AMDがRadeonドライバの脆弱性を公表、任意コード実行の恐れありアップデート提供へ

• AMDがRadeonドライバのDirectX 11シェーダの脆弱性を報告
• CVE-2024-21972とCVE-2024-21979の2つの任意コード実行の脆弱性が存在
• 影響を受ける製品向けに修正版ドライバがリリース予定

2024年4月9日、AMDはRadeonユーザーモードドライバのDirectX 11シェーダに、任意のコード実行を許す深刻な脆弱性が存在することを明らかにした。この問題はCisco Talosの研究者から報告を受けたもので、CVE-2024-21972とCVE-2024-21979の2つの脆弱性識別番号が割り当てられている。

影響を受けるのはAMD Radeon RX Vega、RadeonVII、Radeon PRO WXシリーズのディスクリートGPU、Radeon Instinctの一部データセンター向けGPU、そしてRyzen 3000以降のAPUだ。攻撃者が特別に細工したシェーダコードを利用することで、ドライバの脆弱性を突いて任意のコードを実行できる可能性がある。

AMDは各製品向けに修正版のドライバを提供予定で、Ryzen組み込み向けは6月までにリリースされる見通し。ただし一部のデータセンター向けGPUは4月中の提供を予定している。

今回の脆弱性報告を受け、AMDは影響を受ける各製品向けにドライバのアップデートを提供。デスクトップ向けのRadeon RX VegaとRadeon VII、Radeon PRO WX Vegaシリーズ、そしてモバイル向けのRyzen 3000以降のAPUは、Adrenalin Edition 24.1.1以降のドライバで問題が修正される。

一方、データセンター向けのRadeon InstinctシリーズはAMD Software PRO Edition 23.Q3.1で対応するが、MI25に関しては4月中のリリースを予定している。また、組み込み向けのRyzen V1000やV2000、R1000、R2000シリーズは6月までにアップデートが提供される見込みだ。

ただし一部のAPUについては、対象となるドライバのリリースが遅れる可能性もある。AMDは引き続き状況を注視しながら適切なタイミングでアップデートを提供するとしており、ユーザーは定期的に最新情報をチェックすることが求められるだろう。

今回のAMDのRadeonドライバの脆弱性は、ゲーマーやクリエイターにとって大きな懸念材料となるだろう。特にサプライチェーン攻撃の脅威が高まる中、ハードウェアベンダーのドライバにまで脆弱性が潜んでいたことは衝撃的だ。セキュアなソフトウェア開発プロセスの重要性が改めて浮き彫りになったと言える。

一方で、AMDの対応は比較的迅速であり、脆弱性の深刻度に見合ったアップデートスケジュールが示された点は評価できる。ドライバのアップデートは手間がかかるため後回しにされがちだが、ゲーマーは面倒がらずに必ず最新版を適用すべきだ。古いドライバを使い続けることはセキュリティ上の大きなリスクであり、ゲーム体験を脅かしかねない。

ハードウェアベンダー各社には、今回の教訓を生かして脆弱性対策を一層強化してもらいたい。セキュアコーディングの徹底はもちろん、サードパーティ製コンポーネントの管理やサプライチェーンセキュリティの見直しも急務だ。信頼できるソフトウェアエコシステムの構築に向けて、業界を挙げた取り組みに期待したい。

そしてゲーマー自身も、ハードウェアやドライバのセキュリティにもっと関心を持つ必要がある。ゲーミングPCのセキュリティ対策は、WindowsUpdateやウイルス対策だけでは不十分だ。自分の大切なゲーム環境を守るのは自分自身なので、定期的にGPUドライバや周辺機器のファームウェアもアップデートし包括的にシステムを守る習慣をつけた方が良いだろう。

References

1. ^ AMD. 「 Radeon™ Driver for DirectX® 11 Shader Vulnerabilities 」. https://www.amd.com/en/resources/product-security/bulletin/amd-sb-6012.html, (参照 24-04-10).