В чипах AMD на архитектурах с Zen по Zen 4 обнаружена уязвимость, позволяющая красть данные и захватывать системы
Обнаружение критической уязвимости в серверных процессорах AMD EPYC, о котором публично сообщила команда Google Security Research, ставит под вопрос безопасность облачных вычислений и виртуальных сред, используемых крупнейшими корпорациями. Проблема, затронувшая процессоры архитектур от Zen до Zen 4, была найдена еще в сентябре, но только сейчас, после выпуска патчей, стала достоянием общественности. Речь идет не просто об очередной «дыре», а о потенциальной возможности полного захвата контроля над изолированными виртуальными машинами, что делает эту находку одной из самых серьезных за последние годы.
Суть угрозы: небезопасная хэш-функция и компрометация изоляции
Согласно опубликованному бюллетеню, уязвимость кроется в механизме проверки цифровой подписи обновлений микрокода. Процессоры AMD EPYC, включая модели Naples, Rome, Milan и Genoa, используют нестойкую хэш-функцию для верификации патчей. Это позволяет атакующему, уже имеющему права локального администратора на системе, загрузить поддельный, вредоносный патч микрокода. Последствия катастрофичны: злоумышленник получает возможность запускать произвольный код внутри виртуальной машины жертвы, воровать данные и, что критически важно, обходить защиту новейшей технологии AMD Secure Encrypted Virtualization (SEV-SNP). Эта технология как раз и предназначена для изоляции чувствительных рабочих нагрузок, например, в финансовом секторе или при обработке персональных данных.
В зоне поражения: от Naples до Genoa
Под удар попали все четыре поколения серверных чипов EPYC, начиная с первого (Naples) и заканчивая актуальным (Genoa). Исследователи из Google действовали в рамках общепринятого протокола ответственного раскрытия информации: 25 сентября они передали детали уязвимости инженерам AMD по защищенным каналам связи. К 17 декабря вендор завершил разработку и распространение необходимых обновлений микрокода среди клиентов. Только убедившись, что у пользователей было достаточно времени для установки патчей, Google решилась на публикацию.
Стратегия защиты и временные рамки
Чтобы минимизировать риски для тех, кто еще не успел обновить свои системы, компания Google приняла решение не раскрывать все технические детали и эксплойты немедленно. Публикация доказательств концепции и дополнительных инструментов для анализа уязвимости отложена до 5 марта текущего года. Такой подход дает администраторам серверов и облачным провайдерам критически важную фору во времени.
В сентябре прошлого года специалисты Google уже выявляли проблемы в архитектуре безопасности AMD, что делает эту находку частью системной работы по аудиту платформ. Предыдущие инциденты, связанные с уязвимостями в механизмах виртуализации, показывают, что время между обнаружением бреши и ее массовой эксплуатацией в дикой природе неуклонно сокращается.
Данный инцидент подчеркивает уязвимость модели «доверенного окружения» даже в самых современных процессорах. Для корпоративных клиентов это сигнал о необходимости пересмотра политик безопасности, особенно в сегменте инфраструктуры как услуги (IaaS). Пока AMD оперативно закрыла брешь, сам факт того, что технология SEV-SNP может быть скомпрометирована через уязвимость в хэш-функции, ставит перед разработчиками новый вызов: как гарантировать изоляцию, если корень доверия (микрокод) может быть подменен. Рынок облачных решений, вероятно, отреагирует ужесточением требований к аудиту микрокода всех серверных платформ.
