За усталеною практикою, розробники та дослідники у сфері інформаційної безпеки повідомляють постачальникам скомпрометованої продукції про свої відкриття, щоб ті мали можливість усунути проблеми. Лише після цього інформація про них оприлюднюється. Google у вересні минулого року виявила вразливості у серверних процесорах AMD EPYC на архітектурах від Zen до Zen 4.
Як зазначається авторами бюлетеня, виявлена вразливість дозволяла зловмисникам з правами локального адміністратора через інструкцію RDRAND завантажувати шкідливі патчі мікрокоду, запускати на віртуальних машинах жертви шкідливе програмне забезпечення та отримувати доступ до даних. Вразливість полягає в тому, що процесор використовує небезпечну геш-функцію під час перевірки підпису оновлень мікрокоду.
Ця вразливість може бути використана зловмисниками для компрометації конфіденційних обчислювальних робочих навантажень, захищених найновішою версією AMD Secure Encrypted Virtualization, SEV-SNP, або для компрометації Dynamic Root of Trust Measurement. У зоні ризику опинився широкий список серверних процесорів EPYC Naples, Rome, Milan та Genoa.
Фахівці Google передали всю необхідну для усунення вразливості інформацію конфіденційними каналами 25 вересня минулого року, після чого до 17 грудня AMD змогла поширити необхідні оновлення серед своїх клієнтів. Наразі виправлення для вразливості вже існують.
Витримавши необхідну для повноцінного усунення вразливостей клієнтами AMD паузу, Google повідомила про знайдену вразливість на сторінках GitHub. Щоб додатково убезпечити клієнтів AMD, представники Google пообіцяли продемонструвати додаткові подробиці про вразливість та інструменти для роботи з нею не раніше 5 березня поточного року.
Стаття з
ITsider
