掲載日：2018.01.12
最終更新日：2019.04.24

日頃は、Express5800シリーズ/iStorage NSシリーズ製品をご愛用いただき、誠にありがとうございます。 このたび、投機的実行機能やアウトオブオーダー実行機能を持つプロセッサーにおいて、新たな脆弱性（CVE-2018-3615、CVE-2018-3620、CVE-2018-3646）が発覚いたしました。
本脆弱性の対象装置に対して、悪意のあるプログラムにより攻撃を受けると、メモリ内のデータが不正に取得されてしまう可能性があります。

この新たな脆弱性は、本ページにてご案内させていただいている投機的実行機能やアウトオブオーダー実行機能を持つプロセッサーに対する以下の脆弱性に類似するもので、システムBIOSとオペレーティングシステムの両観点から対策が必要になります。

• 2018年1月ご案内（CVE-2017-5715、CVE-2017-5753、CVE-2017-5754）
• 2018年5月ご案内（CVE-2018-3639、CVE-2018-3640）

上記新たな脆弱性(2018年8月)につきまして、本ページにて対応方法・対応状況を順次ご案内して参りますので、ご対応いただきますようお願いいたします。

脆弱性に関する情報

• 以下の何れの脆弱性とも、脆弱性を突いた攻撃を受けた場合に、対象装置内のメモリのデータを不正に取得されてしまう可能性があります。
• 悪意のあるプログラムがシステム上で実行されない場合は、本脆弱性による被害に遭うことはありません。
• 本脆弱性によるデータの改ざんの可能性はありません。

2018年8月に公表された脆弱性（CVE-2018-3615、CVE-2018-3620、CVE-2018-3646）

• 関連情報
  JVNVU#97646030 「Intel 製 CPU の投機的実行機能に対するサイドチャネル攻撃 (L1TF)」
  <https://jvn.jp/vu/JVNVU97646030/>
• インテル社から公開されたプレスリリース(脆弱性情報・英文)
  Security Exploits and Intel Products
  <https://newsroom.intel.com/press-kits/security-exploits-intel-products/>
  (Aug. 14, 2018: Protecting Our Customers through the Lifecycle of Security Threats

2018年5月に公表された脆弱性（CVE-2018-3639、CVE-2018-3640）

• 関連情報
  JVNVU#97971879 「投機的実行機能を持つ CPU に対するキャッシュサイドチャネル攻撃」
  <http://jvn.jp/vu/JVNVU97971879/>
• インテル社から公開されたプレスリリース(脆弱性情報・英文)
  Security Exploits and Intel Products
  <https://newsroom.intel.com/press-kits/security-exploits-intel-products/>
  (May 21, 2018: Addressing New Research for Side-Channel Analysis)

2018年1月に公表された脆弱性（CVE-2017-5715、CVE-2017-5753、CVE-2017-5754）

• 関連情報
  JVNVU#93823979 「CPU に対するサイドチャネル攻撃」
  <https://jvn.jp/vu/JVNVU93823979/>
• インテル社から公開されたプレスリリース(脆弱性情報・英文)
  Security Exploits and Intel Products
  <https://newsroom.intel.com/press-kits/security-exploits-intel-products/>
  (Jan. 3, 2018: Intel Responds to Security Research Findings)

対処方法

上述した何れの脆弱性とも、対象装置のシステムBIOSアップデートと、使用されているオペレーティングシステムの修正適用が必要です。

システムBIOSのアップデート

以下の対象機種一覧に修正物件の公開時期および公開先を記載しています。
該当する修正物件をダウンロードして適用ください。

対象機種一覧、修正物件公開時期

• 2018年8月に公表された新たな脆弱性（CVE-2018-3615、CVE-2018-3620、CVE-2018-3646）への対策BIOSは、2018年5月に公表された脆弱性（CVE-2018-3639、CVE-2018-3640）の対策BIOSと同じものとなります。
• 対象機種一覧情報、および公開時期の情報は随時更新いたします。
• 掲載の対象は、補修用部品保有期限内の製品となります。
  
• 対象装置リスト
  各シリーズは以下のページをご参照ください。
  • p1-3 Express5800/100シリーズ
  • p4　 Express5800/SIGMABLADE
  • p5　 Express5800/ftサーバー
  • p6　 DX2000シリーズ
  • p7　 Express5800/スケーラブルHAサーバ
  • p8　 Express5800/InterSecシリーズ
  • p9　 iStorage NSシリーズ
• システムBIOS適用のご注意
  BIOSの取得およびご適用の前に、ご使用いただいております製品のBIOSバージョンを必ずご確認いただき、対策適用以降の最新バージョンをご適用ください。

