(https://i.postimg.cc/qMj2ytcP/AMD.png) (https://postimages.org/)
Ayer, AMD y Google revelaron públicamente los hallazgos de septiembre de una vulnerabilidad clave en el microcódigo de las CPU AMD Zen 1 a Zen 4, específicamente las CPU EPYC de la plataforma empresarial/servidor. Esta vulnerabilidad, CVE-2024-56161, se analiza con más detalle en la publicación de GitHub del equipo de investigación de seguridad de Google y, por supuesto, en el boletín de seguridad de AMD sobre la vulnerabilidad.
Google
https://github.com/google/security-research/security/advisories/GHSA-4xq7-4mgh-gp6w
AMD
https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3019.html
Según la documentación de Google, el problema original se informó el 25 de septiembre de 2024 y AMD lo solucionó aproximadamente dos meses y medio después, el 17 de diciembre de 2024. La fecha de divulgación pública se retrasó hasta ayer, 3 de febrero, para dar tiempo a los clientes de AMD de aplicar la solución antes de que el problema se generalizara.
Según la redacción oficial de AMD, "Los investigadores de Google han proporcionado a AMD información sobre una posible vulnerabilidad que, si se explota con éxito, podría provocar la pérdida de la protección basada en SEV de un invitado confidencial".
SEV hace referencia a Secure Encrypted Virtualization (virtualización cifrada segura), una función que utilizan las CPU AMD de nivel de servidor para permitir la virtualización. Por lo general, esto significa "clientes ligeros" remotos o locales cuyos datos se almacenan y gestionan en un servidor central. Los dispositivos que utilizan para acceder a ellos son tan secundarios que a veces tienen poca o ninguna capacidad de procesamiento. La configuración específica puede variar. Aun así, el propósito de virtualizar varios usuarios suele ser ahorrar en costes de hardware o proporcionar un mayor grado de seguridad (a veces, ambas cosas).
La pérdida de la protección basada en SEV a través de un exploit de microcódigo significa que los datos confidenciales de los usuarios virtualizados afectados por este exploit ahora pueden ser robados. Sin embargo, la carga de microcódigo malicioso podría permitir más exploits que el robo de datos.
La serie específica de CPU AMD EPYC afectadas incluye las siguientes: AMD EPYC 7001 (Nápoles), AMD Epyc 7002 (Roma), AMD Epyc 7003 (Milán y Milán-X) y AMD Epyc 9004 (Génova, Génova-X y Bérgamo/Siena). Afortunadamente, ya se han publicado actualizaciones de microcódigo para las CPU afectadas, por lo que el uso de las utilidades de actualización adecuadas (actualizaciones de BIOS, etc.) debería funcionar bien, pero como señala AMD, es posible que se requiera una actualización de firmware de SEV para algunas plataformas para admitir la solución a través de la certificación SEV-SNP correctamente.
Fuente:
Tom´s Hardware
https://www.tomshardware.com/pc-components/cpus/amd-patches-a-critical-microcode-vulnerability-affecting-zen-1-to-zen-4-epyc-cpus