AMD: problemi di vulnerabilità per molte CPU serie Zen
Ieri alle 13:44
1738676640000
Il team di Google Security Research ha scoperto una vulnerabilità critica nel sistema di verifica delle patch di microcodice per i processori AMD, dalle generazioni "Zen 1" a "Zen 4".
Il problema risiede in un’implementazione inadeguata della funzione di hash durante la validazione delle firme, consentendo a utenti malintenzionati con privilegi di amministratore locale di inserire patch dannose. Questo compromette i carichi di lavoro protetti da AMD SEV-SNP, utilizzati per il computing confidenziale, e i sistemi di misurazione dinamica della fiducia (Dynamic Root of Trust Measurement).
Per risolvere il problema, AMD ha rilasciato aggiornamenti completi del firmware AGESA per tutta la gamma di processori EPYC, dalle prime versioni Naples fino alle più recenti Genoa-X e Bergamo. La patch di sicurezza, identificata come CVE-2024-56161 con un punteggio di gravità di 7.2, introduce modifiche cruciali al microcodice: i processori Naples B2 richiedono la versione 0x08001278, i sistemi Rome B0 necessitano della 0x0830107D, mentre le varianti Milan e Milan-X devono essere aggiornate rispettivamente alle versioni 0x0A0011DB e 0x0A001244.
Per i sistemi basati su Genoa, inclusi Genoa-X e Bergamo/Siena, le versioni richieste sono 0x0A101154, 0x0A10124F e 0x0AA00219. Questi aggiornamenti rafforzano le protezioni per tutte le funzionalità di sicurezza SEV, tra cui SEV, SEV-ES e SEV-SNP, e introducono nuove limitazioni sulle capacità di hot-loading del microcodice per prevenire futuri tentativi di sfruttamento.
Google ha segnalato la vulnerabilità ad AMD il 25 settembre 2024, e AMD ha rilasciato una correzione riservata ai clienti il 17 dicembre 2024, con una divulgazione pubblica il 3 febbraio 2025. Tuttavia, i dettagli tecnici completi saranno resi noti solo il 5 marzo 2025.
Fonte: AMD, Google su GitHub, TechPowerUp