100%レンタルサーバーを使いこなすサイト100%レンタルサーバーを使いこなすサイトホームページ初心者・レンタルサーバー初心者の方でもレンタルサーバーを100%使いこなす情報を徹底調査します。3つの脆弱性があるとのニュースがありました。落ち着きませんが、いろいろな情報が出そろってきたので記事にしました。handlinghttps://access.redhat.com/security/cve/cve-2017-5754最近の多くのマイクロプロセッサ設計が命令の投機的実行(一般に使用される性能最適化)を実施した方法において、問題が見出された。投機的実行が利用される方法が異なる3つの主要な変種があります。CVE-2017-5754は、インパクトされたマイクロプロセッサでは、命令パーミッション・フォールトの投機実行中に、フォルト・アクセスによってトリガされた例外発生が、命令ブロック全体が終了するまで抑制されるという事実に依存しています。特権を与えられていないローカル攻撃者へのブロックが廃棄され、決してコミットされないときでも、メモリアクセスがキャッシュにデータを入れる可能性があり、攻撃者はこの欠陥を使用して攻撃します。マイクロプロセッサに影響します。マイクロプロセッサはこの問題の影響を受けません。Meltdown(メルトダウン)とは?Meltdown(メルトダウン)は、CVE-2017-5754または「不正なデータキャッシュロード」と呼ばれる開発手法に与えられた名前です。利用し、実行中の他のプログラムのメモリに保存されているパスワードや秘密情報が窃取される恐れがあります。特権を持たないユーザーが任意のカーネルメモリをダンプすることが可能になります。ソフトウェアの問題ではなく、ハードウェアの問題です。氏は「攻撃者はシステム上のあらゆるデータを盗める可能性もある」と語っています。機能はカーネルメモリを読み取ることだけに限定されているわけではなく、ターゲットとなった機器の物理メモリ全体を読み取ることもできる」と書かれています。「分岐ターゲット注入」と呼ばれる2つの異なる開発手法をカバーする名前です。これらの手法は、CPUがメモリアクセス呼び出しの有効性をチェックするのにかかる時間の遅延を利用することによって、カーネルメモリ内の項目をユーザプロセスが利用できるようにする可能性があります。※サイトによってはメモリへのアクセスとだけ記述し「カーネルメモリ」とは記述していません。悪用される可能性があります。使っているマシン(機器)全てが対象になります。パフォーマンス機能を利用しています。Execution)は、複数の命令を一度に操作することによって速度を向上させます。分岐のどのパスを取る可能性が最も高いかを予測し、分岐が完了する前であってもそのパスを推測し続けます。予測が間違っていた場合、この投機的実行はソフトウェアには見えないようにロールバックされます。利用技術は、デバイス上で動作する悪意のあるアプリなど、特権の低いユーザプロセスから、カーネルを含む特権メモリにアクセスするために、投機的実行を乱用します。「サイドチャネル攻撃」に分類されます。attack)とは、暗号装置の動作状況を様々な物理的手段で観察することにより、装置内部のセンシティブな情報を取得しようとする攻撃(暗号解読)方法の総称である。実際に攻撃するためのハードルが高い現在のところ「Meltdown」も「Spectre」も具体的な被害は発生していません。関する脆弱性では、かなり広範囲に被害が発生しました。GMOペイメントゲートウェイや日本貿易振興機構(JETRO)や日本郵便などで情報漏えいが発生しました。「Meltdown」も「Spectre」の被害は今のところ聞こえてきません。その理由として攻撃するためには以下の条件が必要と言われているためです。詳しい攻撃方法の解説を日本語でしています。プロセッサーを減速させるhttp://techcrunch.com/2018/01/03/a-major-kernel-vulnerability-is-going-to-slow-down-all-intel-processors-2/すべてのIntelプロセッサー・チップで大きな脆弱性が発見されており、今後大きな影響が出るだろう。Linuxカーネルのパッチに関する注意事項を読んでください。OSは更新される必要があるでしょう。)最悪の部分は、このパッチはパフォーマンスに影響するでしょう。ベンチマークによるとIntelチップを搭載しているコンピュータは、5~30%程度遅くなるでしょう。何が起こったのでしょうか?この脆弱性は非常に厄介です。広範なハードウェアのバグだからです。コンピュータをアップデートしても問題は完全に収束しません。OSベンダーは、現在、回避策としてコンピュータのコアな機能を再設計しています。このバグは、ユーザにカーネル内の保護されたメモリ部分へのアクセスを許可します。カーネルはオペレーティングシステムのコアな部分でシステム内の最もセンサティブなタスクを実行します。カーネルはアプリケーションとファイルシステム間の相互作用をコントロールします。これは基本的にゲートキーパーであり、プログラムがファイルを読み書きできるようにします。キーボードやカメラなどのメモリや周辺機器も管理します。