Apple、Intel/ARM CPUに対する脆弱性「Meltdown」と「Spectre」についての対策を発表。MeltdownについてはiOS 11.2＆macOS 10.13.2で既に緩和策済。

　AppleがIntel/ARM CPUなどの脆弱性「Meltdown」と「Spectre」についての対策を発表しています。詳細は以下から。

　Appleは現地時間2018年01月04日、GoogleのProject Zeroチームなどが情報の一部を公開したIntelやAMD, ARMプロセッサを搭載したデバイスで情報が窃取される可能性のある脆弱性「Meltdown」および「Spectre」について同社のOSやデバイスでの対応を公開しています。

All Mac systems and iOS devices are affected, but there are no known exploits impacting customers at this time. Since exploiting many of these issues requires a malicious app to be loaded on your Mac or iOS device, we recommend downloading software only from trusted sources such as the App Store.

About speculative execution vulnerabilities in ARM-based and Intel CPUs – Apple Support

　Appleが公開した情報によると、「Meltdown」および「Spctre」は全てのmacOS/iOSデバイスに影響を及ぼすものの現在のところ悪用された形跡は無く、AppleはアプリとOSの間で情報窃取の可能性がる「Meltdown」についてはiOS 11.2およびmacOS 10.13.2、tvOS 11.2で既に緩和策を講じており(watchOSは影響なし)、

Apple has already released mitigations in iOS 11.2, macOS 10.13.2, and tvOS 11.2 to help defend against Meltdown. Apple Watch is not affected by Meltdown. In the coming days we plan to release mitigations in Safari to help defend against Spectre. We continue to develop and test further mitigations for these issues and will release them in upcoming updates of iOS, macOS, tvOS, and watchOS.

About speculative execution vulnerabilities in ARM-based and Intel CPUs – Apple Support

アプリ間で情報窃取の可能性がある「Spectre」については数日以内にSafariへ対策を行うそうで、ユーザーに対してはApp Storeなど信頼できるソースからのアプリを利用するように勧めています。

パフォーマンスの低下は？

　また、AppleはAppleデバイスのパフォーマンスについても言及しており、Meltdownの緩和策を講じた2017年12月公開のmacOS/iOSアップデート前後では現在のところGeekbencmark 4およびWebブラウザベンチマーク(Speedometer, JetStream, ARES-6)などに大きな影響は見られないとしており、

Our testing with public benchmarks has shown that the changes in the December 2017 updates resulted in no measurable reduction in the performance of macOS and iOS as measured by the GeekBench 4 benchmark, or in common Web browsing benchmarks such as Speedometer, JetStream, and ARES-6.

About speculative execution vulnerabilities in ARM-based and Intel CPUs – Apple Support

現在準備しているSpectre対策を講じたSafariではSpeedometerおよびARES-6テストへの影響はほぼなく、JetStreamベンチマークには2.5%程度パフォーマンスが低下する事が確認できたそうですが、今後更なるアップデートを提供し改善していくとコメントしています。

Our current testing indicates that the upcoming Safari mitigations will have no measurable impact on the Speedometer and ARES-6 tests and an impact of less than 2.5% on the JetStream benchmark. We continue to develop and test further mitigations within the operating system for the Spectre techniques, and will release them in upcoming updates of iOS, macOS, tvOS, and watchOS.

About speculative execution vulnerabilities in ARM-based and Intel CPUs – Apple Support

追記

　Intel CPUに対するMeltdown脆弱性についてはmacOS High Sierra 10.13.2以外でもmacOS Sierra 10.12.6およびOS X El Capitan 10.11.6へセキュリティ・アップデートでの対策が取られているそうです。

• About speculative execution vulnerabilities in ARM-based and Intel CPUs – Apple Support