ソフトウェアによる修正が困難なIntel CPUの脆弱性「LVI」

LVIの仕組み

　米Intelは10日(米国時間)、同社CPUの機能に関連した脆弱性「Load Value Injection」(以下LVI)について情報を公開した。

　2019年4月4日にオランダ ルーベン・カトリック大学imec-DistriNet研究グループのJo Van Bulck氏らによって発見、報告された脆弱性で、影響を受けるのはIntel SGXを搭載したCPU。攻撃が成立する条件が複雑であることなどからCVSS評価スコアは5.6と脅威判定は中程度とされている。

　LVIは、攻撃対象から直接データを漏洩させるのではなく、プロセッサのバッファを介して攻撃者のデータを隠しつつ対象のプログラムに“注入”し一時的実行を乗っ取ることで、指紋やパスワードなどの機密情報を奪えるのが特徴で、MeltdownやForeshadow、ZombieLoad、RIDL、Falloutなどの既知のデータ抽出攻撃とは異なる手法を用いているため、既存のそれらの攻撃への緩和策を回避してしまうという。

　セキュリティ研究者らはLVIの危険性について、実質的にメインメモリに対する全アクセスに影響を与える可能性があるため、既知の攻撃よりも緩和が困難であることを指摘しており、マイクロコードの更新では不十分で、シリコンレベルの修正が必要になるとしている。

　IntelではSGXプラットフォームソフトウェアおよびSDKのアップデートの提供を開始しているが、研究者らによれば、Meltdown型の攻撃と異なり、プロセッサ側での軽減が困難なため、複雑なソフトウェアパッチが必要となり、パッチの適用によってSGXエンクレーブの演算速度が最大で19分の1にまで低下してしまうという。

　なお、今回影響が報告されているのはIntel SGX搭載CPUのみだが、Meltdown型の攻撃に対して脆弱なプロセッサはLVIのような攻撃に対しても脆弱であると考えられるため、研究者らは今後Intel以外のCPUへの適用性も調査が必要であると述べている。