趣味でつながる、仲間ができる、大人世代のSNS、趣味人倶楽部(しゅみーとくらぶ)

よくあるご質問

CPUに脆弱性、Windows用のセキュリティパッチが緊急公開/アンチウィルスソフトとは互換性が無く、Windows Updateから適用不可となる場合も!/その場合、パッチファイルに依る強制適用を行うと、ブルースクリーン(BSoD)エラーでWindowsが起動不可となる!/本セキュリティパッチと競合しない様に、アンチウィルスソフトを更改する必要がある!/スマホやタブレットやMac PCへも影響!

[投稿者コメント]

 米MSは1月3日(現地時間)に、Windows向けのセキュリティ更新プログラムを公開した。本更新プログラムはGoogleの「Project Zero」が公表したCPUの脆弱性への対処を含んだものだが、扱いには注意が必要と云う事だ。

 つまり、下記の[以下転載1]に示す様に、アンチウィルスソフトに依っては、本更新プログラム(KB4056892)と競合する場合があり、その場合は、Windows Updateのセキュリティパッチの(KB4056892)が適用されない。強引に、パッチファイルから、強制適用すると、ブルースクリーン(BSoD)エラーでWindowsが起動不可となり、PC破壊に至ると云う。

 従って、Windows Updateのセキュリティパッチの(KB4056892)が適用されない場合は、使用しているアンチウィルスソフトとの競合を回避する為にはソフトの更新・更改が必要となるので、アンチウィルスソフト・ベンダーのホームページ等の情報を参照頂きたい。

 具体的な、本脆弱性の内容・詳細については、下記の[以下転載2]を参照頂きたい。

 今回の脆弱性は、「Spectre」と「Meltdown」と名付けられており、これらの脆弱性を突くハッキング攻撃で、プロセッサが処理するパスワードや暗号データ等の機密情報が外部に丸裸にさらされてしまうと云う深刻なものだ。

 今回の脆弱性を突く攻撃では、攻撃用の悪性ソフト=マルウェアを感染させる必要があるから、対処方法として有効なものは、①導入しているOS、ブラウザ、アプリを常に最新版にする、②信頼出来るメジャーなアンチウィルスソフトを導入して常に最新版にする、③フィッシングメール・成りすましメールに留意して、添付ファイルやURLをクリックしない、④不審サイトにアクセスして不用意にダウンロードしない、⑤セキュリティ情報や、アンチウィルスソフト・ベンダーのサイトの情報に留意する等である。

 尚、今回の脆弱性は、Intel、Arm、AMD等の主だった、プロセッサメーカーのCPU製品に及ぶので、Windows PC及びタブレットだけでなく、Android及びiPhoneスマホ、iPad及びAndroidタブレット、Mac PC等の殆ど全てのIT端末に影響する点にも留意すべきだ。


[以下転載1]

https://forest.watch.impress.co.jp/docs/news/1099690.html
「「投機的実行」機能を備えるCPUに脆弱性、Windows向けのセキュリティパッチが緊急公開/
ウイルス対策ソフトと互換性には注意」
                    樽井 秀人 2018年1月5日

添付図_Windows 10 バージョン 1709向けのセキュリティ更新プログラム「KB4056892」

 米Microsoftは3日(現地時間)、Windows向けのセキュリティ更新プログラムを公開した。本更新プログラムはGoogleの“Project Zero”が公表したCPUの脆弱性( https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html )への対処を含んだものだが、扱いには注意が必要だ。

 本脆弱性は“Meltdown(CVE-2017-5754)”“Spectre(CVE-2017-5753、CVE-2017-5715)”と呼ばれており、CPUの“投機的実行”機能に起因するという。“投機的実行(speculative execution)”とは、空いているリソースを活用して条件分岐の先をあらかじめ実行すること。CPUを高速化する手法の一つで、最近のCPUならばごく当たり前に実装されているものだが、サイドチャネル攻撃(物理的観察によりデータを盗み出す手法)により本来アクセスできないはずのデータを取得できてしまうという欠陥があるという。同一ホスト上の他の仮想マシンのデータへアクセスできる可能性があるため、仮想技術に依存するクラウド環境では特に深刻だ。

 “Meltdown”の影響範囲は1995年以降のIntel製CPUとされているが、他社製CPUに影響する可能性も否定できない。また、“Spectre”はIntel/AMD/ARM製CPUで実証されており、スマートフォンを含む多くのシステムに影響が及ぶという。

