AMDが最新のZen 5アーキテクチャを含む全CPUに影響する重大なセキュリティ脆弱性「EntrySign」の存在を認めた。先月Zen 1からZen 4まで影響するとされていた同脆弱性が、最新のZen 5プロセッサにも影響することが判明し、セキュリティ対策の重要性が改めて浮き彫りになっている。
Zen 5にも影響する「EntrySign」脆弱性の詳細
先月、Google Security Teamが「EntrySign」と名付けられたAMD CPUのセキュリティ脆弱性を特定し、Zen 1からZen 4までのプロセッサに影響することを報告した。AMDのセキュリティ情報更新によると、この脆弱性はZen 5アーキテクチャを採用するすべての製品にも影響することが新たに確認された。
脆弱性ID「AMD-SB-7033」として追跡されている「EntrySign」は、AMDのマイクロコードパッチローダーにおける不適切な署名検証を悪用するもので、悪意のある第三者がリング0（カーネルレベル）のアクセス権を持つ場合、プロセッサ上で任意のマイクロコードを実行できてしまう問題だ。
影響を受ける製品と対応策
AMDの公式情報によると、以下のZen 5ベースのCPUが今回の脆弱性の影響を受ける：
- Ryzen 9000シリーズ（Granite Ridge）
- EPYC 9005シリーズ（Turin）
- Ryzen AI 300シリーズ（Strix Halo、Strix Point、Krackan Point）
- Ryzen 9000HXシリーズ（Fire Range）
AMDはすでにこの問題に対処するため、マザーボードメーカー向けに「ComboAM5PI 1.2.0.3c」AGESAファームウェアを配布している。ユーザーは各マザーボードメーカーのウェブサイトを定期的にチェックし、BIOSアップデートが公開され次第適用することが推奨される。
なお、サーバー向けEPYC Turinプロセッサに影響するSEV（Secure Encrypted Virtualization）関連の脆弱性（ID：AMD-SB-3019）については、対策が今月後半にリリースされる予定だという。
マイクロコードとセキュリティの関係
この問題を理解するためには、マイクロコードの役割を知る必要がある。マイクロコードはCPUの低レベル命令で、機械語（バイナリ）と物理ハードウェアの橋渡しをする役割を果たす。
CPUは工場出荷時、読み取り専用メモリ（ROM）に組み込まれた基本マイクロコードを搭載しており、これは変更不可能だ。しかし、CPU販売開始後に脆弱性が発見された場合、IntelやAMDなどのメーカーは修正パッチとして新しいマイクロコードをリリースできる。
現代のオペレーティングシステムやシステムのファームウェア（BIOS/UEFI）は、起動初期段階でマイクロコードアップデートを読み込むことができる。ただし、このパッチは特定のセッション期間中のみ有効であり、システムの再起動後は消える。
脆弱性の技術的詳細と影響範囲
「EntrySign」脆弱性はAMDのハッシュアルゴリズムの弱点を突き、署名検証プロセスをバイパスして潜在的に安全でないマイクロコードを実行できる。サーバー環境では、この脆弱性はさらに深刻であり、AMDのSEV/SEV-SNP技術を侵害し、仮想マシンからのデータへの不正アクセスを可能にする恐れがある。
この脆弱性を悪用するには、対象システムでリング0（カーネルレベル）の権限が必要であり、また、これらのパッチはシステム再起動後には持続しないため、セキュリティ警告のレベルはやや低減される。
興味深いことに、この脆弱性は学術的な場でも注目を集めており、RVSPOC（RISC-Vソフトウェアポーティングおよび最適化選手権）2025では、この脆弱性を利用してカスタムマイクロコードをロードし、ZenベースのハードウェアでRISC-Vバイナリを実行するという課題が出されるほどだ。
筆者のコメント
AMDの最新Zen 5アーキテクチャにまで及ぶこの脆弱性は、CPUアーキテクチャの複雑さとセキュリティの重要性を改めて示している。マイクロコードレベルの脆弱性は非常に深刻であり、適切な対策を取らなければシステム全体が危険にさらされる可能性がある。
幸いなことに、この脆弱性を悪用するにはリング0アクセス権が必要であり、また効果はシステム再起動後には持続しないため、一般ユーザーへの直接的な脅威は限定的と言える。しかし、サーバー環境では仮想化技術を介した情報漏洩リスクがあるため、企業ユーザーはより警戒する必要がある。
重要なのは、この問題を軽視せず、各マザーボードメーカーが提供するBIOSアップデートを速やかに適用することだ。また、セキュリティパッチの適用が完了するまでは、信頼できないソースからのソフトウェアのインストールを避けるなど、基本的なセキュリティ対策を徹底することをお勧めする。
AMD Ryzen 9000シリーズを搭載した新システムの構築を検討しているユーザーは、マザーボードの最新BIOSが適用されていることを確認してから使用を開始するのが賢明だろう。
※本記事はTom’s HardwareおよびAMDのセキュリティ情報に基づいています。ご使用のシステムに関するBIOSアップデート情報は各マザーボードメーカーのウェブサイトでご確認ください。
コメント