「Spectre」「Meltdown」と類似した脆弱性2件が判明 - 数週間以内に更新予定

投機的実行を行うプロセッサにおいて、キャッシュサイドチャネル攻撃が可能となる「Meltdown」「Spectre」と類似したあらたな脆弱性2件が存在することがわかった。

今回あらたに「Variant 3a」とされる脆弱性「CVE-2018-3640」、「Variant 4」とされる脆弱性「CVE-2018-3639」が明らかとなったもの。

投機的実行のシーケンスを利用し、キャッシュタイミングにおいてサイドチャネル攻撃が可能となるもので、プロセッサメーカーやセキュリティ機関がアナウンスを行った。

これまで「Spectre」の「Variant 1」として「CVE-2017-5753」、「Spectre」の「Variant 2」として「CVE-2017-5715」、「Meltdown（Variant 3）」として「CVE-2017-5754」が判明しているが、あらたな脆弱性はこれらと類似。「CVE-2018-3639」に関しては、「SpectreNG」という別名もついている。

（Security NEXT - 2018/05/22 ） ツイート

PR

関連記事

ウェブメールクライアント「Roundcube」に深刻な脆弱性 - アップデートを強く推奨
不正ファイルでDBアクセス可能に - グラントマトが追加報告
メール誤送信でボランティア参加者のメアド流出 - 富山県
Zoomに複数脆弱性、クライアントやSDKなど広く影響
生徒や教員の情報含むPCが盗難、HDDは暗号化済み - 広島大付属中
「一斉送信機能」がメール誤送信の原因に - 諏訪市
サイトが侵害被害、検索サイト経由で無関係サイトにリダイレクト - 宝塚大
VPN製品「Pulse Connect Secure」にDoS攻撃受けるおそれ - アップデートで修正
サプライチェーンのセキュリティ評価サービスを機能強化 - NRIセキュア
「baserCMS」の管理画面に複数の脆弱性 - アップデートで修正