こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
こちらでは主にOSSの脆弱性を取り上げていきます。
11/05/2018にRendered Insecure: GPU Side Channel Attacks are PracticalというNVIDIA社のGPUに対するサイドチャネル攻撃の脆弱性が公開されました。CVE情報がアサインされたこと、またおこの脆弱性へのNVIDIAの声明とデバイスドライバで対応していくことなどからOSSのディストリビューションからも更新があることが予想されますので、こちらでも取り上げてまとめます。
逐次情報は更新していく予定です。
Priority/CVSS
- CVE-2018-6260
- NVIDIA
- CVSS v3 Base Score: 2.2
- Vector: AV:L/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N
- SuSE
- Red Hat Customer Potal
- NVD
- NVIDIA
SW提供情報
関連ニュース
GPUに対するサイドチャネル攻撃で「パスワードが盗まれる」、カリフォルニア大の研究チームが実証 (atmarkIT)
GPUへのサイドチャネル攻撃、影響は軽微 ～研究者の発表に対しNVIDIAが回答 “CVSS v3”における基本値は“2.2” (窓の杜)
修正方法
各ディストリビューションの情報を確認してください。
脆弱性概要(詳細は一次情報源のサイトをご確認ください)
- Security Notice: NVIDIA Response to “Rendered Insecure: GPU Side Channel Attacks are Practical” – November 2018 (NVIDIAの回答)
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-6260
- NVIDIA製GPUへのサイドチャネル攻撃の脆弱性
- NVIDIA製GPUへのサイドチャネル攻撃の脆弱性が発見されました。GPUパフォーマンスカウンタに対してのサイドチャネル攻撃により、アプリケーションデータ処理の状況が漏れる可能性が有ります。この攻撃はローカルユーザのアクセスが必要であり、リモートやネットワークからの攻撃では起こらないとの事です。
- GPUを介した攻撃により、次の3つのシナリオが考えられると論文では指摘されています。
- 詳細はPDFを御確認ください。
主なディストリビューションの対応状況
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- Red Hat Enterprise Linux/CentOS
- Ubuntu
- SUSE/openSUSE
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2017のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
セミナー情報
2018/11/14 17:00に、「NGINX MeetUp Tokyo #1」を行います。
今回はNGINX .conf 2018 現地参加者より最新情報を共有させて頂きます。
https://nginx-mj.connpass.com/event/103617/がプログラム内容と申し込みの詳細になります。奮ってご参加下さい。
