Intelプロセッサに新たな脆弱性「Downfall」が見つかる 影響範囲広く注意

Intelのプロセッサに情報漏えいを引き起こす危険がある脆弱性「Downfall」が見つかった。同プロセッサはサーバ市場で70％以上のシェアを占めていることから、インターネットを使用する全てのユーザーが影響を受ける可能性がある。

[後藤大地，有限会社オングス]

　Intelは2023年8月8日（現地時間）、同社のプロセッサに情報漏えいの脆弱（ぜいじゃく）性が存在すると報告した。この脆弱性は「CVE-2022-40982」で特定され「Downfall」という名称が付けられている。これを悪用されると同じプロセッサを利用する他のユーザーに機密情報が窃取されるリスクがある。

Intelのプロセッサに新たな脆弱性「Downfall」が見つかった（出典：IntelのWebサイト）

Intelのプロセッサに見つかった新たな脆弱性「Downfall」とは？

　Downfallについての詳細は「こちらのページ」にまとまっている。通常、Intelプロセッサはプログラムに対してアクセスできる領域を制限している。だが、メモリアクセスを高速化することを目的としたGather命令が投機的実行中に内部ベクトルレジスタファイルの内容を漏えいすることが明らかになった。この脆弱性を利用することで本来アクセスできない他のプログラムが使用するデータにアクセスできるようになり、結果的に他人の機密情報を窃取するといった操作が可能になるとされている。

　IntelはDownfallの深刻度を共通脆弱性評価システム（CVSS）v3.1のスコア値で6.5としており深刻度は「警告」に位置している。深刻度はそこまで高くないが、影響範囲の広さが懸念される。Intelのプロセッサはサーバ市場において70％以上のシェアを占めていることから、インターネットを使用する全てのユーザーが影響を受ける可能性がある。

　具体的にはIntelの第6世代から第11世代までを含むIntel Coreプロセッサに基づくコンピューティングデバイスが影響を受ける。影響を受けるプロセッサのリストは「Affected Processors: Transient Execution Attacks & Related Security...」で確認できる。Intelはアップデートで対処するよう推奨している。

　その他、Downfallの懸念点はこれを利用したサイバー攻撃の検出が難しいことにある。サイバー攻撃を受けていても気が付けず、長期にわたってデータ窃取が継続される可能性がある。対象となるデバイスも数十億プロセッサと膨大で、多くのデバイスがアップデートを受けることなく脆弱性が存在したままとなる可能性がある。

　Downfallはこれまでに「Meltdown」や「Fallout」という名称で知られているプロセッサの脆弱性と類似するものであり、その最新版と言える。今後この脆弱性を悪用した活動がどの程度実施されることになるのか動向が注目される。