掲載日：2018.01.15 最終更新日：2018.11.16日頃は、NEC Express5800/50シリーズ製品をご愛用いただきまして誠にありがとうございます。 このたび第三者機関により発見され、複数の研究機関、企業から情報公開されております、投機的実行機能や アウトオブオーダー実行機能を持つプロセッサーの脆弱性につきまして、ご案内いたします。 弊社対象装置をご利用いただいている場合、悪意のあるプログラムによりセキュリティの脆弱性を突いた攻撃を 受けると、メモリのデータを不正に取得されてしまう可能性があります。 NECでは本件の対策のために、対象装置のシステムBIOSのアップデートを行います。 対象装置、およびアップデートモジュールの公開時期と公開ページ情報を以下に順次掲載して参りますので、 対象装置ごとの公開情報に基づき、ご対応いただきますようお願いいたします。■ 脆弱性に関する情報
・以下の何れの脆弱性とも、脆弱性を突いた攻撃を受けた場合に、対象装置内のメモリのデータを不正 に取得されてしまう可能性があります。 ・悪意のあるプログラムがシステム上で実行されない場合は、本脆弱性による被害に遭うことはありません。 ・本脆弱性によるデータの改ざんの可能性はありません。 ＜2018年8月に公表された脆弱性（CVE-2018-3615、CVE-2018-3620、CVE-2018-3646）＞ ・関連情報 JVNVU#97646030 「Intel 製 CPU の投機的実行機能に対するサイドチャネル攻撃 (L1TF)」 <https://jvn.jp/vu/JVNVU97646030/> ・インテル社から公開されたプレスリリース(脆弱性情報・英文) Security Exploits and Intel Products <https://newsroom.intel.com/press-kits/security-exploits-intel-products/> (Aug. 14, 2018: Protecting Our Customers through the Lifecycle of Security Threats) ＜2018年5月に公表された脆弱性（CVE-2018-3639、CVE-2018-3640）＞ ・関連情報 JVNVU#97971879 「投機的実行機能を持つ CPU に対するキャッシュサイドチャネル攻撃」 <http://jvn.jp/vu/JVNVU97971879/> ・インテル社から公開されたプレスリリース(脆弱性情報・英文) Security Exploits and Intel Products <https://newsroom.intel.com/press-kits/security-exploits-intel-products/> (May 21, 2018: Addressing New Research for Side-Channel Analysis) ＜2018年1月に公表された脆弱性（CVE-2017-5715、CVE-2017-5753、CVE-2017-5754）＞ ・関連情報 JVNVU#93823979 「CPU に対するサイドチャネル攻撃」 <https://jvn.jp/vu/JVNVU93823979/> ・インテル社から公開されたプレスリリース(脆弱性情報・英文) Security Exploits and Intel Products <https://newsroom.intel.com/press-kits/security-exploits-intel-products/> (Jan. 3, 2018: Intel Responds to Security Research Findings)■ 対処方法
対象装置のシステムBIOSアップデートと、使用されているオペレーティングシステムの修正適用が必要です。 なお、本対処により、お客様がお使いの装置の用途、負荷によっては処理性能が低下する場合があります。 ・システムBIOSアップデート ＜対象機種一覧、修正物件公開時期＞ - 対象機種一覧情報、および公開時期の情報は随時更新いたします。 - 掲載の対象は、補修用部品保有期限内の製品となります。 Express5800/50シリーズ
・システムBIOS適用のご注意 BIOSの取得およびご適用の前に、ご使用いただいております製品のBIOSバージョンを必ずご確認いただき、 対策適用以降の最新バージョンをご適用ください。
・オペレーティングシステムの修正適用 各OSベンダから公開されております対策情報をご参照ください。 [Windows] マイクロソフト社の下記サイトにて対策の情報が公開されています。 - 投機的実行のサイドチャネルの脆弱性を緩和するガイダンス <https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV180002> - Windows Serverを投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス <https://support.microsoft.com/ja-jp/help/4072698> - 重要:2018年1月4日にリリースされたWindowsセキュリティ更新プログラムとウイルス対策ソフトウェア <https://support.microsoft.com/ja-jp/help/4072699> - 投機的ストア バイパスに関するマイクロソフト ガイダンス <https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180012> - L1TF バリアントを緩和するためのマイクロソフト ガイダンス <https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180018>