マイクロプロセッササイドチャネル脆弱性 (CVE-2017-5715、CVE-2017-5753、CVE-2017-5754): Dell 製品への影響

CVE ID: CVE-2017-5715、CVE-2017-5753、CVE-2017-5754

デルは、2018年1月3日にセキュリティ調査チームにより報告されたサイドチャネル解析の脆弱性（名称: メルトダウンおよびスペクター）が、多数の最新マイクロプロセッサーに影響を及ぼすことを把握しています。現在のところこれらの脆弱性の「実社会」での悪用は報告されていませんが、研究者は概念実証を提示しています。

パッチに関するガイダンス

更新日：2019年10月11日

前述の脆弱性を軽減するために適用する必要がある重要なコンポーネントが3つあります。

1. 下記の影響を受けるデル製品の表に記載されているプロセッサーマイクロコードのアップデートをBIOSアップデートを介して適用します。
2. 該当するオペレーティング システムのパッチを適用してください。下記のOSパッチに関するガイダンスセクションを参照してください。
3. 該当するシステムには、次のNVIDIA GPUを搭載したデルクライアント製品セクションに表示されているNVIDIAドライバパッケージを適用してください。GeForce Experience（GFE）ソフトウェアを搭載したプラットフォームには、ドライバパッケージにもGFEの軽減バージョンが含まれています。

オペレーティングシステムのパッチで、Spectre（バリアント1）とMeltdown（バリアント3）を軽減できます。NVIDIAドライバのアップデートで、Spectre（バリアント1）を軽減できます。マイクロコードのアップデートが必要なのは、スペクター（バリアント2）、CVE-2017-5715のみです。

デルでは、影響を受ける製品や修正手順などの情報を入手し次第、この文書を更新していく予定です。

デルでは、お客様が一般的なマルウェア保護対策のセキュリティベストプラクティスに従って、可能性のあるこれらの脆弱性を狙った攻撃からの保護を行うことを推奨します。これらのプラクティスには、ソフトウェアアップデートを迅速に適用すること、未確認のハイパーリンクやWebサイトを避けること、未知のソースからファイルやアプリケーションをダウンロードしないこと、および安全なパスワードプロトコルに従うことなどが含まれます。またお客様が、マルウェアからの保護に役立つセキュリティソフトウェア（高度な脅威防御ソフトウェアやウイルス対策）を使用することも必要です。

メモ:

• デルのクライアント製品に関して影響を受けるプラットフォームのリストについては、情報が判明次第更新される予定です。
• Dell EMC 製品 (Dell PowerEdge サーバ、ストレージ、ネットワーク) の詳細については、Dell ナレッジベースの記事「マイクロプロセッササイドチャネル攻撃 (cve-2017-5715、cve-2017-5753、cve-2017-5754) 」を参照してください。Dell EMC 製品 (Dell Enterprise サーバ、ストレージ、ネットワーク) への影響

影響を受けるデルの消費者向け製品および法人のお客様向け製品

以下のシステムが影響を受けます。デルのBIOSリリース（BIOSアップデート）からパッチ適用ファームウェアを受け取れる予定です。このリストの日付は、お客様の計画を目的とした目安であり、利用可能な場合はパッケージをダウンロードするリンクと共に情報がアップデートされます。

メモ:

• BIOSリリースをインストールする前に、Windows Updateが最新の状態であることを確認してください。
• リストの日付は利用可能予定日ですが、予告なく変更されることがあります。
• 下記の日付は、MM/DD/YYの米国の形式です。
• これらのパッチには、Intel ME/TXEアドバイザリ（INTEL-SA-00086）のファームウェアコンポーネントが含まれている可能性があります。Intel ME/TXEアドバイザリに関するすべての詳細情報については、デルのナレッジベースを参照してください。
• 次の表には、Dellコンピューターの製品ページへのリンクならびに利用可能な最新のBIOSが記載されています。手順に従ってください。

