セキュリティ

SECURITY

公開：2024-08-21

Intel Xeon Scalable Processorsに脆弱性、サービス拒否攻撃のリスクにマイクロコードで対処

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Intelが3rd Generation Xeon Scalable Processorsの脆弱性を公開
• CVE-2024-25939によるサービス拒否の可能性
• マイクロコードアップデートで脆弱性に対処

Intelの3rd Generation Xeon Scalable Processorsの脆弱性とその対策

Intelは2024年8月13日、3rd Generation Intel Xeon Scalable Processorsに潜在的なセキュリティ脆弱性が存在することを公表した。この脆弱性はCVE-2024-25939として識別され、特権ユーザーがローカルアクセスを通じてサービス拒否を引き起こす可能性がある。Intelはこの脆弱性に対処するためのマイクロコードアップデートをリリースしている。^[1]

脆弱性の深刻度はCVSS v3.1で6.0（中程度）、CVSS v4.0で6.7（中程度）と評価されている。影響を受ける製品は、Cedar Island Platform上の3rd Generation Intel Xeon Scalable Processors（CPU ID: 5065B、Platform ID: 0xBF）だ。この脆弱性は、異なる値を持つミラーリングされた領域が存在することで発生する可能性がある。

Intelは、影響を受けるシステムのユーザーに対し、システム製造元が提供する最新のマイクロコードバージョンへのアップデートを強く推奨している。このアップデートにより、潜在的な脆弱性に対処し、システムのセキュリティを強化することができる。なお、この問題はIntel社内の従業員によって発見された。

3rd Generation Intel Xeon Scalable Processorsの脆弱性対策まとめ

サービス拒否（DoS）攻撃について

サービス拒否（DoS）攻撃とは、システムやネットワークのリソースを枯渇させ、正規のユーザーがサービスを利用できなくすることを目的とした攻撃のことを指す。主な特徴として以下のような点が挙げられる。

• システムやネットワークの可用性を低下させる
• 大量のリクエストや不正なデータを送信して過負荷を引き起こす
• セキュリティの脆弱性を悪用してサービスを停止させる

今回のIntel Xeon Scalable Processorsの脆弱性では、特権ユーザーがローカルアクセスを通じてDoS攻撃を引き起こす可能性がある。これは、プロセッサ内のミラーリングされた領域に異なる値が存在することで発生する可能性があり、適切なマイクロコードアップデートを適用することで、この脆弱性を緩和することができる。

Intel Xeon Scalable Processorsの脆弱性に関する考察

Intelが3rd Generation Xeon Scalable Processorsの脆弱性を迅速に公開し、対策を提供したことは評価に値する。しかし、この種の脆弱性が発見されたことは、高性能プロセッサの設計における複雑さと、セキュリティ確保の難しさを浮き彫りにしている。今後、プロセッサの設計段階からセキュリティを考慮したアプローチ（セキュリティ・バイ・デザイン）の重要性がさらに増すだろう。

一方で、この脆弱性が特権ユーザーによるローカルアクセスを必要とすることから、リモート攻撃のリスクは比較的低いと考えられる。しかし、クラウドコンピューティングやマルチテナント環境では、この種の脆弱性が予期せぬセキュリティリスクをもたらす可能性がある。そのため、クラウドプロバイダーやデータセンター運営者は、この脆弱性に対して特に注意を払う必要があるだろう。

今後、プロセッサのセキュリティに関する研究がさらに進み、ハードウェアレベルでの脆弱性検出や防御メカニズムの開発が加速することが期待される。同時に、ユーザー企業はハードウェアのセキュリティアップデートを定期的に適用する体制を整え、新たな脆弱性に迅速に対応できる準備を整えることが重要だ。

参考サイト

1. ^ Intel. 「INTEL-SA-01118」. https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01118.html, (参照 24-08-21).
2. Intel. https://www.intel.co.jp/content/www/jp/ja/homepage.html

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