さくらのVPSとCPUの脆弱性(Meltdown, Spectre)について

2018年に入ってすぐ,IntelなどのCPUに脆弱性が存在しているとしてセキュリティ業界で話題になっています.この脆弱性はCPUの投機的実行という高速化技術を利用しており,非常に多くのOSやデバイスに影響を及ぼす可能性があることから,MicrosoftやAppleなどの各社からその対応策や影響範囲が発表されています.

私が利用しているさくらのVPSを運営する,SAKURA internetもその例外ではなく,本日(2018年1月12日)その影響と対応に関するメールを受け取りました.今回はそのメールをもとに,さくらのVPSユーザが行うべきことと,その注意点をまとめておきたいと思います.

※本記事は個人でサーバを運用している場合を想定しています.また本記事を参考にしたことで損害を受けたとしても責任を負いかねますのでご注意ください.

脆弱性の概要

2018年1月3日,Googleのセキュリティチーム「Project Zero」より,CPUに関連する3つの脆弱性情報が公開されました.これらの脆弱性はMeltdown, Spectreと呼称されており,ほぼすべてのCPUが利用している高速化技術を利用したものとなっています.

この脆弱性により,サーバ上のデータを悪意ある他のプログラムに読み取られる可能性が指摘されています.

脆弱性の詳細

SAKURA internetのサービスへの影響

SAKURA internetが提供するサービスのうち,脆弱性の影響を受ける可能性があるサービスは以下のとおりです.このうち,root権限を利用できるサービスについてはユーザによる対応が必要とされています.

ユーザによる対応の必要なし

  • さくらのレンタルサーバ
  • さくらのレンタルサーバ リセールサービス
  • さくらのマネージドサーバ
  • さくらのメールボックス
  • さくらウェブ
  • さくらリスト
  • さくらポスト
  • バーチャルドメイン

ユーザによる対応の必要あり

  • さくらのVPS(for Windows Server,ベアメタルプラン含む)
  • さくらのクラウド(サーバおよびアプライアンス)
  • さくらの専用サーバ(全モデル)
  • さくらの専用サーバ 高火力シリーズ(全モデル)
  • 専用サーバ(一部モデル)
  • 専用サーバ Platform(全モデル)
  • ハウジング・リモートハウジング(「機器レンタル」のみ)

さくらのVPSユーザの対応と注意点

さくらのVPSユーザが行う対応は以下のようになります.

  • サーバのOSを適切なバージョンにアップデートする.
  • 関連パッケージについても適切なバージョンにアップデートする.

基本的には利用しているOSやパッケージを最新の状態にアップデートしておけばいいのですが,今回の脆弱性はCPUの高速化技術を利用しているため対策することによるパフォーマンスの低下が指摘されています.なのでアップデートについては慎重に行った方がいいかもしれません.またサーバのパフォーマンスを確認するまでOSの以前のバージョンを削除しないことをおすすめします.

ホストサーバの対応に関する注意点

SAKURA internetが脆弱性対策として,さくらのVPSのホストサーバのOS及び関連パッケージに対するアップデートを行います.これに伴ってホストサーバをリブートするため,ユーザが利用するゲストサーバについても再起動が発生します.

ゲストサーバの再起動のスケジュールについては,決定次第,特設ページやメールによる連絡があるそうなので常にチェックしておくようにしてください.

SAKURA internetのMeltdown及びSpectreに関する特設ページはこちら

以上,今回はさくらのVPSを利用するユーザの対応と,その注意点についてまとめました.