次の手順を実行してください。

1. Dellサポートサイトにアクセスします。
2. 使用中のPCを特定する方法は3つあります。

   次のいずれかを実行します。

   • ［このPC］の下にリストされる使用中のPCをタッチまたはクリックします。
     注：注：［このPC］の下に使用中のPCがリストされない場合は、［SupportAssistのダウンロードとインストール］をタッチまたはクリックすると、お使いのPCが自動的に特定されます。プロンプトに従って、SupportAssistをダウンロードしてインストールします。
   • サービス タグ、Dell EMC製品ID、またはモデルを入力し、［検索］ボタンをタッチまたはクリックし、リストからお使いのPCを選択します。
   • ［すべての製品を参照］をタッチまたはクリックします。デバイスのタイプ、ブランド名、および製品モデルを選択する必要があります。
     注：注：詳細については、デルのナレッジベース記事「お使いのデルPCのモデル番号を判断する方法」、または次のビデオを参照してください。
3. 「Driver & downloads（ドライバおよびダウンロード）」タブをタッチまたはクリックします。
4. ［カテゴリー］の下のドロップダウン メニューを使用して、BIOSを選択します。
5. お使いのコンピューターにリストされている最新のBIOSの右側にある［ダウンロード］をタッチまたはクリックして、指示に従います。

注：

• ThinOSバージョン8.4以降は影響を受けません。
  ThinOSは「クローズ」OSとして設計されています（ThinOSで実行できるのはデル提供のソフトウェアのみです）。ThinOSでソフトウェアを参照、ダウンロード、またはインストールするためのWebブラウザや他のインターフェイスはありません。ThinOSのバージョン8.4では、ソフトウェアアップデートまたはパッケージのデジタル署名検証が導入されています。このため、ユーザ（管理者を含む）は、ThinOSに他のソフトウェア（基盤となるCPUの脆弱性を悪用する可能性のあるマルウェアを含む）をダウンロードまたはインストールすることはできません。お客様に、デバイスを最新バージョンのThinOSにアップデートしていただく必要があります。デルでは今後も状況をモニタしていきます。

次の手順を実行してください。

1. Dellサポートサイトにアクセスします。
2. 使用中のPCを特定する方法は3つあります。

   次のいずれかを実行します。

   • ［このPC］の下にリストされる使用中のPCをタッチまたはクリックします。
     注：注：［このPC］の下に使用中のPCがリストされない場合は、［SupportAssistのダウンロードとインストール］をタッチまたはクリックすると、お使いのPCが自動的に特定されます。プロンプトに従って、SupportAssistをダウンロードしてインストールします。
   • サービス タグ、Dell EMC製品ID、またはモデルを入力し、［検索］ボタンをタッチまたはクリックし、リストからお使いのPCを選択します。
   • ［すべての製品を参照］をタッチまたはクリックします。デバイスのタイプ、ブランド名、および製品モデルを選択する必要があります。
     注：注：詳細については、デルのナレッジベース記事「お使いのデルPCのモデル番号を判断する方法」、または次のビデオを参照してください。
3. ［オペレーティング システム］にあるドロップダウン メニューで、コンピューターにインストールされているオペレーティング システムを選択します。
4. ［カテゴリー］のドロップダウン メニューで、［ビデオ］を選択します。
5. お使いのコンピューターに対してリストされている最新のビデオまたはグラフィック ドライバーの右にある［ダウンロード］をタッチまたはクリックして、表示される指示に従ってください。

OSパッチに関するガイダンス

以下に示すオペレーティングシステムは影響を受けるため、該当するオペレーティングシステムのアドバイザリで提供される手順に従ってアップデートする必要があります。

マイクロソフトアドバイザリ: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV180002

RedHat: https://access.redhat.com/security/vulnerabilities/speculativeexecution

SuSe: https://www.suse.com/support/kb/doc/?id=7022512

Ubuntu: https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown

ChromeOS: https://support.google.com/faqs/answer/7622138#chromeos

リファレンス

インテル・セキュリティ・アドバイザリ: https://security-center.intel.com/advisory.aspx?intelid=INTEL-SA-00088&languageid=en-fr

NVIDIAセキュリティブルティン:

• セキュリティ情報: セキュリティブルティン: CPUの投機的サイドチャネル脆弱性に対応するためのNVIDIAドライバのセキュリティアップデート
• セキュリティ情報: セキュリティブルティン: CPUの投機的サイドチャネル脆弱性に対応するためのNVIDIA GeForce Experience（GFE）のセキュリティアップデート

AMDアップデート: http://www.amd.com/en/corporate/speculative-execution

Google Project Zeroのブログ投稿: https://googleprojectzero.blogspot.com/2018/01/reading-privileged-memory-with-side.html

調査報告書: https://meltdownattack.com