Linuxでメルtdown CPU脆弱性を確認し修正する方法

メルトダウンは、ユーザープログラムとオペレーティングシステムの間の最も基本的な隔離を破るチップレベルのセキュリティ脆弱性です。これにより、プログラムはオペレーティングシステムのカーネルや他のプログラムのプライベートメモリ領域にアクセスでき、パスワードや暗号鍵、その他の秘密などの機密データを盗む可能性があります。

スペクトルは、異なるプログラム間の隔離を破るチップレベルのセキュリティ欠陥です。これにより、ハッカーはエラーのないプログラムを騙して、機密データを漏洩させることが可能になります。

これらの欠陥はモバイルデバイス、パーソナルコンピュータ、クラウドシステムに影響を与えます。クラウドプロバイダーのインフラストラクチャによっては、他の顧客からデータにアクセスしたり、盗んだりすることが可能かもしれません。

私たちは、Linuxシステムをスキャンして、カーネルにMeltdownおよびSpectre攻撃に対する既知の適切な緩和策が施されているかどうかを確認するための便利なシェルスクリプトを見つけました。

spectre-meltdown-checkerは、あなたのLinuxシステムが今年の初めに公開された3つの「投機実行」CVEs（共通の脆弱性および露呈）に対して脆弱かどうかをチェックするためのシンプルなシェルスクリプトです。これを実行すると、現在実行中のカーネルを検査します。

オプションとして、複数のカーネルをインストールしていて、現在実行していないカーネルを確認したい場合は、コマンドラインでカーネルイメージを指定できます。

これは、システムで表示されるカーネルバージョン番号を考慮せずに、バックポートされた非オリジナルパッチを含む緩和策を重要に検出しようとします。このスクリプトを正確な情報を得るために、sudoコマンドを使用して管理者権限で実行する必要があることに注意してください。

$ git clone https://github.com/speed47/spectre-meltdown-checker.git 
cd spectre-meltdown-checker/
sudo ./spectre-meltdown-checker.sh

上記のスキャンの結果から、私たちのテストカーネルは3つのCVEに脆弱であることがわかりました。さらに、これらのプロセッサのバグに関して注意すべきいくつかの重要なポイントがあります。

• システムに脆弱なプロセッサがあり、パッチが適用されていないカーネルを実行している場合、情報が漏洩するリスクなしに機密情報を扱うことは安全ではありません。
• 幸いなことに、MeltdownとSpectreに対するソフトウェアパッチが存在し、詳細はMeltdownおよびSpectreの研究ホームページに提供されています。

最新のLinuxカーネルは、これらのプロセッサのセキュリティバグを無効化するように再設計されています。したがって、カーネルのバージョンを更新し、サーバーをrebootして更新を適用してください。

$ sudo yum update      [On CentOS/RHEL]
sudo dnf update      [On Fedora]
sudo apt-get update  [On Debian/Ubuntu]
pacman -Syu          [On Arch Linux]

再起動後、spectre-meltdown-checker.sh スクリプトで再度スキャンすることを確認してください。

spectre-meltdown-checkerのGitHubリポジトリからCVEの概要を見つけることができます。