“MCEPSC”への対応また新しいCPU脆弱性がやってきました。CVE-2019-11135)は,半年前のMDS(としてグループにされた攻撃手法のひとつ,ZombieLoad)のバリエーションで,TSX命令をターゲットとするものです。Processsorシリーズ以降)のIntel製CPUに搭載されています。おおむね最新世代のプロセッサであり,言い換えると『この脆弱性に限っての話であれば』「⁠この2年ぐらいのマシンでなければそのまま忘れてもよい」ということになります。Ubuntuでも業界全体の動き(注1)にあわせて対応が進められており,同時に公表された他の脆弱性への対応とあわせてナレッジベースが準備されています。注1こうした業界全体での取り組みは,現在ではLinuxカーネル開発でプロセスとして取り込まれ,脆弱性発見時にどのような動きをするべきか,明確な対応プロシージャとして対応が定められています。TAAはMeletdown/Spectreに近似する「本来読めないメモリの中身を読み出す方法として機能する」タイプの脆弱性です。ソフトウェア的な回避方法はMDSとほぼイコールで,MDSの緩和策がそのままTAAを抑止する効果があります。CPU内部の処理アプローチに強く依存するため,Intel以外のCPUでは影響はありません。v2)への対応は以下の3つに分かれます。Intel製CPUを利用していない:特に気にする点はありません。Intel製CPUを利用しており,かつ、TSXをサポートしているモデルである:今回の攻撃のメインターゲットです。カーネル・マイクロコードのいずれかでの対応が必要です。副作用として一定の性能劣化が発生します。同時に発見されたMCEPSCへの対応も別途必要かもしれません。Intel製CPUを利用しているが,TSXをサポートしていない:TAAそのものは気にする必要はありません。同時に発見されたMCEPSCへの対応が別途必要かもしれません。......とりあえず,なんだかよく分からない場合は,Ubuntuでは「カーネルとマイクロコードパッケージを更新して再起動」と理解しておいてください(このアップデートにはLivepatchは用意されていないので,再起動が必須です⁠)⁠。詳細を理解しており,そのシステムで信頼できないコードが実行されない確証が得られている場合,パフォーマンスを優先するためにTAA回避をオフにする選択肢もありえるかもしれません。これで対応完了というわけにはいきません。『⁠この脆弱性に限っての話であれば』という話であることを思い出してください。v2と同時に,いくつかの脆弱性も報告されています。CVE-2018-12207)で,未対処な環境でこの脆弱性を悪用することで,「⁠信頼できないゲストOS」が動作しうる環境(≒いわゆるクラウド環境)において,ゲスト側から仮想ホストをクラッシュさせることが可能です。この問題によるクラッシュの場合,クラッシュ後にMSRを確認することで,IA32_MCi_STATUS.MCACODに0150Hが格納されている特徴点があります(注2⁠)⁠。multihitと呼ばれます。注2「MCEが起きたが0150H以外の値が格納されていた」という場合は単にハードウェアが壊れているか,極度に不運な事案が起きたと判断するべきです。Exceptionが起きる」というのは「何かが起きた」程度の意味しかなく,格納されている値によって対応を変更する必要があります。0150Hが発生している場合に必ずMCEPSCが悪用されたことを意味するわけではなく,カーネルの実装がなにかおかしい,という可能性もあります。MCEPSCはあくまで,「⁠ゲストOSから任意にMCE:0150Hを誘発できる」という問題でしかありません。実行にはゲストOS側のroot権限が必要なため,「⁠ゲストOSが乗っ取られた」というシナリオでも悪用される可能性はありえます。Intel製CPUを利用していない:特に気にする点はありません。Intel製CPUを利用している:一部のAtom以外は影響を受ける可能性があります。信頼できない仮想マシンが実行される可能性がある場合は対処を行ったほうが良いかもしれません。対応のためには仮想ゲストをホストする側のOSカーネル(や,ハイパーバイザー)の更新が必要ですが,こちらもUbuntuでは対応済みであり,「⁠カーネルパッケージを更新して再起動する」というのが通常の対応となります。こちらにはマイクロコードの更新は関係ありません。......ここまではCPU脆弱性に関する対応ですが,あわせて,CPUに内蔵されたiGPUに関する2つの脆弱性にも対処が必要です(CVE-2019-0155/INTEL-SA-00242とCVE-2019-0154/INTEL-SA-00260⁠)⁠。これらも対処としてはカーネルの更新が必要,というパターンになります。Intel製NICやWIFIドライバについてもIPMIを搭載しているサーバーの場合はそちらの更新も必要な可能性があります(注3⁠)⁠。いえ一般的なクライアント的な用途であれば,とりあえず「カーネルを更新すればOK」という発想でもそこまで大きな問題はないでしょう。注3ここで注意するべき点は,今回の問題は「Intel脆弱性出し過ぎ」という話ではなく,「⁠Intelは真面目に脆弱性情報を出しているからこれだけの問題がリストされている」という観点を持つべきである,ということです。他ベンダとの単純な比較はほとんど意味がありません。その他のニュースDockerイメージを縮小するために--no-install-recommendsオプションを駆使して60%の削減を達成したという話題。Lake/第10世代Core(注4)サポートのための各種パッチがマージされています。注4ノートPCはこの秋の新製品としてリリースされています。デスクトップ向けはおそらく来年となるはずです。ESM用のアップデータがリリースされています。Report.add_proc_environ関数の互換性が失われていました。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2019-18277を修正します。Smugglingが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2019-5477を修正します。悪意ある入力を行うことで,コマンドインジェクションが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。70.0.1のUbuntuパッケージ版です。対処方法:アップデータを適用の上,Firefoxを再起動してください。ESM用のアップデータがリリースされています。CVE-2019-14866を修正します。悪意あるファイル名を利用することで,tarファイルに本来期待しえない情報が含まれる場合がありました。