2020年3月10日、Bitdefenderの脆弱性研究チームが世界中の脆弱性研究者と合同で、米IntelのCPUの脆弱性「Load Value Injection（LVI）」について情報を公開した。この脆弱性情報は2019年4月にオランダのルーベン・カトリック大学のJo Van Bulck氏の所属する研究チームらが発見、報告していたものだ。

　IntelのCPUは2018年ごろから複数の脆弱性が指摘されてきた。代表的なものとしては「Meltdown」や「Spectre」などだ。これはCPUの高速化を図るために搭載された「投機的実行（speculative execution）」や「アウトオブオーダー実行（out-of-order execution）」などの機能に原因があった。

　CPU処理の過程において、「投機的実行」は条件分岐前にその後の処理を先読みする機能で、「アウトオブオーダー実行」は処理が完了する前に先回りして処理をする機能だ。

　問題となっている「LVI」も、根本的な原因は同じ「投機的実行」「アウトオブオーダー実行」だ。先読み処理を実行すると、一時的にデータが漏れてしまう。LVIでは、第三者がそのデータ漏えいを「意図的に」起こすことができるという。

　手順としては、攻撃対象のプログラムが動作しているときに、バッファーを介して不適切なデータをプログラムへ送り込む。この不適切なデータをきっかけにCPUが例外処理を実行する。このとき、CPUは先読み処理のために一時的なデータを作りだそうとする（一時実行）。攻撃者はこの一時実行をハイジャックしてメモリの情報を盗み出す。

　このとき盗み出せる情報には、ユーザーの指紋情報やパスワードなど機密情報も含まれる。データセンターであれば、仮想環境に保管されているユーザーデーターとともに重要なデータが盗まれる可能性もある。なお、LVIが影響するのはCPUのセキュリティ機構である「Intel Software Guard Extensions」（Intel SGX）搭載CPU（第6世代以降のCore iプロセッサの一部）とされている。

　ハッキングの手順が難解なため、簡単に情報漏えいは起きにくいとされているものの、かつてのMeltdownやSpectreに対する修正パッチでLVIの問題を解決しようとすると、CPUのパフォーマンスが最大で19倍遅くなってしまう。個人レベルでの対応も難しく、Intelは今後ハードウェアレベルでこの問題を修正するという。

---

上司X：　IntelのCPUに脆弱性が見つかった、という話だよ。

ブラックピット：　「Load Value Injection」ですか。「インジェクション（Injection）」って注射とか注入とか、そういう感じですよね。

上司X：　そうだな。ニセのデータを送り込む意味で注射という言葉を使ってるんじゃないか。公式サイトでも注射のイラストがイメージ画像に使われてるしな。

ブラックピット：　うーむ。しかし脆弱性が、といわれてもどうしようもないですね。

上司X：　まあ、知識として持っていればいいんじゃないの？

ブラックピット：　そんな対応でいいんですか？

上司X：　だって個人レベルで対処するのは難しそうだしな。

ブラックピット：　まあそうですけどね。個人で対処できないような脆弱性、何をどうしたらいいのか……。

上司X：　看過できない話題だな。とはいえ手のつけようがないし、修正を待つしかないだろう。