言い換えれば、カーネルはすべてのことをコンピュータ上で行うことができます。これは現代のオペレーティングシステムに対する最も攻撃的なベクトルの1つです。ユーザープロセスとカーネルとの相互作用は、ハードウェアとソフトウェアの最適化によって可能な限り効率的に処理されています。設計に欠陥があるため、低い特権しか持っていないユーザープログラムは、保護されたカーネルメモリを読み取ることができます。キャッシュされたファイル」を読み取ることができます。Platformなど)は、複数のクライアントがコンピュータを共有しています。複数のクライアントが同じハードウェアを使用しています。このバグは、1人のクライアントがカーネルの脆弱性を使用して別のクライアントに関する機密情報にアクセスする可能性があります。Linuxカーネルに関係している開発者はしばらくの間、修正作業に取り組んでいます。彼らのディスカッションは公開されていますが、設計の欠陥部分の詳細はまだ不明です。達によると、セキュリティバグは禁止状態にされています。チームがパッチをリリースした後、インテルはこれについてより多くの情報を明らかにするだろう。Microsoftは11月からパッチを作成している。Appleも同様の修正を行っている。プロセッサ上ですべての実行を遅くすることです。プロセッサはこの脆弱性の影響を受けないと語りました。あなたのコンピュータが遅く見える場合、このケースに当てはまります。上記の記事を受けてこのバグを回避するためにパッチを適用するとプロセッサのチップの性能を大きく低下させる可能性がある。信頼性と株価は低下した。「誤っており、不正確だ」公式声明を発表した。このバグは上記記事の日本語訳でも説明しましたが、一般ユーザープロセスがカーネル・メモリーににアクセスすることを許すものだそうです。クラッカーに狙われればシステムが乗っ取られたり情報漏えいする可能性があります。その一方、バグを回避するためには、チップの性能が著しく低下してしまいます。社の公式声明の日本語訳インテルはセキュリティ研究の結果に対応している。インテルおよび他のテクノロジー企業は、悪意のある目的のために使用された場合、設計どおりに動作しているコンピューティングデバイスから機密データを不適切に収集する可能性があるソフトウェア分析方法を説明する新しいセキュリティ研究を認識しました。インテルは、これらの悪用がデータを破損、改ざん、または削除する可能性はないと考えています。MORE:インテル、システムをセキュリティ侵害から守るためのアップデートを行う(2018年1月4日)テストでは、最近リリースされたセキュリティアップデートが実際のデプロイでパフォーマンスに影響を与えないことが示されました(2018年1月4日)セキュリティエクスプロイトとインテル製品(プレスキット)新しいセキュリティ研究の知見とインテル製品に関する情報(Intel.com)これらの脆弱性攻撃(脆弱性利用、exploit)がインテル製品に固有の「バグ」や「欠陥」によって引き起こされるという、最新の報告は間違っています。現在までの分析に基づいて、多くの異なる種類のコンピューティングデバイス(さまざまなベンダーのプロセッサとオペレーティングシステム)が、これらの悪用の影響を受けやすいと言えます。インテルは製品および顧客のセキュリティを守り、AMD、ARMホールディングス、およびいくつかのオペレーティングシステムベンダーを含む多くの他のテクノロジ企業と緊密に協力して、この問題を迅速かつ建設的に解決するようアプローチしています。インテルはこれらの脆弱性攻撃(脆弱性利用、exploit)を軽減するためにソフトウェアとファームウェアのアップデートを提供し始めました。一部のレポートとは異なり、パフォーマンスへの影響はワークロード(リソースの使い方)に依存し、平均的なコンピュータユーザーにとっては重要ではなく、時間の経過とともに軽減されます。インテルは、潜在的なセキュリティ問題を責任をもって開示する業界ベストプラクティスに取り組んでいます。そのためインテルなどの各ベンダーは来週から、多くのソフトウェアとファームウェアのアップデートが利用できるようになる予定です。インテルは、現在の不正確なメディア・レポートのためにこの声明を発表しています。ご使用のオペレーティングシステムのベンダーまたはシステムメーカに確認し、使用可能なアップデートがあればすぐに適用してください。一般的にマルウェアから保護する優れたセキュリティプラクティスに従うことで、アップデートを適用できるようになるまで、悪用される可能性を防ぎます。インテルは、自社製品が世界で最も安全であると考えており、パートナーの支援を得て、この問題に対する現在のソリューションが顧客に最高のセキュリティを提供していると考えています。上記のインテル社の公式声明を受けてIntel社の上記の公式声明は「不正確なメディア報道がなされているため」急ぎ発表されたようです。要するにインテル社だけの問題ではなく、他の会社も同様に脆弱性があるから他の企業と協力して対策をしているということです。1つ、インテルはコンピュータの性能低下の可能性に関しても「仮にパフォーマンスが低下したとしてもワークロードに依存し、一般ユーザーにはたいして影響はなく、しばらくすれば解消されるだろう」と言っています。