ニュース
RyzenやEPYC内蔵のセキュリティチップに深刻な脆弱性
〜チップセットの隠しバックドアも発覚
2018年3月14日 15:33
イスラエルのセキュリティ企業、CTS Labsは13日(米国時間)、AMD製のCPU製品「Ryzen」や「EPYC」、「Ryzen Pro」、「Ryzen Mobile」などについて、チップセット設計段階にほどこされたハードウェアレベルのバックドアを含む深刻な脆弱性を指摘した。
クラウドサーバーなどに利用される「EPYC Server」シリーズでも仮想化保護をバイパスして攻撃が行なえる脆弱性が指摘されており、個人や法人を問わず広く影響がおよぶことが懸念される。
計13の脆弱性には大きくわけて4つの攻撃ベクターが存在し、CPUと共存するセキュリティチップに恒久的にコードを注入できる「MASTERKEY」や、ASMedia製チップセットのファームウェア・ハードウェアにほどこされたバックドア「CHIMERA」など。
AMD Secure Processorを狙う「MASTERKEY」「RYZENFALL」
AMD Secure Processorは、CPU内に封入される独立したARM Coretex-A5チップで、本来はメモリ暗号化やセキュアブートのさいに攻撃から守る「信頼の源」として機能するものだ。
しかし、今回発見された脆弱性でRyzenとEPYC双方に存在する「MASTERKEY」や、Ryzen、Ryzen Pro、Ryzen Mobileに存在する「RYZENFALL」はその仕組みを逆手に取っている。
MASTERKEYが悪用されると、Secure Processor自体で任意のコードが実行可能となってしまうほか、ファームウェアベースのセキュリティ機能を無効にしたり、OSやBIOSに悪意のあるコードを注入される恐れがある。
MASTERKEYはBIOSの書き換えが前提であるものの、「RYZENFALL」などの他の脆弱性と組み合わせることでライトプロテクトされたBIOSも書き換えが可能とみられる。悪用を防ぐ完全な対策は存在しないものの、BIOSの書き込みを禁止することが推奨されている。
RYZENFALLはSecure Processorが利用する「Secure OS」についての脆弱性。同OSはSecure Processorとメインシステムを分離し、独自に暗号化された領域をメインメモリに確保するはずが、脆弱性によってシステムOS側からアクセスを実現する。
そのため、本来隔離されるべきセキュリティ情報を盗み出したり、任意のコードをSecure Processorで実行することなどが可能になる。直接的な対策は存在しないものの、脆弱性を利用するにはローカル管理者権限に昇格する必要があるため、通常のセキュリティパッチなども間接的には有効といえるだろう。
EPYCに存在する脆弱性「FALLOUT」
EPYCに存在する脆弱性「FALLOUT」は悪用された場合、ハードウェアレベルで暗号化することで通常、隔離される仮想化クライアント領域に対してもマルウェアを注入されたり、証明書を盗み出される可能性が指摘される。
また、Secure Management Mode(SMM)に対して悪意あるコードが注入された場合、BIOSの改ざんなども可能になってしまう。これらの攻撃はエンドポイントでのセキュリティでは検出が難しく、クラウドサービスなどに対して大きなリスクになり得る。
FALLOUTへの直接の対処法は現時点では存在しないとのことだが、この脆弱性はローカル管理者権限に昇格する必要があるため、OSのセキュリティパッチは間接的に有効となるだろう。
X370チップセットのバックドア「CHIMERA」
CHIMERAは2つのバックドアを突いたもの。Ryzen/Ryzen Pro向けX370のファームウェアとASICの設計にバックドアが見つかった。後者は、チップセットを交換しないかぎり根本的な解決には至らないとの見方がされている。
CHIMERAはいずれもチップセットで任意のコードが実行可能となるもので、検出不可能なキーロガー、ネットワークへの不正アクセスといったチップセット配下となるデバイスの情報を盗みだす攻撃が懸念される。
【16時56分追記】AMDはこれに対し声明を発表。CTS LabsはこれまでAMDに知られておらず、今回の問題に対してAMDが対処する猶予を与えることなくして、報道機関にその研究結果を公開するのは一般的ではないとしている。AMDは今後、積極的にこの結果を調査/分析し、ユーザーの安全性を確保するため継続的に取り組むとしており、結果をブログで公開するとしている。