Appleの最新のAおよびMシリーズチップにおいて、セキュリティ研究者が新たな脆弱性を発見した。これらの脆弱性は、悪意のあるウェブサイトにアクセスするだけで、ブラウザを通じてユーザーの機密情報が漏洩する可能性があるという。

具体的には、SafariやChromeなどのブラウザを使用中に、Gmailの受信トレイやiCloudカレンダーのデータが攻撃者に取得される恐れが指摘されている。

この問題は、iPhoneやMacなど、幅広いApple製デバイスに影響を及ぼすとされ、ユーザーのプライバシーとセキュリティに重大なリスクをもたらす可能性がある。現時点でAppleからの公式な修正は提供されておらず、ユーザーは最新の情報に注意を払う必要がある。

Appleのチップに見つかったFLOPとSLAP攻撃の仕組みとは

AppleのAおよびMシリーズのチップにおいて発見された「FLOP（False Load Output Prediction）」と「SLAP（Speculative Load Address Prediction）」は、投機的実行（Speculative Execution）のメカニズムを悪用した攻撃手法である。投機的実行とは、CPUが次に実行する処理を事前に予測し、処理速度を向上させる技術だが、誤った予測を引き起こすことで攻撃に悪用される可能性がある。

FLOP攻撃では、チップがメモリアドレスの予測を誤るように仕向け、攻撃者が意図的に誤った値を取得させることで、本来アクセスできない機密データを取得できる。研究者によれば、特定のパターンでメモリを繰り返しアクセスすることで、この誤予測を引き起こし、情報が漏洩する可能性があるという。

一方のSLAP攻撃は、CPUが次にアクセスするメモリアドレスを予測する仕組みを悪用する。攻撃者はCPUに特定のメモリアクセスパターンを学習させ、誤ったメモリレイアウトを認識させることで、不正なデータへのアクセスを可能にする。特にM2以降のAppleチップではこの影響が大きいとされ、セキュリティの観点からも問題視されている。

これらの攻撃手法の特徴は、マルウェアの実行を必要としない点にある。従来の脆弱性の多くは、悪意のあるコードを実行する必要があったが、FLOPおよびSLAPはユーザーが特定のウェブサイトにアクセスするだけで情報が漏洩する可能性がある。特に、JavaScriptやWebAssemblyを用いた攻撃が想定されており、ブラウザを介して広範囲のデバイスが影響を受ける危険性がある。

Appleの公式対応とユーザーが取るべき対策

この脆弱性は2024年に研究者によって発見され、Appleにも報告されていた。しかし、Appleはこれまでのところ具体的な修正を提供しておらず、「ユーザーに直ちに影響を与えるものではない」との立場を取っている。これにより、今後のアップデートで修正が行われるかどうかは不透明な状況にある。

この問題に対して、ユーザーができる対策の一つは、JavaScriptを無効化することだ。ブラウザの設定からJavaScriptの実行をブロックすることで、悪意のあるコードが実行されるリスクを低減できる。ただし、JavaScriptを無効にすると多くのウェブサイトが正常に動作しなくなるため、利便性とセキュリティのバランスを考える必要がある。

また、信頼できるセキュリティ拡張機能を利用し、危険なウェブサイトへのアクセスを防ぐことも有効だ。特に、広告ブロッカーやスクリプト制御機能を備えたブラウザ拡張機能を活用すれば、悪意のあるコードの実行をある程度防ぐことができる。

加えて、Appleが今後この問題を修正する可能性を考慮し、最新のソフトウェアアップデートを適用することも重要だ。Appleはセキュリティ問題に対して通常、一定の期間を経た後にパッチを提供することが多いため、今後のアップデート情報に注目する必要がある。現時点では、公式な修正が提供されていないため、ユーザー自身がセキュリティ対策を講じることが求められる状況だ。

今回の脆弱性が示すAppleのセキュリティ課題

Appleはこれまで、独自のハードウェアとソフトウェアの統合により、セキュリティの高さをアピールしてきた。しかし、今回発見されたFLOPおよびSLAPの脆弱性は、Appleチップの設計上の問題に起因するものであり、セキュリティ面での課題を浮き彫りにしている。

特に、Apple Siliconへの移行後、同社はMacやiPhoneのセキュリティを強化する一方で、パフォーマンスの向上を最優先にしてきた。投機的実行の最適化はその一環だが、今回の脆弱性はこうした最適化が新たな攻撃の対象となることを示している。

また、Appleは脆弱性が発見された際、迅速な修正を行うことで知られているが、今回の問題に関しては「緊急の修正が不要」との立場を示しており、その対応姿勢がユーザーにとって不安要素となっている。特に、FLOPおよびSLAPはMシリーズおよびAシリーズの幅広いチップに影響を及ぼすため、今後のAppleの対応が重要となる。

これまでAppleは、Intel製チップからの移行を成功させ、独自のシリコンを通じて競争力を強化してきた。しかし、今回の問題は、独自設計であってもセキュリティのリスクがゼロではないことを示している。特に、パフォーマンスを追求するあまり、セキュリティ上のリスクを見落とす可能性がある点は、Appleが今後改善すべき課題といえるだろう。

ユーザーにとって重要なのは、Appleの公式な対応を待つだけでなく、日常的なセキュリティ対策を講じることだ。ブラウザの設定を見直し、定期的なアップデートを適用することが、リスクを最小限に抑える鍵となる。Appleのチップが今後どのように進化していくのか、セキュリティ面での対策がどのように強化されるのかに注目が集まっている。

Source：Android Headlines