【CVE-2024-28172】インテルのoneapi hpc toolkitとIntel Trace Analyzer and Collectorに深刻な脆弱性、情報漏洩やDoSのリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
インテル製品に深刻な脆弱性、情報漏洩やDoSのリスク
インテル製品の脆弱性詳細
制御されていない検索パスの要素について
インテル製品の脆弱性対応に関する考察
参考サイト

記事の要約

インテルのoneapi hpc toolkitに脆弱性
Intel Trace Analyzer and Collectorにも影響
制御されていない検索パスの要素が問題

インテル製品に深刻な脆弱性、情報漏洩やDoSのリスク

インテルは、同社のoneapi hpc toolkitおよびIntel Trace Analyzer and Collectorに制御されていない検索パスの要素に関する脆弱性が存在することを公表した。この脆弱性はCVSS v3による基本値が7.3（重要）と評価されており、攻撃者によって悪用された場合、情報漏洩や改ざん、さらにはサービス運用妨害（DoS）状態に陥る可能性がある。^[1]

影響を受ける製品バージョンは、Intel Trace Analyzer and Collector 2022.1未満およびoneapi hpc toolkit 2024.1.0未満である。この脆弱性は、ローカルからの攻撃が可能で攻撃条件の複雑さが低いとされており、攻撃に必要な特権レベルは低いものの利用者の関与が必要とされている。影響の想定範囲に変更はないが、機密性、完全性、可用性のすべてに高い影響がある。

インテルはこの脆弱性に対処するため、ベンダアドバイザリやパッチ情報を公開している。ユーザーは参考情報を確認し、適切な対策を実施することが強く推奨される。この脆弱性はCVE-2024-28172として識別されており、CWEによる脆弱性タイプは制御されていない検索パスの要素（CWE-427）に分類されている。対策を講じることで、潜在的な攻撃リスクを軽減できる。

インテル製品の脆弱性詳細

項目	詳細
影響を受ける製品	Intel Trace Analyzer and Collector 2022.1未満、oneapi hpc toolkit 2024.1.0未満
CVSS v3基本値	7.3（重要）
攻撃元区分	ローカル
攻撃条件の複雑さ	低
攻撃に必要な特権レベル	低
利用者の関与	要
影響	機密性、完全性、可用性すべてに高い影響

制御されていない検索パスの要素について

制御されていない検索パスの要素（CWE-427）とは、システムが外部から制御可能な検索パスを使用して、重要なリソースやプログラムを探す際に発生する脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

攻撃者が悪意のあるファイルを検索パスに挿入可能
正規のファイルの代わりに攻撃者のファイルが実行される
特権昇格や不正なコード実行につながる可能性がある

この脆弱性は、ソフトウェアが適切な検証なしに外部から指定された検索パスを使用する場合に発生する。インテルのoneapi hpc toolkitおよびIntel Trace Analyzer and Collectorにおける今回の脆弱性も、この制御されていない検索パスの要素に関連している。攻撃者はこの脆弱性を悪用して、不正なファイルを実行させたり、重要な情報にアクセスしたりする可能性がある。

インテル製品の脆弱性対応に関する考察

インテルが公開した脆弱性情報は、ハイパフォーマンスコンピューティング（HPC）ツールキットに関するものであり、研究機関や企業の重要なワークロードに影響を与える可能性がある。特にCVSS基本値が7.3と高く評価されていることから、この脆弱性の影響の大きさが伺える。ユーザーは速やかにパッチを適用し、システムのセキュリティを確保する必要があるだろう。

今後、このような脆弱性が発見された場合、インテルの対応速度と情報公開の透明性が重要になる。ユーザーに対して迅速かつ明確な指示を提供することで、セキュリティリスクを最小限に抑えることができる。また、ソフトウェア開発プロセスにおいて、静的コード解析やペネトレーションテストなどのセキュリティチェックを強化し、リリース前に潜在的な脆弱性を検出する取り組みが求められる。

長期的には、インテルがセキュリティ研究者コミュニティとの協力関係を強化し、脆弱性報奨金プログラムを拡充することで、より早期に潜在的な問題を発見し対処できるようになるだろう。また、ユーザー企業側も定期的なセキュリティ監査や、最新のセキュリティ情報の追跡を徹底することで、このような脆弱性によるリスクを軽減できる。インテルには今後も継続的なセキュリティ強化と透明性の高い情報公開を期待したい。