Spectre v2対策をすり抜ける「TONTOU」攻撃：MIT CSAILが実証、AMDとIntel CPUに新たな脅威

TONTOUの仕組み：わずか2命令の隙を突く

Spectre v2対策であるeIBRSやSafe RETは、特権境界（例えばユーザースペースからカーネル空間への移行時など）で分岐予測子の状態を無効化または分離することで機能します 。これらの防御策の前提は、攻撃者が無効化後、予測子が参照されるまでのごく短い間隔で予測子を操作できないというものでした。

TONTOUはその前提を覆します。AMDのSafe RETにおいて、この脆弱な時間的隙間は、わずか2命令分の幅しかありません 。一般ユーザー権限の攻撃者は、精密にタイミングを合わせたハードウェア割り込み（INTERRUPT INJECTION：割り込みインジェクション）をこの隙間に差し込み、防御機構がすでに実行された後、かつカーネルが予測子の状態を消費する前に、分岐予測子を再び汚染することができます 。これにより、すべての防御機構が機能しているにもかかわらず、投機的実行によるサイドチャネル情報漏洩が再び可能になります。

この攻撃に必要なのは、ターゲットマシン上で一般ユーザー権限のコードを実行できることだけであり、管理者権限などの昇格は不要です 。

実証された影響：Linuxパスワードハッシュの漏洩

研究チームは完全なエンドツーエンドのエクスプロイトを構築し、複数のプロセッサ世代でテストを実施しました。

• テスト対象プロセッサ： Intel Cascade Lake Refresh、Intel Arrow Lake、AMD Zen 2、AMD Zen 4 。
• AMD Zen 2搭載システム（Linux 6.14.0-37-generic、16GB RAM、デフォルトのSpectre v2保護有効）において、毎秒5.47バイトの速度で任意のカーネルメモリの漏洩に成功しました 。
• 抽出データの精度は91.97% でした 。
• 研究者らは、Linuxのパスワードハッシュが保存されている**/etc/shadowファイルの特定と抽出に、10回中5回成功し、各試行に要した時間は平均約18分**でした 。

Intelプラットフォームでは、Cascade Lake RefreshおよびArrow LakeにおいてeIBRSの部分的な迂回が実証されましたが、攻撃対象領域はAMD Safe RETの場合とは異なります 。なお、同手法によるAMD Zen 4での分岐誤誘導の成功は確認されていません 。

業界の対応とパッチ提供

開示と対応のタイムラインは以下の通りです。

• 2026年2月5日： 研究者らがAMD、Intel、Armに協調的に開示 。
• 2026年6月2日： AMDのBorislav Petkov氏によるLinuxカーネルパッチがコミットされました。コミットタイトルは「x86/bugs: Make Safe-RET robust against interrupt injection」です 。
• 2026年8月5日： このパッチがメインラインのLinuxカーネルに取り込まれました 。
• 2026年8月6日： AMDがセキュリティ情報「AMD-SB-7061」（Safe RET Interrupt Vulnerability）を公開。Zen 1からZen 4までのプロセッサが影響を受けるとしています。AMDは、この問題はプロセッサアーキテクチャ単体の問題ではなく、Speculative Return Stack Overflow（SRSO）緩和策としてのSafe RETのLinux実装に起因すると評価しています 。
• 2026年8月6日： 修正パッチがLinuxカーネルバージョン7.1.7、6.18.43、6.6.149、6.1.181に搭載され、CVE-2026-68480 として識別されました 。

Intelは協調的開示プロセスの中で研究結果を確認し、バグ報奨金プログラムから賞金を授与しましたが、新たな緩和策を開発しないと研究者らに伝えています。その理由として、実際の悪用には情報開示用ガジェットの可用性など、多くの要因が関わることを挙げています 。

CPUセキュリティへの示唆

TONTOUは、投機的実行攻撃の重要な進化形を示しています。初期のSpectre亜種が予測メカニズムそのものを標的にしていたのに対し、TONTOUは、過去の攻撃を防ぐために構築されたソフトウェアおよびハードウェアの防御機構（緩和策そのもの）を攻撃します。無効化と使用の間の競合状態を特定したことで、研究者らは根本的に異なる防御アプローチを必要とする新たな脆弱性クラスを切り開きました。

この攻撃はまた、CPUのセキュリティ問題がソフトウェアパッチだけで解決できるものではないことを示しています。Linuxカーネルの修正は、AMD Zenプロセッサにおける特定の割り込みインジェクションの隙間を塞ぐものですが、「予測子の無効化と使用は不可分な操作として扱える」という根本的なアーキテクチャ上の前提が誤りであったことは証明されました。