2015年以降に販売されたインテル製CPUが搭載するプロセス管理用ファームウェアに、深刻な脆弱性が発見されました。10点を最悪とする脆弱性評価(CVSS)による危険度は最大8.2点で、インテルは早急なファームウェアアップデート適用を呼びかけています。
影響を受けるのは第6～8世代(Skylake、Kaby Lake、Kaby Lake R)のCoreプロセッサー、Atom C3000、Apllo Lale系Atom E3900シリーズ、Apollo Lake系Pentium、Celeron NおよびJシリーズ、Xeon E3-1200 v5～v6シリーズ、Xeon スケーラブル・プロセッサーシリーズ、Xeon Wシリーズ。
もし脆弱性を悪用された場合、最悪の場合は攻撃者がユーザーとOSが検知できないままに任意のコードを読み込み実行させられたり、システムの特権情報にアクセスされてしまうこともあり得るとのこと。脆弱性を突くにはほとんどの場合で物理的なアクセスが必要ですが、一部でリモート攻撃も可能であり危険なことに変わりはありません。
インテルはWindowsおよびLinux用に対象CPU判定ツールを提供し、使用中のPCやPCサーバーに影響があるかを確認可能としました。またインテルのサポートページからは、デルやレノボ、エイサー、富士通、パナソニックといった主要PCメーカーのサポートページへのリンクを紹介し、各メーカーからファームウェアを入手できるようにしています。
基本的にネットワークに接続していなければ脆弱性の影響はほとんどないと考えられますが、今日びネットワークに接続しないPCやデバイスを探すほうが難しいというもの。アップデートは常にしっかりと適用しておくべきであることに変わりはありません。また今後は、OSや特定のソフトウェアだけでなく機能統合が進むプロセッサーそのものにも、脆弱性が含まれる事例が増えて行くのかもしれません。
ソース
2015年以降のインテルCPUに遠隔攻撃許す深刻な脆弱性。サーバーからIoTまで、早急なファームウェアの更新を呼びかけ - Engadget 日本版
http://japanese.engadget.com/2017/11/23/2015-cpu-iot/