AMD’nin güvenli şifreli sanallaştırmasında (SEV), bir saldırganın belirli koşullar altında kötü niyetli bir CPU mikrokodunu yüklemesine izin verebilecek bir güvenlik açığı açıklanmıştır.
Kusur, olarak izlendi CVE-2024-5616110.0 üzerinden 7.2’lik bir CVSS skoru taşır, bu da yüksek şiddete işaret eder.
“AMD CPU ROM Mikrokod Yaması yükleyicide uygunsuz imza doğrulaması, yerel yönetici ayrıcalığına sahip bir saldırganın kötü niyetli CPU mikro kodu yüklemesine izin verebilir, bu da AMD SEV-SNP altında çalışan gizli bir konukun gizliliğini ve bütünlüğünü kaybetmekle sonuçlanabilir.” söz konusu bir danışmanlık içinde.
Chipmaker, 25 Eylül 2024’te kusuru keşfetmek ve raporlamak için Google Security Araştırmacılar Josh Eads, Kristoffer Janke, Eduardo Vela, Tavis Ormandy ve Matteo Rizzo’ya teşekkür etti.
SEV, sanal makineleri (VMS) ve hipervizörü birbirinden izole etmek için sanal makine başına benzersiz bir anahtar kullanan bir güvenlik özelliğidir. Güvenli iç içe yazma anlamına gelen SNP, izole bir yürütme ortamı oluşturmak ve hipervizör tabanlı saldırılara karşı korunmak için bellek bütünlüğü korumalarını içerir.
“SEV-SNP, ek VM kullanım modellerini desteklemek, kesme davranışı etrafında daha güçlü koruma sunmak ve yakın zamanda açıklanan yan kanal saldırılarına karşı daha fazla koruma sunmak için tasarlanmış birkaç ek isteğe bağlı güvenlik geliştirmeleri sunar.” binaen AMD.
Bir ayrı bültenGoogle dikkat çeken Bu CVE-2024-56161, bir düşmanın gizli bilgi işlem iş yüklerini tehlikeye atabileceği bir senaryoya kapıyı açan mikrokod güncellemeleri için imza doğrulamasında güvensiz bir karma işlevinin sonucudur.
Şirket ayrıca güvenlik açığını göstermek için bir test yükü yayınladı, ancak düzeltmenin “derin tedarik zinciri” boyunca yayılması için yeterli zaman verecek şekilde ek teknik detaylar daha saklandı.
