セキュリティ

SECURITY

公開：2024-08-21

Intel oneAPI Math Kernel Libraryに特権昇格の脆弱性、バージョン2024.1で修正

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Intel oneAPI Math Kernel Libraryに脆弱性
• 特権昇格の可能性あり、2024.1版で修正
• Intel oneAPI Base Toolkitも影響を受ける

Intel oneAPI Math Kernel Libraryの脆弱性と対策

Intelは2024年8月13日、同社のIntel oneAPI Math Kernel Library（MKL）ソフトウェアに特権昇格の可能性がある脆弱性を発見したと発表した。この脆弱性は、バージョン2024.1より前のMKLソフトウェアに存在し、CVE-2024-21766として識別されている。Intelはこの問題に対処するためのソフトウェアアップデートをリリースし、ユーザーに更新を推奨している。^[1]

脆弱性の詳細によると、一部のIntel oneAPI Math Kernel Libraryソフトウェアにおける制御されていない検索パスにより、認証されたユーザーがローカルアクセスを通じて特権昇格を潜在的に可能にする可能性がある。この脆弱性のCVSS基本スコアは3.1版で6.7（中程度）、4.0版で5.4（中程度）と評価されており、深刻度は「MEDIUM」とされている。

影響を受ける製品には、バージョン2024.1より前のIntel oneAPI Math Kernel Libraryとバージョン2024.1より前のIntel oneAPI Base Toolkitが含まれる。Intelは、ユーザーに対してIntel oneAPI Math Kernel Libraryをバージョン2024.1以降に、Intel oneAPI Base Toolkitもバージョン2024.1以降にアップデートすることを推奨している。これらのアップデートは、Intelの公式ウェブサイトからダウンロードが可能だ。

Intel oneAPI Math Kernel Libraryの脆弱性まとめ

Intel oneAPI Math Kernel Libraryのダウンロードはこちら

特権昇格について

特権昇格とは、コンピュータシステムにおいて、ユーザーや攻撃者が本来与えられている権限以上の特権を不正に取得することを指しており、主な特徴として以下のような点が挙げられる。

• システム全体へのアクセス権を不正に獲得する可能性がある
• 機密データの窃取やシステム設定の改ざんにつながる恐れがある
• マルウェアの実行や他のシステムへの攻撃の足がかりになる可能性がある

Intel oneAPI Math Kernel Libraryの脆弱性では、制御されていない検索パスが特権昇格の原因となっている。この種の脆弱性は、ソフトウェアが安全でない方法で外部リソースを読み込む際に発生し、攻撃者が悪意のあるコードを実行させる可能性がある。Intelが提供するアップデートは、この検索パスの問題を修正し、特権昇格のリスクを軽減することを目的としている。

Intel oneAPI Math Kernel Libraryの脆弱性に関する考察

Intel oneAPI Math Kernel Libraryの脆弱性は、数値計算や科学技術計算に広く使用されているライブラリに影響を与えるため、その影響範囲は潜在的に大きいと考えられる。特に、学術研究機関や企業の研究開発部門など、高性能な数値計算を必要とする環境で広く利用されているため、これらの組織ではセキュリティチームと開発チームが協力して迅速なアップデートを行う必要があるだろう。

今後の課題として、ソフトウェアの依存関係の複雑さが挙げられる。Intel oneAPI Math Kernel Libraryは多くのアプリケーションやフレームワークで使用されているため、この脆弱性の影響を受ける可能性のある全てのソフトウェアを特定し、更新することは容易ではない。組織は自社で開発・使用しているソフトウェアの依存関係を常に把握し、脆弱性が報告された際に迅速に対応できる体制を整えることが重要だ。

また、この事例は、オープンソースソフトウェアを含む外部ライブラリの使用におけるセキュリティリスクを再認識させるものである。開発者は使用するライブラリの選択時にセキュリティ面も考慮し、定期的なアップデートとセキュリティチェックを行う習慣を身につける必要がある。さらに、Intelなどの大手企業は、脆弱性の早期発見と迅速な対応のために、セキュリティ研究者との協力関係をより強化していくことが望まれる。

参考サイト

1. ^ Intel. 「INTEL-SA-01072」. https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01072.html, (参照 24-08-21).
2. Intel. https://www.intel.co.jp/content/www/jp/ja/homepage.html

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