Se ha revelado una vulnerabilidad de seguridad en la virtualización cifrada segura de AMD (SEV) que podría permitir que un atacante cargue un microcódigo de CPU malicioso en condiciones específicas.
El defecto, rastreado como CVE-2024-56161lleva una puntuación CVSS de 7.2 de 10.0, lo que indica alta gravedad.
“La verificación incorrecta de la firma en el cargador de parche de microcódigo de ROM de la CPU AMD puede permitir que un atacante con el privilegio de administrador local cargue el microcódigo de CPU malicioso, lo que resulta en la pérdida de confidencialidad e integridad de un invitado confidencial que se ejecuta bajo AMD SEV-SNP”, AMD “, AMD”, AMD “, AMD”, AMD “, AMD”, AMD ” dicho en un aviso.
El fabricante de chips acreditó a los investigadores de seguridad de Google Josh Eads, Kristoffer Janke, Eduardo Vela, Tavis Ormandy y Matteo Rizzo por descubrir e informar el defecto el 25 de septiembre de 2024.
SEV es una característica de seguridad que utiliza una clave única por máquina virtual para aislar máquinas virtuales (VM) y el hipervisor entre sí. SNP, que representa la paginación anidada segura, incorpora protecciones de integridad de la memoria para crear un entorno de ejecución aislado y salvaguardar contra ataques basados en hipervisores.
“SEV-SNP presenta varias mejoras de seguridad opcionales adicionales diseñadas para admitir modelos adicionales de uso de VM, ofrece una protección más fuerte en torno al comportamiento de interrupción y ofrece una mayor protección contra ataques de canales laterales recientemente revelados”, de acuerdo a a amd.
En Boletín separadoGoogle anotado Que CVE-2024-56161 es el resultado de una función hash insegura en la validación de firma para las actualizaciones de microcódigos, que abre la puerta a un escenario en el que un adversario podría comprometer las cargas de trabajo informáticas confidenciales.
La compañía también ha publicado una carga útil de prueba para demostrar la vulnerabilidad, pero se han retenido detalles técnicos adicionales durante otro mes para dar suficiente tiempo para que la solución se propague en la “cadena de suministro profunda”.
About the Author
