セキュリティ

SECURITY

公開：2024-08-21

Intel IPPの脆弱性対策、インテルがソフトウェア更新を公開し権限昇格のリスクに対処

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Intel IPPの脆弱性でインテルが更新を公開
• 認証済みユーザーによる権限昇格の可能性
• Intel IPP 2021.11以降への更新を推奨

Intel IPPソフトウェアの脆弱性対策でインテルが更新を公開

インテルは2024年8月13日、同社のIntel Integrated Performance Primitives（Intel IPP）ソフトウェアに存在する潜在的なセキュリティ脆弱性に対処するソフトウェア更新を公開した。この脆弱性は、認証済みユーザーがローカルアクセスを通じて権限昇格を可能にする可能性があるものだ。インテルは、この潜在的な脆弱性を緩和するためのソフトウェア更新を提供している。^[1]

脆弱性の詳細は、CVE-2024-28887として識別されており、CVSS基本スコア3.1では6.7（中程度）、CVSS基本スコア4.0では5.4（中程度）と評価されている。この脆弱性は、バージョン2021.11より前のIntel IPPソフトウェアに存在する制御されていない検索パスに関連するものだ。ローカルアクセスを通じて、認証済みユーザーが権限昇格を引き起こす可能性がある。

インテルは、影響を受ける製品としてIntel Integrated Performance Primitive（バージョン2021.11未満）とIntel oneAPI Base Toolkit（バージョン2024.1未満）を挙げている。対策として、Intel IPPソフトウェアをバージョン2021.11以降に、Intel oneAPI Base Toolkitをバージョン2024.1以降にアップデートすることを強く推奨している。更新プログラムは、インテルの公式ウェブサイトからダウンロード可能だ。

Intel IPPの脆弱性対策まとめ

Intel IPPの更新プログラムはこちら

CVSS（Common Vulnerability Scoring System）について

CVSSとは、情報システムの脆弱性の深刻度を評価するための業界標準システムのことを指しており、主な特徴として以下のような点が挙げられる。

• 0.0から10.0までのスコアで脆弱性の重大さを評価
• 攻撃の容易さや影響範囲など多角的な要素を考慮
• バージョン3.1と4.0が現在広く使用されている

CVSSは、脆弱性の特性を数値化することで、組織がセキュリティリスクを定量的に評価し、適切な対策を講じる際の指標として活用されている。Intel IPPの脆弱性（CVE-2024-28887）の場合、CVSS 3.1で6.7、CVSS 4.0で5.4とスコア化されており、中程度の深刻度と評価されているが、即時の対応が推奨されるレベルであることを示している。

Intel IPPの脆弱性対策に関する考察

Intel IPPの脆弱性対策として公開された更新は、ソフトウェアセキュリティの重要性を再認識させる契機となった。特に、広く使用されているライブラリやツールキットの脆弱性は、多くのアプリケーションに影響を及ぼす可能性があるため、開発者やシステム管理者は常に最新の情報に注意を払い、迅速に対応することが求められる。今回のケースでは、インテルが迅速に更新プログラムを提供したことは評価に値するだろう。

一方で、この種の脆弱性対策には課題も存在する。多くの組織では、使用しているソフトウェアのバージョン管理が適切に行われていないケースがあり、脆弱性の存在に気づかないまま長期間運用されるリスクがある。また、更新作業自体が業務に影響を与える可能性もあるため、適切なタイミングでの更新が難しい場合もある。これらの問題に対しては、自動更新システムの導入や、定期的なセキュリティ監査の実施などが有効な解決策となるだろう。

今後は、AIを活用したセキュリティ脆弱性の早期検出や、コンテナ技術を利用した安全な実行環境の提供など、より高度な対策が求められるようになるだろう。Intel IPPのような基盤的なソフトウェアの開発者は、セキュリティを設計段階から考慮したセキュア・バイ・デザインの原則をさらに徹底し、脆弱性のリスクを最小化する取り組みを強化することが期待される。

参考サイト

1. ^ Intel. 「INTEL-SA-01129」. https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01129.html, (参照 24-08-21).
2. Intel. https://www.intel.co.jp/content/www/jp/ja/homepage.html

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