Екипът по сигурността на Google съобщи подробности за уязвимостта (CVE-2024-56161), която позволява заобикаляне на механизма за проверка на цифровия подпис при актуализиране на микрокода в процесори на AMD, базирани на микроархитектура от Zen 1 до Zen 4, както съобщава OpenNet.
На уязвимостта е присвоен CVSS рейтинг на заплахата 7,2 от 10, което показва сериозността на проблема.
„Неправилната проверка на подписите в зареждащото устройство на пачове за микрокод на процесори AMD може да позволи на нападател с привилегии на локален администратор да изтегли злонамерен микрокод.“
се казва в изявление на Google
Изследователите са уведомили AMD за уязвимостта на 25 септември миналата година. Уязвимостта, която даваше възможност за изтегляне на потребителски кръпки за микрокода на процесорите AMD Zen 1-4, се дължеше на използването на алгоритъма CMAC за проверка вместо препоръчаните хеш функции, който не е подходящ за тази цел и не е защитен от съвпадение при сблъсък. AMD отстрани уязвимостта в декемврийската актуализация на микрокода, като замени CMAC с криптографски силна хеш функция.
Google публикува и инструментариума Zentool под лиценза Apache 2.0, който може да се използва за анализиране и манипулиране на микрокода и за създаване на пачове за промяна на микрокода в процесорите AMD Zen. Zentool включва следните команди: zentool edit – редактира параметрите на файла с микрокода, модифицира микрокода и заменя отделни инструкции; zentool print – показва информация за структурите и параметрите на микрокода; zentool load – зарежда микрокода в процесора; zentool resign – коригира цифровия подпис, за да отрази промените, добавени към микрокода. Zentool включва и помощни програми mcas и mcop с асемблер и дизасемблер за микрокод.
Специалистите на Google са подготвили също така ръководство за микроархитектурата RISC86, използвана в микрокода на AMD, и препоръки за създаване на собствен микрокод, в които се обяснява как да се създават собствени процесорни инструкции, реализирани на базата на микрокода RISC86, да се променя поведението на съществуващите инструкции и да се зареждат промените в микрокода в процесора.
Всичко важно от света на технологиите, директно в пощата ти.
С абонирането приемате нашите Условия и Политика за поверителност. Може да се отпишете с един клик по всяко време.
Коментирайте статията в нашите Форуми. За да научите първи най-важното, харесайте страницата ни във Facebook, и ни последвайте в Google Новини, TikTok, Telegram и Viber или изтеглете приложението на Kaldata.com за Android, iPhone, Huawei, Google Chrome, Microsoft Edge и Opera!
