Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

セキュリティ機能を回避する「GLitch」攻撃が明らかに - 一部スマホでPoCが動作

スマートフォンなどの機器において、ブラウザ利用中にセキュリティ機能がバイパスされるあらたな脆弱性が判明した。攻撃手法は「GLitch」と名付けられている。

スマートフォンをはじめ、CPUとGPUが同じメモリを共有するプラットフォームにおいて、グラフィックAPIである「WebGL」を利用することでセキュリティ機能のバイパスが可能となる脆弱性「CVE-2018-10229」が明らかになったもの。

論文を発表したアムステルダム自由大学の研究グループは、攻撃手法を別名「GLitch」と命名した。

同攻撃では、ウェブサイトの閲覧者にブラウザから「WebGL」を利用させ、高い精度を持つ「WebGL」のタイマーを利用したサイドチャネル攻撃と、特定した物理的なメモリレイアウトから、DRAMメモリの設計やプロセス上の問題によってメモリのビットを反転させ、エラーを発生させる「Rowhammer」攻撃を組み合わせることで実現したという。

(Security NEXT - 2018/05/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Samba」に5件の脆弱性 - 制御奪取や情報漏洩のおそれ
LinuxカーネルのIPフラグメント処理に脆弱性 - DoS攻撃受けるおそれ
MS、8月の月例パッチ公開 - 脆弱性2件でゼロデイ攻撃
「IKEv1 PSK」のメインモード、オフラインで総当たり攻撃受けるおそれ
Intelチップに脆弱性「Foreshadow」 - クラウドVM間で情報漏洩のおそれも
VMware、脆弱性「Foreshadow」向けにパッチを用意 - 緩和策も
セキュリティアップデート「OpenSSL 1.1.0i」「同1.0.2p」がリリース
「OpenSSL」のRSA鍵生成時に秘密鍵取得されるおそれ - 次期更新で修正予定
7月のパッチ未適用「Oracle Database」利用者に注意喚起 - Oracle
「Adobe Flash Player」のアップデートがリリース - 脆弱性5件を解消