Ubuntu 23.04 その73 - Intel CPUに機密情報漏洩の脆弱性・GDS DownfallとUbuntuの対応方針

GDS DownfallとUbuntuの対応方針

2023年8月8日、一部の Intel CPU で発生する機密情報漏洩の脆弱性情報が公開されました。
またこれに伴い2023年8月25日、Ubuntu のセキュリティーチームは本件に関する Ubuntu の対応方針をアナウンスしました。

最新情報を入手するには

「GDS Downfall」と Ubuntu の対応方針に関する最新情報を入手するには、以下を参照してください。

• GDS_Downfall

Gather

「Gather Data Sampling（GDS）」の Gather は Intel CPU が実装している「Intel AVX2（Advanced Vector Extensions 2）」及び「Intel AVX-512（Advanced Vector Extensions 512）」が提供する機能であり、メモリからデータを読み込む機能を提供しています。
攻撃者はこの機能を利用してメモリから機密情報を取得できる可能性があります。

• Gather Data Sampling

影響を受けるIntel CPU

本件に影響を受ける Intel CPU の一覧は、以下を参照してください。

• Affected Processors: Guidance for Security Issues on Intel® Processors

おおよそ「第6世代Intel CPU（Skylake）」から「第11世代Intel CPU（Rocket Lake）」までの Intel CPU が対象ですが、詳細は上記リンク先を参照してください。

対応方針

本脆弱性の影響を緩和する軽減策は、Intel がリリースする Intel CPU 向けのマイクロコードのアップデートで対応されます。

また本脆弱性に対応した Linux kernel もリリースされる予定ですが、Linux kernel は本脆弱性の軽減に直接寄与するものではなく、主に本脆弱性の対応状況を確認及び報告する仕組みの提供や、ユーザーが軽減策を無効にできるようにするオプションを提供することが目的です。
加えて AVX を強制的に無効化する機能も導入される予定です。

パフォーマンスへの影響

サーバー及びクライアントアプリでは Gather 命令をほとんど使用しないため、軽減策の導入による影響は軽微だと思われます。
ただし機械学習や高度な演算を行うソフトウェア、グラフィックレンダリングアプリ、科学技術アプリなど、データセンターやHPCの分野で利用されるソフトウェアやワークフローでは、相応の影響を受ける可能性があります。

軽減策の無効化

パフォーマンスへの影響が無視できず、また十分な安全性が確保できる場合、 Linux kernel の起動オプションに以下のオプションを指定することで、軽減策を無効化できます。

Ubuntuの対応状況

2023年8月25日時点での Ubuntu での対応状況を紹介します。

1. マイクロコード

本脆弱性に対応した Intel CPU 向けのマイクロコードは、2023年8月14日にすでに Ubuntu ユーザー向けにリリースされています。

• USN-6286-1: Intel Microcode vulnerabilities

パッケージ名は「intel-microcode」でバージョンは「3.20230808」です。
「ソフトウェアの更新」からすべてのソフトウェアをアップデートしておきましょう。
このアップデートは以下の Ubuntu 向けにリリースされています。

• Ubuntu 23.04
• Ubuntu 22.04 LTS
• Ubuntu 20.04 LTS
• Ubuntu 18.04 ESM
• Ubuntu 16.04 ESM

2. Linux kernel

本脆弱性に対応した Linux kernel のリリースは現在作業中です。
パブリッククラウド向けの Linux kernel も現在作業中です。
今後アップデートが提供される予定です。