Pentium F00F のバグ

Pentium F00F バグは、Intel Pentium、Pentium MMX、およびPentium OverDrive プロセッサ(すべてP5 マイクロアーキテクチャ)の大半に見られる設計上の欠陥です。1997 年に発見されたこのバグにより、コンピュータを物理的に再起動するまでプロセッサが機能しなくなる可能性があります。このバグは、オペレーティング システムの更新 によって回避されました。

F0 0F C7 C8この名前は、1つの問題のある命令を16進数で表した の略称です。^[1]正式には、このバグは、CMPXCHG8B命令のロックによる無効なオペランドのバグ と呼ばれています。^[2]

x86 アーキテクチャでは、バイト シーケンスはF0 0F C7 C8命令lock cmpxchg8b eax(レジスタ EAX 内の 8 バイトのロックされた比較と交換) を表します。このバグは、EAX 以外のレジスタオペランドを指定する、C9からで終わるオペコードにも適用されます。この命令には特別な権限は必要ありません。 CFF0 0F C7 C8

この命令のエンコードは無効です。cmpxchg8b命令は、EDX レジスタと EAXレジスタの値をメモリ位置の8バイト値と比較します。ただし、この場合、メモリ位置ではなくレジスタが指定されており、これは許可されていません。

通常の状況では、これは単に例外になります。ただし、ロックプレフィックス (通常は 2 つのプロセッサが同じメモリ位置に干渉するのを防ぐために使用される) と一緒に使用すると、CPU は誤ってロックされたバス サイクルを使用して、不正な命令例外ハンドラ記述子を読み取ります。ロックされた読み取りはロックされた書き込みとペアになっている必要があり、CPU のバス インターフェイスは、対応する書き込みが発生するまで他のメモリ アクセスを禁止することでこれを強制します。書き込みが発生しないため、これらのバス サイクルを実行した後、すべての CPU アクティビティが停止し、CPU をリセットして回復する必要があります。

インテル製マイクロプロセッサの普及により、このオープン特権命令の存在は当時深刻な問題とみなされていました。オペレーティングシステムベンダーは、この状況を検出してクラッシュを防ぐ回避策を実装することで対応しました。 ^[3]このバグに関する情報は、1997年11月8日頃に初めてインターネット上に登場しました。^{[4] F00Fバグは一般に知られるようになったため、この用語は}Cyrixのコマバグなどの同様のハードウェア設計上の欠陥を説明するために使用されることがあります。

脆弱なシステムで F00F 命令を実行しても、ハードウェアに永久的な損傷は発生しません。再起動するまでロックされるだけです。ただし、ディスクバッファがフラッシュされていない場合、書き込み操作中にドライブが中断された場合、またはその他の非アトミック操作が中断された場合は、保存されていないデータが失われる可能性があります。

B2ステッピングはIntelのPentiumプロセッサのこの問題を解決しました。^[2]

F00F 命令は、 Halt and Catch Fire (HCF) 命令の例と考えることができます。

この問題の確実な解決には、何らかのハードウェア/ファームウェアの修正が必要でしたが、当時は、この問題を利用して影響を受けるマシンにサービス拒否攻撃を仕掛けることを防ぐ回避策が提案されていました^[1]。それらはすべて、プロセッサ ハングの原因となるバス アクセスの障害パターンを強制的に分割することに基づいていました。Intel が提案した (したがって「公式」の) 解決策では、割り込み記述子のテーブルを不自然な方法で設定する必要があり、プロセッサが未定義のオペコード例外の記述子を含むメモリにアクセスする前に、介入ページ フォールトを発行するように強制しました。これらの無関係なメモリ アクセスは、バス インターフェイスがバグの根本原因であるロック要件を放棄するのに十分であることが判明しました。

具体的には、通常は 1 つのメモリ ページに存在する割り込み記述子のテーブルが 2 ページに分割され、最初の 7 つの例外ハンドラの記述子が 1 つのページに存在し、テーブルの残りが次のページに存在するようになります。未定義のオペコード例外のハンドラは最初のページの最後の記述子になり、ページ フォールト例外のハンドラは 2 番目のページに存在します。これで、最初のページを存在しないようにすることができます (通常、他のデータ用のスペースを確保するためにディスクにスワップ アウトされたページを示します)。これにより、プロセッサはページ フォールト例外ハンドラの記述子をフェッチするようになります。テーブルの 2 番目のページに存在するこの記述子は、通常どおりメモリに存在します (存在しない場合、プロセッサは2 度フォールトし、さらに3 度フォールトしてシャットダウンします)。これらの追加のメモリ サイクルは、元の不正な命令によって発行されたメモリ ロック要件をオーバーライドします (フォールト命令は、例外ハンドラが戻った後に再開できるはずであるため)。ただし、ページ フォールト例外のハンドラーは、割り込み記述子テーブルの前半に不足しているページを提供する必要性に対応するために変更する必要があります。これは、通常は実行する必要のないタスクです。

Intel による 2 番目の公式回避策では、すべてのページをメモリ内に保持したまま、最初のページを読み取り専用としてマークすることが提案されました。元の不正な命令はメモリ書き込みサイクルを発行することになっていたため、これもページ フォールト ハンドラーの介入を強制するのに十分です。このバリアントの利点は、ページ フォールト ハンドラーに必要な変更が最初のバリアントに必要な変更に比べて非常に小さいことです。基本的には、適切な場合に未定義例外ハンドラーにリダイレクトするだけで済みます。ただし、このバリアントでは、オペレーティング システム自体が読み取り専用ページへの書き込みを禁止する必要があります (グローバル プロセッサ フラグの設定による)。また、すべてのカーネルがこのように設計されているわけではありません。実際、最近のカーネルは、これがコピー オン ライトの実装に使用されるのと同じ基本メカニズムであるため、このようになっています。

Intel の公式のもの以外にも追加の回避策が提案されており、多くの場合、これらは効果的で実装がはるかに簡単であることが証明されています。^[1]最も単純なものは、割り込み記述子を含むページをキャッシュ不可としてマークするだけです。この場合も、例外ハンドラを呼び出す必要があるたびにプロセッサが RAM からデータを取得するために実行する必要のある追加のメモリ サイクルが、プロセッサのロックアップを防ぐために必要なことのようです。この場合、例外ハンドラにはまったく変更を加える必要はありませんでした。また、厳密には必要ではありませんが、この場合、最初のページのみをキャッシュ不可としてマークして、割り込み記述子テーブルの同じ分割が実行されました。これはパフォーマンス上の理由によるもので、ほとんどの記述子 (実際にはより頻繁に必要とされる記述子) を含むページはキャッシュに残すことができます。

理由は不明ですが、これらの追加の非公式な回避策は Intel によって承認されていません。影響を受けるすべてのプロセッサ バージョンで動作しない可能性があると疑われたのかもしれません。

• CMPXCHG8B
• サービス拒否攻撃
• Pentium FDIV のバグ
• メルトダウン（セキュリティ脆弱性）
• スペクター（セキュリティ脆弱性）

• Crothers, Brooke (1997-11-10) 「ネットが Pentium の「F0」バグに反応」CNET ニュース2015-07-27閲覧。
• Collins, Robert R. (1998-05-01). 「Pentium F00F バグ」. Dr. Dobb's Journal . 2015-07-27に閲覧。
• 「PC World」。PC World。第 16 巻。PC World Communications。1998 年。55 ページ。2015 年 7 月 27 日閲覧。

• Intel Pentium エラッタ
• Microsoft サポート技術情報の記事
• F00F CVEバグエントリ