Apple、「Meltdown」と「Spectre」の脆弱性がすべての Mac と iOS デバイスに影響を与えることを確認、一部の修正はすでにリリース済み [更新]

Apple は本日、以前にリリースされた iOS 11.2、macOS 10.13.2、および tvOS 11.2 アップデートで最近の「メルトダウン」脆弱性に対処し、「スペクター」脆弱性を防ぐための追加の修正が近い将来 Safari に提供されることを確認しました。

Apple はまた、この 2 つの脆弱性がすべての Mac および iOS デバイスに影響を与えることを確認しました。 Meltdown と Spectre をカバーする新しい サポート文書 から入手できる同社の声明全文は以下のとおりです。

セキュリティ研究者は最近、Meltdown と Spectre という 2 つの名前で知られるセキュリティ問題を発見しました。これらの問題は、最新のすべてのプロセッサに当てはまり、ほぼすべてのコンピューティング デバイスとオペレーティング システムに影響します。

すべての Mac システムと iOS デバイスが影響を受けますが、現時点では顧客に影響を与える既知のエクスプロイトはありません。これらの問題の多くを悪用するには、Mac または iOS デバイスに悪意のあるアプリをロードする必要があるため、App Store などの信頼できるソースからのみソフトウェアをダウンロードすることをお勧めします。

Apple は、メルトダウンを防ぐための緩和策を iOS 11.2、macOS 10.13.2、tvOS 11.2 ですでにリリースしています。 Apple Watch はメルトダウンの影響を受けません。数日以内に、Spectre からの防御に役立つ緩和策を Safari でリリースする予定です。これらの問題に対するさらなる緩和策の開発とテストを継続し、iOS、macOS、tvOS、watchOS の今後のアップデートでリリースする予定です。

Apple の声明では、これらの脆弱性が古いバージョンの iOS と Mac で対処されたかどうかは明らかにされていませんが、Mac については、macOS 10.13.2 と同時にリリースされた古いバージョンの macOS 用のセキュリティ アップデートがあったため、Sierra では修正がすでに利用可能になっている可能性があります。そしてエルキャピタン。

Spectre と Meltdown の脆弱性に関するニュースは今週初めて明らかになりましたが、Intel と Apple、Linux、Microsoft などの主要なオペレーティング システム ベンダーは数か月前からこの問題を認識しており、セキュリティ上の欠陥が公に共有される前に修正の準備に努めてきました。

Spectre と Meltdown は、 CPU の投機的実行メカニズムを悪用する深刻な脆弱性です。これらはハードウェア ベースの欠陥を利用しているため、オペレーティング システムの製造元はソフトウェアによる回避策を実装する必要があります。これらのソフトウェアによる回避策はプロセッサのパフォーマンスに影響を与える可能性がありますが、インテルはほとんどのユーザーが深刻な速度低下を経験することはないと主張しています。 Apple はまた、macOS と iOS では測定可能な影響は検出されていないと述べています。

Apple は、iOS 11.2、macOS 10.13.2、および tvOS 11.2 のメルトダウンに対する緩和策をリリースしました。 watchOS には緩和策は必要ありませんでした。公開ベンチマークを使用したテストでは、GeekBench 4 ベンチマークや、Speedometer、JetStream、ARES などの一般的な Web ブラウジング ベンチマークで測定した場合、2017 年 12 月のアップデートの変更によって macOS と iOS のパフォーマンスが目に見えるほど低下しないことがわかりました。 6.

Meltdown の脆弱性により、悪意のあるプログラムがカーネル メモリを読み取り、パスワード、電子メール、文書、写真などのデータにアクセスすることが可能になります。メルトダウンを悪用すると、ターゲット マシンの物理メモリ全体を読み取ることができます。この脆弱性は、クラウドベースのサービスで特に問題となります。

Spectre は 2 つの悪用手法をカバーしており、異なるアプリケーション間の分離を打ち破ります。 Apple は、Spectre の脆弱性を悪用することは困難だが、Web ブラウザの JavaScript を使用すれば悪用できると述べています。 Apple は、Spectre ベースのエクスプロイトを防ぐために、macOS および iOS 向けの Safari アップデートをリリースする予定です。

メルトダウンの脆弱性と同様、Apple は今後の Safari の緩和策は Speedometer と ARES-6 のテストには「測定可能な影響はなく」、JetStream ベンチマークへの影響は 2.5% 未満であると述べています。

Apple は、Spectre に対するさらなる緩和策のテストを継続し、iOS、macOS、tvOS、watchOS の将来のバージョンでリリースする予定であると述べています。

更新: Apple は 、Meltdown および Spectre のサポート文書 を更新し、Apple Watch がどちらの脆弱性の影響を受けないことを明確にしました。これまでAppleは、Apple Watchがメルトダウンの影響を受けていないことを確認しただけだった。

アップデート 2: Apple は、更新 されたセキュリティ サポート ドキュメント で、macOS Sierra および OS X El Capitan に対する修正もリリースされたことを確認しました。

アップデート 3: Sierra と El Capitan の修正を確認したサポート ドキュメントが再び更新され、これら 2 つのオペレーティング システムへの参照が削除されたため、これら 2 つの古いオペレーティング システムに対してメルトダウン修正がリリースされたかどうかは不明のままです。