 本脆弱性を根本的に解決するためにはハードウェアの交換が必要となるが、修正プログラムの導入により攻撃のリスクを低減させることはできるようだ。Windowsでは以下のセキュリティ更新プログラムが提供されており、現在“Windows Update”などから入手できる。

Windows 10 バージョン 1709(KB4056892)
https://support.microsoft.com/ja-jp/help/4056892/windows-10-update-kb4056892

Windows 10 バージョン 1703(KB4056891)
https://support.microsoft.com/ja-jp/help/4056891/windows-10-update-kb4056891

Windows 10 バージョン 1607, Windows Server 2016(KB4056890)
https://support.microsoft.com/ja-jp/help/4056890/windows-10-update-kb4056890

Windows 8.1, Windows Server 2012 R2(KB4056898)
https://support.microsoft.com/ja-jp/help/4056898/windows-81-update-kb4056898

Windows 7、Windows Server 2008 R2(KB4056897)
https://support.microsoft.com/ja-jp/help/4056897/windows-7-update-kb4056897

 ただし、本更新プログラムは一部のウイルス対策ソフトと互換性がないので注意。最悪の場合、ブルースクリーン(BSoD)エラーが発生し、Windowsが起動できなくなる恐れがある。本更新プログラムは“Microsoft Update カタログ”などからも入手できるが、“Windows Update”から適用できない場合は互換性が確認されていない可能性も考えられるので、導入は慎重に行う必要があるだろう。同社はウイルス対策ソフトのベンダーと協力しながら、すべての顧客ができるだけはやく更新プログラムを入手できるよう改善に取り組むとしている。


関連リンク:
Meltdown and Spectre
https://meltdownattack.com/

ADV180002 | Guidance to mitigate speculative execution side-channel vulnerabilities
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

Important information regarding the Windows security updates released on January 3, 2018 and anti-virus software
https://support.microsoft.com/en-us/help/4072699/important-information-regarding-the-windows-security-updates-released


関連記事:
Mozilla、「Firefox」v57.0.4を公開 ~CPU脆弱性“Meltdown”“Spectre”へ対策、2018年1月5日
https://forest.watch.impress.co.jp/docs/news/1099704.html

Google、CPU脆弱性“Meltdown”“Spectre”の緩和策を「Google Chrome 64」へ導入、2018年1月5日
https://forest.watch.impress.co.jp/docs/news/1099729.html

ーーー

[以下転載2]

https://japan.cnet.com/article/35112771/
「プロセッサの脆弱性「Spectre」と「Meltdown」について知っておくべきこと」
      Laura Hautala (CNET News) 翻訳校正:編集部 2018年01月05日

 プロセッサは、普段はその存在すら気に留めないが、あらゆるコンピュータデバイスを稼働させるために不可欠なものだ。従って、そのプロセッサに深刻な脆弱性が見つかったことは一大事だ。「Spectre」と「Meltdown」と名付けられたこれらの脆弱性は、ハッキング攻撃に対してプロセッサを無防備にしてしまう。

 コンピュータ上のすべてのプロセスを実行する作業の一環として、プロセッサは極秘データを処理する。例えば、パスワードや暗号鍵など、コンピュータの安全を守るための基本的なツールだ。

 米国時間1月3日に公開された脆弱性を悪用すると、攻撃者は本来アクセスできないはずのパスワードや暗号鍵などの情報をプロセッサから入手できてしまう。それが、コンピュータのプロセッサへの攻撃が重大なセキュリティ問題になり得る理由だ。

 では、なぜこのようなことが起きたのだろうか。また、Intel、Arm、AMDなどのプロセッサメーカー(および、これらのメーカーが提供するプロセッサを製品に採用している企業)はこの問題にどう対処するのだろうか。今あなたが知っておくべきことをまとめた。

■どのような脆弱性なのか

 セキュリティ研究者らが発見したこれら2つの重大な脆弱性は、攻撃者がプロセッサから読み取れないはずの機密情報を読めるようにするものだ。2つとも、プロセッサが一時的にチップ外で読み取り可能にする機密情報を攻撃者に提供してしまう。

 プロセッサは基本的に、プロセスを高速化するためにコンピュータが次の機能を実行する上で必要な情報を予測する。これは「投機的実行」と呼ばれる動作で、この推測の段階で一時的に機密情報にアクセスしやすくなる。

 1つめの脆弱性、Spectreを悪用することで、攻撃者はプロセッサに投機的実行プロセスを開始させることができる。すると、プロセッサがコンピュータが次に実行する機能を推測するために機密データを有効にし、攻撃者はこれを読めるようになる。

