AMD, Google tarafından keşfedilen ve saldırganların kötü amaçlı mikro kod yüklemesine izin verebilecek bir mikroişlemci güvenlik açığını gidermek için yama yayınladı.
CVE-2024-56161 olarak kayıtlara geçen bu güvenlik açığı, AMD işlemcilerinde salt okunur bellek üzerindeki mikro kod yükleyicisinde uygun olmayan imza doğrulaması nedeniyle ortaya çıkıyor. Bu açık, yerel yönetici ayrıcalığına sahip bir saldırganın, AMD’nin Secure Encrypted Virtualization (SEV-SNP) teknolojisi altında çalışan gizli sanal makinelerin güvenliğini tehlikeye atabilecek kötü amaçlı mikro kod yüklemesine olanak tanıyor.
Mikro kod genellikle sistem açılışında yüklendiğinden, bu açık saldırganların işlemci işlevselliğini değiştirmesine neden olabilir. AMD, kötü amaçlı mikro kod yüklenmesini engellemek için güncellemeler yayınladı. AMD, bazı platformlarda SEV-SNP onay desteği için bir SEV firmware güncellemesi gerektiğini belirtti.
AMD, bu sorunu gidermek için OEM üreticilere AGESA (AMD Generic Encapsulated Software Architecture) güncellemelerini sundu. Her OEM üreticisinin kullanıcılarına BIOS güncellemeleri sunması bekleniyor. Sistem BIOS’unu güncelleyip platformu yeniden başlatan kullanıcılar, SEV-SNP onay raporu aracılığıyla düzeltmenin etkinleştirildiğini doğrulayabilecek.
Bu güvenlik açığı, geçen hafta Asus’un bazı anakartları için yayınladığı beta BIOS güncellemesinin notlarında yanlışlıkla bahsedilince gündeme geldi. Google güvenlik araştırmacıları, bu açığın bir sanal makine dışındaki kök erişimine sahip bir saldırgan tarafından istismar edilebileceğini belirtti. Araştırmacılar, işlemcinin mikro kod güncellemeleri için güvenli olmayan bir hash fonksiyonu kullandığını ve bunun SEV-SNP korumalı gizli hesaplama iş yüklerini riske atabileceğini ifade etti.
Sorun, Eylül ayında AMD’ye bildirildi ve Aralık ayında OEM ortaklarına düzeltme gönderildi. Google araştırmacıları, AMD ile koordineli bir şekilde Mart başında açıkla ilgili daha fazla detay paylaşacak.
AMD ayrıca, Tayvan Ulusal Üniversitesi’nden SEV’e yönelik önbellek tabanlı yan kanal saldırıları hakkında bir rapor aldığını duyurdu. Yazılım geliştiricilere, Spectre tipi saldırılara karşı en iyi güvenlik uygulamalarını takip etmeleri tavsiye edildi.
