AMD、CTS-Labsが公表したチップ脆弱性を修正へ--悪用には「管理者権限」が必要

　AMDは、イスラエル拠点のセキュリティ企業CTS-Labsが3月に入って指摘していたバグについて、同社のチップにこのバグに対する脆弱性があることを認めた。

AMDのプロセッサに脆弱性、セキュリティ企業が情報公開--懐疑的な見方も

　AMDは、米国時間3月20日の声明で、CTS-Labsが明らかにした同社のチップ「Ryzen」「Epyc」に関して指摘されたセキュリティ上の問題点についてファームウェアとBIOSのアップデートの開発に着手したと述べた。これらの脆弱性は、3月13日にAMDに通知されてからわずか24時間後に、CTS-Labsにより公表されていた。

　今回のケースでは、脆弱性公表の手法が通常とは異なるとして、無名のセキュリティ企業であるCTS-Labsが研究者や開発者から批判されている。Linuxを開発したLinus Torvalds氏は、CTS-Labsのセキュリティ勧告と情報拡散のためのウェブサイトを評して、「株価操作のように見える」と述べた。

　発表は急だったかもしれないが、CTS-Labsが発見した脆弱性は、米国のセキュリティ企業Trail of Bitsによって存在が裏付けられた。Trail of Bitsはイスラエルのアンチウイルス企業であるCheck Pointとともに、CTS-Labsが見つけた脆弱性の検証を依頼されていた。

　AMDは今回の脆弱性を「Masterkey」「RyzenfallおよびFallout」「Chimera」の3つのカテゴリーに分類しており、「数週間以内」にリリースされるファームウェアとBIOSの更新で修正するとしている。

　別の脆弱性「Spectre」が明らかになった際には、一時的な対策のためにチップ性能にオーバーヘッドが生じたが、AMDによると、CTS-Labsが発見した今回のバグに対するファームウェア更新は、チップの性能には影響しない見込みだ。

　AMDによると、この3種類の脆弱性が悪用されるおそれがあるのは、システムがすでに攻撃者によって乗っ取られている場合に限られるという。

　また、3種類の脆弱性はいずれも、攻撃者が悪用するには管理者権限が必要になるとしている。