Speculative Bounds Check Bypass Store : BCBS (INTEL-OSS-10002 : CVE-2018-3693)

2018.07.11

07/10/2018にIntelから Speculative Execution Branch Prediction Side Channel and Branch Prediction Analysis Method (Speculative Bounds Check Bypass Store : BCBS) (INTEL-OSS-10002 : CVE-2018-3693) が公開されました。これは、01/03/2018に公開された初期のSpectre(Spectre Variant 1 : (投機的実行における)条件付き分岐における境界チェックの回避 “Bounds Check Bypass”)の派生の脆弱性情報になります。 今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

07/10/2018にIntelから Speculative Execution Branch Prediction Side Channel and Branch Prediction Analysis Method (Speculative Bounds Check Bypass Store : BCBS) (INTEL-OSS-10002 : CVE-2018-3693) が公開されました。これは、01/03/2018に公開された初期のSpectre(Spectre Variant 1 : (投機的実行における)条件付き分岐における境界チェックの回避 “Bounds Check Bypass”)の派生の脆弱性情報になります。 今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

情報が未だ錯綜していますので、逐次情報は更新していく予定です。

Priority

High(CVE-2018-3693)

  • CVE-2018-3693

    CVSS Severity (version 3.0):

    • CVSS v3 Base Score: 7.1 High

    • Vector: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

OS・ディストリビューション・SW提供情報

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • Speculative Execution Branch Prediction Side Channel and Branch Prediction Analysis Method

    • ローカルからの他のアプリケーションのメモリ内容に関する情報取得の可能性

    • 重要度 – Important

    • Spectre Variant 1 (CVE-2017-5753)と同じく、システムのマイクロプロセッサが投機的実行を行っている際のHWの欠陥を利用し、ローカルユーザがバッファーオーバーフローやサイドチャネル攻撃を通じて、他のアプリケーションのメモリの内容を読み取ることができる可能性が有ります。

セキュリティ系連載案内

セミナー情報 1

2018年10月22日から10月25日のCSS(Computer Security Symposium)2018で、「OSSセキュリティ技術ワークショップ(OWS) 2018特別セッション」 と題しまして、OSSセキュリティ技術の会後援で特別セッションを開催します。

https://www.iwsec.org/ows/2018/index.htmlにプログラム内容と一般論文申し込みの詳細を載せていきますので、是非御確認下さい(ページは更新中です)。

セミナー情報 2

2018年8月6日に「OSSセキュリティ技術の会 座談会(第一回)」を開催します。OSSセキュリティ技術の会では、講演形式の勉強会シリーズを行っていますが、今回は新たな試みとして座談会形式の会合を行います。

https://secureoss-sig.connpass.com/event/92782/にプログラム内容と申し込みの詳細を載せていますので、是非御参加下さい。

タイトルとURLをコピーしました