顕著になっています。

・2016年にリリースされた、Skylake/Kabylake、もしくはKabylake以降の新しいCPUを搭載する「Windows 10」については、ベンチマークテストのスコアが若干低くなりましたが、ユーザーが気づくレベルのパフォーマンス低下はありません。

・2015年にリリースされた、Haswell以前のCPUを搭載する「Windows 10」については、ベンチマークのスコアが低くなり、いくつかのユーザーが気づくレベルのパフォーマンス低下が確認されています。

・2015年にリリースされた、Haswell以前のCPUを搭載する「Windows 7」「Windows 8」は、パフォーマンスの低下が顕著で、多くのユーザーが気づくレベルとのことです。

また、AMD製CPUを搭載する一部のPCで、アップデートのインストール後に再起動できないという問題が起こっています。この事態に、マイクロソフトは2018年1月3日～5日までに配布したアップデートを一時的に停止しています。