Intel製CPUの脆弱性("Platypus": INTEL-SA-00389)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

11/10/2020に"Platypus"と呼ばれる、Intel製CPUの脆弱性(INTEL-SA-00389)が公開されました。Intelの「RAPL(Running Average Power Limit)」という電力制御・計測のための機構を用いてサイドチャネル攻撃を許す脆弱性との事です。今回はこちらの脆弱性の概要と、各ディストリビューション/各社の対応について簡単に纏めてみます。

関連するCVEは CVE-2020-8694, CVE-2020-8695 になります。



一次情報源(各ベンダの対応状況も載っています)

PLATYPUS

2020.2 IPU - Intel® RAPL Interface Advisory (INTEL-SA-00389)



Priority

CVE番号 Priority CVSS Score / CVSS Vector
CVE-2020-8694

Vendor: 5.6 Medium

Vendor: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N

CVE-2020-8695

Vendor: 5.3 Medium

Vendor: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N

問題の詳細

詳しくは一次情報源の情報を確認して下さい。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2020-8694
    • 幾つかのIntel(R)プロセッサに対するLinux Kernelドライバのアクセス制御が不十分であったため、認証されたユーザが情報をローカルアクセスを通じて漏洩させることができる可能性があります。
  • CVE-2020-8695
    • 幾つかのIntel(R)プロセッサでのRAPLインターフェースに対する観測できる不一致に寄り、特権ユーザがローカルアクセスを通じて情報を漏洩させることができる可能性があります。

対処方法

各ディストリビューション/ベンダーの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。


セキュリティ系連載案内


OSSに関するお困りごとは サイオス OSSよろず相談室まで

サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。

前へ

Linux Kernelのvt(virtual console)での脆弱性情報(Moderate: CVE-2020-25668)

次へ

PostgreSQLの脆弱性情報(CVE-2020-25694, CVE-2020-25695, CVE-2020-25696)と新バージョン(9.5.24, 9.6.20, 10.15, 11.10, 12.5, 13.1)