PCIe 5.0 ve Sonrasındaki Zafiyetler
Son zamanlarda, PCIe (Peripheral Component Interconnect Express) Integrity and Data Encryption (IDE) protokolüne ilişkin üç güvenlik açığı ortaya çıkmış durumda. Bu açıklar, yerel bir saldırganın kritik verilere ulaşmasına olanak tanıyabilir. Problemler, PCIe Temel Spesifikasyon Revizyonu 5.0 ve sonraki sürümler için geçerlidir. PCI-SIG (PCI Special Interest Group) tarafından belirtildiği üzere, bu zafiyetler aşağıda belirtilen çeşitli riskleri doğurabilir:
- Bilgi ifşası
- Aşırıcı yetki elde etme
- Hizmet reddi
PCIe ve IDE Protokolünün Önemi
PCIe, bilgisayar ve sunucularda grafik kartları, ses kartları, Wi-Fi ve Ethernet adaptörleri gibi donanım bileşenlerini yüksek hızda bağlamak için yaygın olarak kullanılan bir standarttır. PCIe 6.0 ile tanıtılan IDE ise veri transferlerini şifreleme ve bütünlük koruma ile güvence altına almayı amaçlar.
Açıkların Detayları
Intel çalışanları tarafından keşfedilen IDE zafiyetleri şunlardır:
- CVE-2025-9612 (Forbidden IDE Reordering): Bir alıcı portta eksik bir bütünlük kontrolü, PCIe trafiğinin yeniden sıralanmasına yol açarak alıcının eski verileri işlemeye devam etmesine neden olabilir.
- CVE-2025-9613 (Completion Timeout Redirection): Tamamlanmış bir zaman aşımının eksik olarak temizlenmesi, alıcının bir saldırganın eşleşen etikete sahip bir paket enjekte etmesi durumunda yanlış verileri kabul etmesine yol açabilir.
- CVE-2025-9614 (Delayed Posted Redirection): Bir IDE akışının eksik temizlenmesi veya yeniden anahtarlama, alıcının eski ve hatalı veri paketlerini işlemesine sebep olabilir.
Güvenlik Riskleri ve Önlemler
PCI-SIG, bu zafiyetlerin başarılı bir şekilde istismar edilmesi durumunda IDE’nin gizlilik, bütünlük ve güvenlik amaçlarının ihlal edilmesine yol açabileceğini belirtiyor. Ancak, bu saldırıların fiziksel veya düşük seviyede erişim gerektirmesi, zafiyetlerin düşük şiddetli olduğu anlamına geliyor (CVSS v3.1 skoru: 3.0/CVSS v4 skoru: 1.8).
CERT Koordinasyon Merkezi, üreticileri PCIe 6.0 standardını takip etmeye ve IDE uygulamalarında Erratum #1 kılavuzunu uygulamaya davet etti. Intel ve AMD, bu sorunların etkilenen ürünlerin listesini yayımladı:
- Intel Xeon 6 İşlemcileri
- AMD EPYC 9005 Serisi İşlemcileri
Kullanıcılar, özellikle IDE’nin hassas verileri koruduğu ortamlarda sistem veya bileşen tedarikçileri tarafından sağlanan firmware güncellemelerini uygulamalıdır.