オペレーティングシステムの修正適用

各OSベンダから公開されております対策情報をご参照ください。
なお、本対処により、お客様がお使いの装置の用途、負荷によっては処理性能が低下する場合があります。

2018年8月に公表された脆弱性（CVE-2018-3615、CVE-2018-3620、CVE-2018-3646）への対応

• [Windows]
  マイクロソフト社の下記サイトにて対策情報が公開されています。
  - ADV180018 | L1TF バリアントを緩和するためのマイクロソフト ガイダンス
  <https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180018>
• [VMware]
  VMware社の下記サイトにて対策の情報が公開されています。
  - VMSA-2018-0020M
  VMware vSphere, Workstation, and Fusion updates enable Hypervisor-Specific Mitigations for L1 Terminal Fault - VMM vulnerability.
  <https://www.vmware.com/security/advisories/VMSA-2018-0020.html>
• [Linux(RHEL)]
  Red Hat社の下記サイトにて対策の情報が公開されています。
  - L1TF - L1 Terminal Fault Attack - CVE-2018-3620 & CVE-2018-3646
  <https://access.redhat.com/security/vulnerabilities/L1TF>
• [Linux(SUSE Linux)]
  SUSE社の下記サイトにて対策の情報が公開されています。
  - Security Vulnerability: "L1 Terminal Fault" (L1TF) aka CVE-2018-3615, CVE-2018-3620 & CVE-2018-3646.
  <https://www.suse.com/ja-jp/support/kb/doc/?id=7023077>

2018年5月に公表された脆弱性（CVE-2018-3639、CVE-2018-3640）への対応

• [Windows]
  マイクロソフト社の下記サイトにて対策情報が公開されています。
  - ADV180012 | Microsoft Guidance for Speculative Store Bypass
  <https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180012>
  - ADV180013 | Microsoft Guidance for Rogue System Register Read
  <https://portal.msrc.microsoft.com/ja-JP/security-guidance/advisory/ADV180013>
• [VMware]
  VMware社の下記サイトにて対策の情報が公開されています。
  - VMSA-2018-0012
  VMware vSphere, Workstation and Fusion updates enable Hypervisor-Assisted Guest Mitigations for Speculative Store Bypass issue.
  <https://www.vmware.com/security/advisories/VMSA-2018-0012.html>
• [Linux(RHEL)]
  Red Hat社の下記サイトにて対策の情報が公開されています。
  - Kernel Side-Channel Attack using Speculative Store Bypass - CVE-2018-3639
  <https://access.redhat.com/security/vulnerabilities/ssbd>
• [Linux(SUSE Linux)]
  SUSE社の下記サイトにて対策の情報が公開されています。
  - Security Vulnerability: Spectre Variant 4 (Speculative Store Bypass) aka CVE-2018-3639.
  <https://www.suse.com/support/kb/doc/?id=7022937>

2018年1月に公表された脆弱性（CVE-2017-5715、CVE-2017-5753、CVE-2017-5754）への対応方法

• [Windows]
  マイクロソフト社の下記サイトにて対策の情報が公開されています。
  - 投機的実行のサイドチャネルの脆弱性を緩和するガイダンス
  <https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/ADV180002>
  - Windows Serverを投機的実行のサイドチャネルの脆弱性から保護するためのガイダンス
  <https://support.microsoft.com/ja-jp/help/4072698>
  - 重要:2018年1月4日にリリースされたWindowsセキュリティ更新プログラムとウイルス対策ソフトウェア
  <https://support.microsoft.com/ja-jp/help/4072699>
• [VMware]
  VMware社の下記サイトにて対策の情報が公開されています。
  - VMSA-2018-0002.2
  VMware ESXi, Workstation and Fusion updates address side-channel analysis due to speculative execution.
  <https://www.vmware.com/security/advisories/VMSA-2018-0002.html>
  - VMSA-2018-0004
  VMware vSphere, Workstation and Fusion updates add Hypervisor-Assisted Guest Mitigations for speculative execution issue
  <https://www.vmware.com/security/advisories/VMSA-2018-0004.html>
  - VMSA-2018-0007
  VMware Virtual Appliance updates address side-channel analysis due to speculative execution
  <https://www.vmware.com/security/advisories/VMSA-2018-0007.html>
• [Linux(RHEL)]
  Red Hat社の下記サイトにて対策の情報が公開されています。
  - Kernel Side-Channel Attacks - CVE-2017-5754 CVE-2017-5753 CVE-2017-5715
  <https://access.redhat.com/security/vulnerabilities/speculativeexecution>
• [Linux(SUSE Linux)]
  SUSE社の下記サイトにて対策の情報が公開されています。
  - SUSE Addresses Meltdown and Spectre Vulnerabilities
  <https://www.suse.com/c/suse-addresses-meltdown-spectre-vulnerabilities/>
  - Security Vulnerability: "Meltdown" and "Spectre" side channel attacks against modern CPUs.
  <https://www.suse.com/ja-jp/support/kb/doc/?id=7022512>
  - Security Vulnerability: "Meltdown" and "Spectre" - Hypervisor Information.
  <https://www.suse.com/de-de/support/kb/doc/?id=7022514>