CTS-Labs ontdekte een Spectre-achtige kwetsbaarheid in AMD's Ryzen- en EPYC-chips
CTS-Labs,[1] een onbekend beveiligingsbedrijf gevestigd in Israël, meldde een ernstige CPU-fout in AMD's Ryzen- en EPYC-chips. Het bedrijf beweert 13 kwetsbaarheden te hebben onthuld waardoor criminelen malware kunnen injecteren en persoonlijke gegevens kunnen lekken.
Het bedrijf beweert dat de kwetsbaarheden van de AMD-processors ongelooflijk zorgwekkend zijn, aangezien de fout zich bevindt in de onderdelen die het meest beschermd zouden moeten zijn. De kwetsbare delen bevatten persoonlijke informatie, waaronder wachtwoorden, inloggegevens, coderingssleutel, enz. waarvan de lekkage ernstige schade zou veroorzaken.
De afgelopen maanden flitsen IT-gerelateerde nieuwssites en forums met de waarschuwing over Spectre- en Meltdown-kwetsbaarheden,[2] die een hoog risico vormen voor miljoenen Intel, AMD en andere moderne processorgebruikers van cyberaanvallen. Of de kwetsbaarheid van de huidige AMD nog een andere ernstige bedreiging is, is nog steeds een discutabel.
CTS-Labs gaf AMD 24 uur om de kwetsbaarheden te controleren
De standaardtermijn voor het analyseren van een zwakte door het betreffende bedrijf is 90 dagen. Binnen de periode heeft het bedrijf dat verantwoordelijk is voor de fout het recht om geen commentaar te geven op het probleem en het probleem goed te keuren of te ontkennen wanneer de daadwerkelijke testresultaten worden voorbereid.
In het geval van een beveiligingsprobleem in Ryzen- en EPYC-chips, is AMD gevraagd om de staat van zijn processors binnen 24 uur te controleren.[3] Een dag om kritieke gebreken op te lossen is niet voldoende om het probleem adequaat aan te pakken of in ieder geval te controleren of het echt is. Zelfs de beruchte Spectre- en Meltdown-patches moeten op verzoek van Google-onderzoekers binnen zes maanden worden aangepakt.
Het lopende onderzoek zal naar verwachting uitwijzen of zo'n snelle reactie nodig is vanwege de ernst van de kwetsbaarheid of dat het gewoon een ongegronde gril van CTS-Labs is. AMD-bedrijf reageerde onmiddellijk en beloofde alle zogenaamd gevonden problemen te controleren, maar weerhield zich er niet van commentaar te geven op de onbetrouwbaarheid van CTS-Labs:
ongebruikelijk voor een beveiligingsbedrijf om zijn onderzoek aan de pers te publiceren zonder het bedrijf een redelijke hoeveelheid tijd te geven om zijn bevindingen te onderzoeken en te behandelen.
Aanvankelijk bespot, werd goedgekeurd dat de problemen echt waren
De onthulling van de testresultaten van CTS Labs leidde aanvankelijk tot uiteenlopende meningen onder IT-specialisten. De meesten van hen keurden de oprichting af en "spotten" met het hele project. Linus Torvalds, de maker van Linux, was een van de actieve figuren die de beweringen over AMD's Ryzen- en EPYC-chips probeerde te weerleggen. Hij zei in een Google+ discussie:
Wanneer was de laatste keer dat u een beveiligingsadvies zag dat in feite luidde: 'Als u het BIOS of de CPU-microcode vervangt door een slechte versie, heeft u mogelijk een beveiligingsprobleem?' Ja.
Later voegde hij eraan toe:
Ik heb zojuist een fout gevonden in alle hardwareruimte. Geen enkel apparaat is veilig: als je fysiek toegang hebt tot een apparaat, kun je het gewoon oppakken en weglopen. Ben ik al een beveiligingsexpert?
AMD reageerde echter snel op de huidige situatie en, verrassend voor de andere partijen, gaf het toe dat de beveiligingsfout echt is. Dan Guido, een van de onderzoekers van het bedrijf, bevestigde de fout:[4]
Ongeacht de hype rond de release, de bugs zijn echt, nauwkeurig beschreven in hun technisch rapport (dat niet openbaar is), en hun exploitcode werkt.
Ryzenfall, Master Key, Fallout en Chimera. Wat zijn de gevaren van deze gebreken?
Nagesynchroniseerd als Ryzenfall, Master Key, Fallout en Chimera, lijken de beveiligingsfouten in AMD's Ryzen-processor en EPYC-serverprocessors nog niet te zijn uitgebuit door criminelen.
Het gevaar van deze gebreken is nogal overdreven. Het blijkt dat criminelen beheerdersrechten nodig hebben om ze te misbruiken voor malware-injectie en datalekken. Hoewel niet wordt verwacht dat de fout uit de hand loopt, kunnen boeven die mogelijk beheerderstoegang hebben tot pc's praktisch alles doen op een gericht apparaat.[5]
Daarom is het raadzaam om op de hoogte te blijven van het laatste nieuws over de fout en de BIOS-updates te installeren die AMD-processorpatches bevatten.