CPUの脆弱性 MeltdownとSpectreについてまとめてみた - piyolog

2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています。ここでは関連情報をまとめます。 脆弱性の概要 報告者が脆弱性情報を次の専用サイトで公開した。 Meltdown and Spectre (またはこちら) 3つの脆弱性の概要をまとめると次の通り。 脆弱性の名称 Meltdown Spectre CVE CVE-2017-5754（Rogue data cache load） CVE-2017-5753（Bounds check bypass） CVE-2017-5715（Branch target injection） 影響を受けるCPU Intel Intel、AMD、ARM CVSSv3 基本値 4.7(JPCERT/CC) 5.6(NIST) ←に同じ PoC 報告者非公開 論文中にx

[Iridium]

ローカルPCは(そもそも動いているプログラムが既知なので)あまり関係なさそうだけど、クラウドとかで複数の仮想環境があって自由にプロセス起動できるやつではヤバい感じになりそうな

[progrhyme]

毎度ありがたいまとめ

[honeybe]

ありがたい。

[sky-y]

回覧。最近発見されたCPUに関する2つの脆弱性についての現時点まとめ。システム管理者は要ウォッチ。

[spacefrontier]

まだ完全には理解しきれてない。Meltdownはout-of-order実行、Spectreは投機的実行によって任意のAddressのデータをCacheに食わせることができる。Cacheの秘密鍵をFLUSH+RELOADと呼ばれるL3 Side-Channel Attackで推測。VM間攻撃も可能、か。

[nanakoso]

ローカルPCはあまり関係ないとか言ってるとブラウザからやられるぞ

[tachi3927]

数日前から話題のCPUの脆弱性について。OSパッチで対処可能なものの性能への影響も大きいらしく、適用には検証が必要かもしれない。

[gomanori]

そうか、クラウドサービスも当然影響受けるのか。

[tengo1985]

さすがのまとめ

[mumincacao]

くらうどいんすたんすだけ更新をかけても気休めっぽいけど再起動したら１台だけねっとわーく経由で繋がらなくてあばばばばしながら原因探してたら iptables の permanent るーるがおかしかったのです（´・ω【みかん

[t-wada]

piyokango さん安定のまとめ

[halfrack]

継続的に更新されてた

[yassan0627]

綺麗にまとまってるなぁ。ありがたい。

[tmatsuu]

ありがたい

[moccos_info]

解説は4亀のを見るとして、その先を知りたいときのリンク集的な。

[quwachy]

JSなんてどうせ糞遅いんだからサンドボックス内で投機実行させるなよ

[matsnow]

えらい問題が発生したなあ。VMをまたいで中身を覗けるということか。

[akatakun]

Redhat: 脆弱性の緩和に際しシステムのパフォーマンスにある程度のコストがかかると言及

[nezuku]

トップスターブコメやAWS、Azureが対応を前倒しするなどの動きになっているのは、仮想化環境などでパーティショニングが無力化してしまうヤバさにあるのか

[koyhoge]

Meltdownの方が影響としてはヤバイ。アタックの仕組みを知るには論文読むしかないのかな。

[eagleyama]

テッククランチよりわかりやすいけど、仕組みのところの日本語記事はないのかなぁ

[T-miura]

新年早々嫌なお年玉だな・・・

[sonots]

Linux 遅くなる

[junjun]

みてる。

[noir_k]

いつもありがとうございます。

[nilab]

「2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています」

[charlestonblue]

CPUの脆弱性まとめページ。便利。

[b-wind]

“MeltdownとSpectreは同時に公開されたが脆弱性としては異なるものである。 ”

[quick_past]

まるでAMDもIntel同等の脆弱性をもってると思わされる報道が多いけど、実際には違ってるわけね。アンチウイルスソフトの対応は抑えておかないと怖いな。

[asakiri4177]

あ、これクラウド環境とかで仮想環境間で色々とできる環境だとヤバいやつか

[minamishinji]

情報源として。

[teracy_junk]

Meltdownの検証に使ったAMDの石が古いのが気になった（そこ）

[sh2]

CVE-2017-5754、CVE-2017-5753、CVE-2017-5715関連

[matsui899]

結構、大きな話だね。

[syanmi]

“ウイルス対策ソフ”

[timetrain]

ブラウザからHDDの中身を覗けるわけではないが、今見てるエロ動画くらいなら抜けるのかな？（平和ボケの感想）。共有レンタルサーバはどこもかしこもやばすぎなんじゃこれ。

[houyhnhm]

Azureは強制再起動やるって言ってた。一応Azure上での構成は考慮して同時再起動かけないみたいだけど。