Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

セキュリティ機能を回避する「GLitch」攻撃が明らかに - 一部スマホでPoCが動作

スマートフォンなどの機器において、ブラウザ利用中にセキュリティ機能がバイパスされるあらたな脆弱性が判明した。攻撃手法は「GLitch」と名付けられている。

スマートフォンをはじめ、CPUとGPUが同じメモリを共有するプラットフォームにおいて、グラフィックAPIである「WebGL」を利用することでセキュリティ機能のバイパスが可能となる脆弱性「CVE-2018-10229」が明らかになったもの。

論文を発表したアムステルダム自由大学の研究グループは、攻撃手法を別名「GLitch」と命名した。

同攻撃では、ウェブサイトの閲覧者にブラウザから「WebGL」を利用させ、高い精度を持つ「WebGL」のタイマーを利用したサイドチャネル攻撃と、特定した物理的なメモリレイアウトから、DRAMメモリの設計やプロセス上の問題によってメモリのビットを反転させ、エラーを発生させる「Rowhammer」攻撃を組み合わせることで実現したという。

(Security NEXT - 2018/05/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

Apple、「iOS 12.4」をリリース - 脆弱性36件を修正
「VLCメディアプレイヤー」に深刻な脆弱性 - パッチは未提供
eコマースやRSSなどWordPress向けプラグイン2種に脆弱性
Oracle、四半期ごとの定例パッチを公開 - 脆弱性319件に対処
「LLVM」の「Armバックエンド」でスタック保護が機能せず
「Drupal 8.7.4」に脆弱性 - 手動作業ともなう更新必要
「Windows Defenderアプリ制御」に脆弱性 - 定例外アップデートをリリース
DNSサーバ「Knot Resolver」に複数脆弱性 - 更新がリリース
Atlassian製PMツール「Jira Server」に深刻な脆弱性 - リモートよりコード実行のおそれ
「Chrome 75.0.3770.142」がリリース、脆弱性2件に対処