Google の研究者が CPU の新たな脆弱性「Reptar」を発見

※この投稿は米国時間 2023 年 11 月 15 日に、Google Cloud blog に投稿されたものの抄訳です。

今年になって、ハードウェア システムの CPU（中央演算処理装置）に影響を及ぼす脆弱性が増加しています。その中でも特に有名なのが、Google の研究者が発見して 8 月に情報公開された Downfall（CVE-2022-40982）と Zenbleed（CVE-2023-20593）で、それぞれ、Intel CPU と AMD CPU に影響を及ぼします。

この傾向が今後いっそう強まっていくことは明らかで、この種の脆弱性を放置すると、膨大な数の PC やクラウド上のコンピュータに影響が及ぶ恐れがあります。

今回の投稿では、CPU の新たな脆弱性である Reptar（CVE-2023-23583）について解説します。Reptar は、パソコン、モバイル機器、サーバーに搭載された Intel の一部の CPU に影響を及ぼします。このたび、Google の情報セキュリティ エンジニアリング チームからの報告を元に、Intel が Reptar に関する情報を公開しました。なお、Google、Intel、業界パートナー各社の連携により、この脆弱性への対策はすでにリリースされており、Google 社員とお客様は適切に保護されています。

Google による Reptar の発見から対応まで

Google のセキュリティ研究者が、CPU に関連する脆弱性を発見しました。この脆弱性は、冗長なプレフィックスを CPU が解釈する仕組みに関係するもので、悪用されると、CPU のセキュリティ境界が回避される恐れがあります。プレフィックスは、命令の実行時に一部の機能の有効、無効を切り替える役割を果たします。プレフィックスの細かなルールは複雑ですが、一般的に、特に意味のないものや他のプレフィックスと競合するものを指して、冗長なプレフィックスと呼んでいます。通常、このような冗長なプレフィックスは無視されます。

この脆弱性の影響が出るのは、マルチテナントの仮想化環境で不正利用された場合です。具体的には、ゲストマシン上で脆弱性を利用した不正プログラムがホストマシンをクラッシュさせると、同じホスト上で実行されている他のゲストマシンに対するサービス拒否攻撃が発生します。また、意図しない情報漏洩や権限昇格を引き起こす危険性もあります。

この脆弱性の技術的な詳細については、研究者のブログをご覧ください。

この脆弱性を発見できた Google のセキュリティ チームは、責任をもって Intel に報告しました。さらに、業界パートナーとの連携で対策の特定とテストに成功し、すべてのユーザーが脆弱性から守られるように迅速に対処しました。具体的には、Google の対応チームが脆弱性への対策をシステムに展開し、Google Cloud や ChromeOS のユーザーをはじめとするお客様への被害を未然に防いでいます。

他社との連携と、ハードウェアのセキュリティ確保に向けた Google の取り組み

Reptar、Zenbleed、Downfall が示すように、コンピューティング ハードウェアやプロセッサの脆弱性が狙われやすい状態が続いています。ハードウェアの複雑化が進むにつれ、この傾向は強まる一方でしょう。こうした状況を受け、Google は CPU および脆弱性の調査に引き続き重点的に取り組んでいます。このような取り組みは業界パートナーとの密接な連携によって行われており、ユーザーの安全を守るとともに、脆弱性を特定して対策を講じ、被害を未然に防ぐために欠かせないものとなっています。

Google は、このようなサイバーセキュリティへの積極的な取り組みを今後も続けると同時に、各方面に協力を募り、より安全でレジリエントなテクノロジー エコシステムを構築していきたいと考えています。

-Google Cloud、バイス プレジデント / 最高情報セキュリティ責任者（CISO）Phil Venables