インテルがAMDのスペクター対策にバグを発見、AMDが修正パッチをリリース

今週、IntelとArmプロセッサにのみ影響を与える新たなSpectre BHB脆弱性に関するニュースが報じられましたが、Intelによるこれらの新たな攻撃ベクトルに関する調査で、別の問題が明らかになりました。AMDがSpectre脆弱性を修正するために使用したパッチの1つが、2018年から適用されていなかったのです。IntelのセキュリティチームであるSTORMは、AMDの緩和策にこの問題を発見しました。これを受けてAMDはセキュリティ速報を発行し、ガイダンスを更新してSpectre脆弱性を緩和するための代替手段の使用を推奨し、問題を新たに修復しました。

念のためご説明しますと、Spectre脆弱性は、リモートから悪用可能なサイドチャネル攻撃を通じて、攻撃者がCPUで処理中の情報に妨害なく、かつ検知されない形でアクセスすることを可能にします。攻撃者はパスワードや暗号鍵を盗み出し、影響を受けるシステムへの完全なアクセスが可能になります。

AMD の Spectre 修正に関する Intel の調査は、回りくどい形で始まります。Intel のプロセッサは、さらなる攻撃を防ぐと考えられていた Enhanced Indirect Branch Restricted Speculation (eIBRS) や Retpoline 緩和策を使用していたにもかかわらず、新しい Branch History Injection バリアントによる Spectre v2 ベースの攻撃に対して依然として脆弱であることが最近判明したのです。

広範囲に及ぶSpectre問題に対処するため、より新しい緩和策を必要としていたIntelは、代替緩和策の検討に着手しました。他にもいくつかの選択肢がありますが、いずれもパフォーマンスのトレードオフがそれぞれ異なります。Intelによると、エコシステムパートナーからAMDのLFENCE/JMP技術の採用を検討するよう要請があったとのことです。「LFENCE/JMP」緩和策は、Retpolineの代替策であり、一般的に「AMDのRetpoline」と呼ばれています。

Intelの調査の結果、AMDが2018年以降Spectre脆弱性へのパッチ適用に用いてきた緩和策は不十分であり、チップは依然として脆弱であることが判明しました。この問題は、デスクトップPCおよびノートパソコン向けのRyzenファミリー（第2世代から最新世代まで）のほぼ全て、そしてデータセンター向けチップのEPYCファミリーを含む、ほぼすべての最新AMDプロセッサに影響を及ぼします。

「常に勝利できるわけではない：LFENCE/JMPによる分岐ターゲットインジェクションの緩和策の分析」と題された論文の要旨には、IntelのSTORMセキュリティチームに所属する3名の著者、アリッサ・ミルバーン氏、ケ・サン氏、エンリケ・カワカミ氏の名前が挙がっています。要旨では、研究者が発見したバグについて非常に簡潔にまとめられています。

LFENCE/JMPは、AMDプロセッサで一般的に使用されている、間接分岐予測に起因する分岐ターゲットインジェクション（BTI）攻撃や同様の一時実行攻撃に対する既存のソフトウェア緩和策です。しかし、予測されたターゲットの投機的実行と、意図されたターゲットのアーキテクチャ上の解決との間の固有の競合状態によって、この緩和策の有効性が損なわれる可能性があります。これは、コードが一時的に実行可能なウィンドウが生成される可能性があるためです。本研究では、このような投機的ウィンドウの発生に寄与する可能性のあるレイテンシの潜在的な原因を調査します。攻撃者が「競争に勝つ」ことができ、LFENCE/JMP緩和策が存在するにもかかわらず、このウィンドウが様々なx86 CPUに対するBTI型攻撃の悪用を可能とするのに十分な可能性があることを示します。Intelの戦略的攻撃研究および緩和グループ（STORM）は、Intel独自のチップのハッキングを試みるエリートハッカーチームです。詳細については、こちらをご覧ください。