 2つめの脆弱性、Meltdownは、「Windows」や「Mac」などのOSを通じて機密情報にアクセスできるようにする。Microsoftは3日、Windowsへの影響を緩和するセキュリティアップデートをリリースした。Appleは4日、「macOS」「iOS」「tvOS」向けに対策のアップデートをリリースした。また、数日中に「Safari」ブラウザ向けの修正も予定している。同社は今後も各OSへのアップデートを通じて対策を続けていくとしている。

 セキュリティ専門家はこれらを「サイドチャネル攻撃」と呼ぶ。コンピュータ上の正当なプロセスが使っている情報にアクセスするからだ。

添付図1_提供:James Martin/CNET

■影響を受けるのはどのプロセッサか?

 Intel、Arm、AMDが製造する幾つかのプロセッサが、1つあるいは複数の関連する攻撃の影響を受ける。複数の企業のプロセッサが影響を受けるのは、すべて同じ構造を採用しているからだ。これらのプロセッサはApple、Google、Microsoft、Amazonをはじめとする複数の企業の製品に搭載されている。

 その上、これらの脆弱性が影響するのはPCだけではない。Meltdownは、世界の主なクラウドサービスのバックボーンとして使われているサーバにも影響する。つまり、Amazon Web Services(AWS)やGoogle Cloud Platformのようなクラウドサービスもまた、この問題の影響を受ける。GoogleとAmazonは、それぞれ影響を受けるすべての製品を保護したと発表した。

■この問題はいつから存在したのか

 Googleのセキュリティチーム「Project Zero」の研究者と、別の学術機関の研究者らがこの問題を発見したのは2017年のことだが、問題自体はおそらく20年以上前から存在していたとされる。

 なぜなら、この問題はコンピュータのプログラムのバグによるものではなく、プロセッサの設計方法によるものだからだ。

 プロセッサは、コンピュータの次のプロセス実行の準備をする際、機密情報に簡単にアクセスできるようにするよう設定されている。つまり、プログラマがよく言うように、これは仕様であって、バグではないのだ。

■既に被害はあったのか?

 研究者、プロセッサメーカー、コンピュータ企業のいずれも、ハッカーがこれらの脆弱性を使ってコンピュータを攻撃した例はまだないとしている。だが、設計上の欠陥の詳細とそれらを悪用する方法が公開された今、ハッカーがこれを悪用する可能性ははるかに高まった。

 良い知らせは、脆弱性を使うにはハッカーは個々のコンピュータに悪意あるソフトウェアをインストールする必要があることだ。つまり、コンピュータの機密情報を盗むために攻撃を仕掛ける前に、まずターゲットを選び、1台ずつソフトウェアをインストールしなければならないということだ。

■自己防衛のためにできることは?

 プロセッサメーカーやコンピュータメーカーがソフトウェアアップデートが配布されたら、それらをすぐにインストールすべきだ。また、ハッカーがこの脆弱性を利用するためにはあなたのコンピュータに悪意あるソフトウェアをインストールする必要があるのだから、それを阻止するために最善を尽くすべきだ。

 つまり、ウェブブラウザや(もしまだ使っているなら)「Flash」をはじめとする、コンピュータにインストールしてあるすべてのソフトウェアを最新の状態にしておくべきだ。その上で、セキュリティソフトを実行することで、自分のコンピュータに悪意あるソフトウェアが潜んでいないかを確認しよう。

 最後に、フィッシングメールに注意しよう。リンクをクリックさせて悪意あるソフトウェアをダウンロードさせるフィッシングメールは、いまだにハッカーが被害者のコンピュータに侵入するために使う手口のナンバーワンだ。


この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。


あなたにおすすめの記事:
インテル、CPUに影響する脆弱性「Meltdown」「Spectre」対策でパッチを公開、2018年01月05日
https://japan.cnet.com/article/35112769/

プロセッサの脆弱性は全てのMacとiOS機器に影響--アップル、対策を公表、2018年01月05日
https://japan.cnet.com/article/35112791/

プロセッサの脆弱性「Spectre」と「Meltdown」について知っておくべきこと、2018年01月05日
https://japan.cnet.com/article/35112771/

Trend Micro Endpoint Sensor:エンドポイントでの調査や対応の迅速化を支援、2017年12月26日
https://japan.techrepublic.com/article/35112440.htm

カテゴリ:インターネット・デジタル

コメント

コメントはログインすると見られるようになります。