対処方法:通常の場合,アップデータを適用することで問題を解決できます。19.10用のアップデータがリリースされています。特定の環境において,本来期待されていないファイルが共有されてしまうことがありました。対処方法:アップデータを適用の上,セッションを再起動(一度ログアウトして再度ログイン)してください。LTS用のアップデータがリリースされています。CVE-2019-8771を修正します。対処方法:アップデータを適用の上,WebKitGTK+を利用しているアプリケーションを再起動してください。備考:upstreamのリリースをそのまま利用したパッケージです。19.10・19.04用のアップデータがリリースされています。CVE-2019-18397を修正します。特定のバイト列を含めたテキストを処理させることで,スタックベースオーバーフローを誘発させることが可能でした。DoSまたは,特異な状況を仮定した場合に任意のコードの実行に繋がると考えられます。対処方法:通常の場合,アップデータを適用することで問題を解決できます。ESM用のアップデータがリリースされています。CVE-2012-6711を修正します。悪意ある入力を行うことで,DoSないし任意のコードの実行が可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2019-8814を修正します。対処方法:アップデータを適用の上,WebKitGTK+を利用しているアプリケーションを再起動してください。備考:upstreamのリリースをそのまま利用したパッケージです。ESM用のアップデータがリリースされています。CVE-2019-11139を修正します。v2対策を含むマイクロコードです。対処方法:アップデータを適用の上,システムを再起動してください。カーネルの更新があわせて必要です。19.10用のアップデータがリリースされています。CVE-2019-17666を修正します。v2対策を含むカーネルです。当初のリリースのカーネルには{CVE-1019-0155}の制約を回避できる問題があったため,対応バージョンに注意が必要です。対処方法:アップデータを適用の上,システムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。LTS用のアップデータがリリースされています。CVE-2019-17666を修正します。v2対策を含むカーネルです。当初のリリースのカーネルには{CVE-1019-0155}の制約を回避できる問題があったため,対応バージョンに注意が必要です。対処方法:アップデータを適用の上,システムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。LTS用のアップデータがリリースされています。CVE-2019-17666を修正します。v2対策を含むカーネルです。当初のリリースのカーネルには{CVE-1019-0155}の制約を回避できる問題があったため,対応バージョンに注意が必要です。対処方法:アップデータを適用の上,システムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。ESM用のアップデータがリリースされています。CVE-2019-2215を修正します。v2対策を含むカーネルです。当初のリリースのカーネルには{CVE-1019-0155}の制約を回避できる問題があったため,対応バージョンに注意が必要です。対処方法:アップデータを適用の上,システムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。ESM用のアップデータがリリースされています。CVE-2019-11135を修正します。v2対策を含むカーネルです。当初のリリースのカーネルには{CVE-1019-0155}の制約を回避できる問題があったため,対応バージョンに注意が必要です。対処方法:アップデータを適用の上,システムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。ESM用のアップデータがリリースされています。CVE-2019-11135を修正します。v2対策を含むカーネルです。対処方法:アップデータを適用の上,システムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。ESM用のアップデータがリリースされています。CVE-2019-17056を修正します。v2対策を含むカーネルです。当初のリリースのカーネルには{CVE-1019-0155}の制約を回避できる問題があったため,対応バージョンに注意が必要です。対処方法:アップデータを適用の上,システムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。LTS用のアップデータがリリースされています。CVE-2019-14818を修正します。悪意ある加工を施した入力を行うことで,リソース過大消費を発生させることが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2019-2201を修正します。悪意ある加工を施したファイルを処理させることで,任意のコードの実行・DoSが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。ESM用のアップデータがリリースされています。CVE-2019-15890を修正します。悪意あるゲストからホストをクラッシュさせることが可能な複数の問題がありました。ネットワークACLの迂回が可能でした。対処方法:アップデータを適用の上,QEMU仮想マシンを再起動してください。LTS用のアップデータがリリースされています。CVE-2019-16713を修正します。悪意ある加工を施したファイルを処理させることで,任意のコードの実行・DoSが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2019-14869を修正します。悪意ある加工を施したファイルを処理させることで,任意のコードの実行・DoSが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2019-3466を修正します。ディレクトリ作成時に適切なチェックが行われていないため,権限昇格に利用できました。対処方法:通常の場合,アップデータを適用することで問題を解決できます。Unixを併用している。Teamではパッケージサーバの管理や翻訳などの作業を担当。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。