防いだはずのSpectre v2が再燃？割り込み注入で最新対策がすり抜けた

　2018年に業界を騒がせたプロセッサの投機実行脆弱性「Spectre」と「Meltdown」。業界が総力を挙げて対策をしたため、2020年以降はあまり話題に上がらなくなっていた気がするが、マサチューセッツ工科大学(MIT)コンピューター科学・人工知能研究所(CSAIL)の研究チームはこのたび、Spectre脆弱性の第2の手法(Spectre v2)の緩和策に、依然として隙があることを発見した。

　Spectre v2は、CPUが処理を高速化するために先読みして実行する投機的実行の仕組みを悪用するものだ。具体的には、分岐予測に用いられる分岐履歴バッファ(BHB)などの内部状態を攻撃者が意図的に汚染することで、CPUを騙して本来アクセスできないはずのカーネルメモリ上の機密データを読み出させてしまう。

　これに対する緩和策は、「状態の無効化(Neutralization)」である。カーネルへの移行時(コンテキストスイッチ時)や、影響を受けやすい分岐命令を実行する直前に、バッファの中身を強制的に消去したり分離したりすることで、汚染を防ぐという手法である。

　しかしMITの研究チームが目を付けたのは、バッファの中身を無効化してから、実際にそのバッファが使用されるまでのわずかな隙(Time-of-Use)である。研究チームはこの隙を「TONTOU(Time-of-Neutralization to Time-of-Use)」と名付け、タイマー割り込みを利用した割り込み注入を考案。ユーザー権限のプログラムから絶妙なタイミングでタイマー割り込みを発生させ、クリアされたバッファ(BHBやRSB)を再度汚染できることを実証したのだ。

　この攻撃手法は、IntelとAMDのCPUともに有効であったとしており、AMDのZen 2環境で行なった攻撃デモでは、最新の緩和策がすべて有効な状態にもかかわらず、91.97%の精度、毎秒5.47Bの速度で任意のカーネルメモリを読み取ることができた。実際に10回の試行中5回、18分でシステムのルートパスワードのハッシュが含まれる「/etc/shadow」ファイルを見つけ出すことに成功したという。

　研究チームは2026年2月にIntelおよびAMDにこの問題を報告し、4月にはArmにも報告した。このうちAMDはこの脆弱性を認識したとし、8月6日(米国時間)に「AMD-SB-7061」として脆弱性を公開。Linuxのカーネルパッチを通じて緩和策を提供する予定だとした。

　一方Intelは、バグ報奨金プログラムを通じて報奨金を支払ったものの、「実際の悪用には多くの要因に依存するため、ただちに緩和策を講じる必要はない」とし、Armも「受動的な漏洩に該当するため、積極的に保護を行なう対象ではない」とした。