Microsoft は、Intel CPU の「Memory Mapped I/O Stale Data (MMIO)」情報漏えいの脆弱性に対する帯域外セキュリティ更新プログラムをリリースしました。
マップされた I/O サイドチャネルの脆弱性は、2022 年 6 月 14 日にIntel によって最初に公開され、仮想マシンで実行されているプロセスが別の仮想マシンのデータにアクセスできる可能性があると警告しました。
このクラスの脆弱性は、次の CVE で追跡されます。
- CVE-2022-21123 – 共有バッファ データ読み取り (SBDR)
- CVE-2022-21125 – 共有バッファ データ サンプリング (SBDS)
- CVE-2022-21127 – 特殊レジスタ バッファ データ サンプリングの更新 (SRBDS 更新)
- CVE-2022-21166 – デバイス レジスタ部分書き込み (DRPW)
6 月のセキュリティ更新プログラムの一環として、Microsoft はこれらの脆弱性が影響を与える可能性のあるシナリオの種類に関する情報を含むADV220002も公開しました。
「これらの脆弱性の悪用に成功した攻撃者は、信頼境界を越えて特権データを読み取ることができる可能性があります」と Microsoft は説明しています。
「共有リソース環境 (一部のクラウド サービス構成に存在するような) では、これらの脆弱性により、1 つの仮想マシンが別の仮想マシンの情報に不適切にアクセスする可能性があります。」
「スタンドアロン システムでの非ブラウジング シナリオでは、攻撃者はこれらの脆弱性を悪用するために、システムに事前にアクセスするか、標的のシステムで特別に細工されたアプリケーションを実行できる必要があります。」
ただし、Microsoft のアドバイザリによると、 Windows Server 2019 および Windows Server 2022 に適用された緩和策を除いて、セキュリティ更新プログラムはリリースされませんでした。
Microsoft は、これらの脆弱性に対処する Windows 10、Windows 11、および Windows Server 向けのやや紛らわしい一連のセキュリティ更新プログラムをリリースしました。
サポート速報から、それらが新しい Intel マイクロコードなのか、それともデバイスに適用されるその他の軽減策なのかは不明です。
これらの更新プログラムは、Microsoft Update カタログで手動更新プログラムとしてリリースされています。
- KB5019180 – Windows 10、バージョン 20H2、21H2、および 22H2
- KB5019177 – Windows 11、バージョン 21H2
- KB5019178 – Windows 11、バージョン 22H2
- KB5019182 – Windows Server 2016
- KB5019181 – Windows Server 2019
- KB5019106 – Windows Server 2022
これらの脆弱性を緩和するとパフォーマンスの問題が発生する可能性があり、一部のシナリオではインテル ハイパースレッディング テクノロジー (インテル HT テクノロジー) を無効にしないと欠陥が完全に解決されない可能性があるため、これらはオプションの手動更新としてリリースされる可能性があります。
したがって、これらの更新プログラムを適用する前に、Intel と Microsoft の両方のアドバイザリを読むことを強くお勧めします。
Comments