グラフィックカードの欠陥により、GPUメモリを悪用してAMD、Apple、Qualcommのチップからデータを盗むことが可能になる

LeftoverLocalsと呼ばれる新たなセキュリティ脆弱性が、AMD、Apple、Qualcommといった大手メーカー製GPUに影響を与えます。この脆弱性により、フォームファクターやOSに関わらず、GPUのメモリからデータを窃取することが可能になります。この脆弱性は「Trail of Bits」の研究者によって発見されました。これらのGPUは、スマートフォン、タブレット、ノートパソコン、PC、専用サーバーなど、幅広いデバイスで使用されているため、この脆弱性は幅広いコンピューティングデバイスを危険にさらすことになります。 

PCやサーバーは、複数のユーザーが互いのデータにアクセスすることなく、システム処理リソースを共有できるように設計されています。しかし、LeftoverLocals脆弱性は、この保護を無効化し、GPUのメモリを介して他のユーザーのデータに侵入します。攻撃者が脆弱なGPUを搭載したデバイスにアクセスすると、特定の実行が完了した後でもメモリに残留データが含まれているため、攻撃者はメモリにアクセスしてデータを読み取ることができます。 

GPUベンダーによる謝辞

AMD、Apple、Qualcommはこの問題を認めました。Appleは1月10日に、影響を受けるApple A17およびM3シリーズプロセッサ向けのパッチを公開しました。しかし、AppleはA12プロセッサを搭載した第3世代MacBook Airなど、影響を受ける他のデバイスについては、まだ状況を明らかにしていません。Qualcommも、一部のデバイス向けに新しいファームウェア（v2.07）をリリースしました。

AMDはセキュリティ情報を公開し、この問題の深刻度を「中」としました。同社は、影響を受けるすべてのCPU（オンチップグラフィックス搭載CPU、ディスクリートグラフィックスカード、データセンターGPU）をリストアップしました。AMDは、GPUメモリ上でのプロセスの並列実行を防止し、プロセス間のVRAMをクリアする新しいモードを開発する予定であると発表しました。この緩和策は2024年3月まで提供されません。