使ってパスワードをクラッキングしています。今回のバグの影響は受けないようです。Intel、AMD、ARM各社の対応状況Meltdown、Spectreに対する対応パッチのリリース相次ぐ。IT各社はパッチ適用を呼びかけ。https://news.yahoo.co.jp/byline/ohmototakashi/20180105-00080130/インテル社ソフトウェアやファームウェアのアップデートを提供している。対してパッチを適用することを推奨しています。ベンチマークを取ったところ、ワークロード(ロードアベレージ)にパフォーマンスの影響は見られなかったそうです。既知の脅威からすべて保護されています。インスタンスは、他のインスタンスからの脅威に対して保護されています。ワークロードに有意義なパフォーマンスの影響は見られませんでした。パッチを適用することをお勧めします。パッチ適用により、これらのオペレーティングシステムが同じインスタンス内で実行されているソフトウェアを分離するために提供する保護が強化されます。マイクロソフト社マイクロソフト社もすでにパッチをリリースしています。https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002アップル社アップル社もすでに対応しています。パッチをリリースしました。パッチを必要としません。両方の影響を受けません。いう2つの名前で知られるセキュリティ問題を明らかにしました。これらの問題は、すべての最新のプロセッサに適用され、ほぼすべてのコンピューティングデバイスとオペレーティングシステムに影響します。デバイスは影響を受けますが、現時点では顧客に影響を与える既知の悪用はありません。信頼できるソースからのみソフトウェアをダウンロードすることをおすすめします。パッチをリリースしています。パッチをリリースする予定です。今後のアップデートでリリースします。潜在的に悪用される可能性があることが明らかになりました。アップデートを公開し、これらの攻撃手法を軽減する予定です。未満の影響があることが示されています。今後のアップデートでリリースします。社Google社もすでに対応しています。2018年1月23日前後に正式リリースする予定です。セキュリティチーム」です。Zeroセキュリティチームは、最新のマイクロプロセッサに影響する脆弱性を発見しました。製品全体の脆弱性からお客様を守るために取り組んでいます。業界全体のハードウェアおよびソフトウェアメーカーと協力して、ユーザーおよび広範なWebを保護しました。アプリケーションは、既に知られているすべての攻撃経路を防ぐために更新されています。Suiteのお客様およびユーザーは、この脆弱性から保護されるために何もする必要はありません。Platform(GCP)は既知の脆弱性をすべて回避するためにすでに更新されています。お客様に継続的な運用を提供しながら環境をアップデートできるように設計されています。テクノロジを使用して、ユーザーに影響を与えずに更新を実行し、強制的なメンテナンスウィンドウを必要とせず、再起動も必要ありませんでした。GCPサービスで独自のオペレーティングシステムを使用しているお客様は、画像に追加の更新を適用する必要があります。セクションを参照してください。Bulletinsページで追跡されます。含むデスクトッププラットフォーム全体で追加の強化機能としてサイト分離を利用できます。お客様は、特定のWebサイトまたはすべてのWebサイトのサイト分離を有効にすることができます。RedHat社RedHat社もすでにパッチをリリースしています。製品を実行しているお客様は、入手可能になったらすぐにアップデートすることを強く推奨します。影響を受けるすべての製品は、3つのバリエーションすべてを軽減するための修正を適用する必要があります。組み合わせたもの修正するには、CPUのマイクロコード/ファームウェアを有効にする必要があります。今回の脆弱性に対するパッチはリリースされています。以下の手順でチェックできます。GNU/Linux最近、アップデートをしていませんが、念のため、現在セキュリティパッチが適用されていないことを確認します。~]#初めに「yum-utils」をインストールします。パッケージがダウンロードされていることを確認します。2018年1月4日にリリースされたようです。~]#今回の脆弱性対応がされていることを確認します。ちなみにカーネルのバージョンは「kernel-3.10.0-693.11.6」です。update」で全てのパッケージをアップデートします。reboot再起動後にパッチが適用されていることを確認します。~]#まとめクラウド関連はすでに対策済みです。テクノロジを使用して、ユーザーに影響を与えずに更新を実行し、強制的なメンテナンスウィンドウを必要とせず、再起動も必要ありませんでした。ブライアント・M・クルザニッチは2017年11月29日に株を売り抜けていたようです。ago’)にすでに今回の脆弱性を発見していたのでインサイダー取引も可能です。コメントをキャンセルメールアドレスが公開されることはありません。コメントデータの処理方法の詳細はこちらをご覧ください。