Investigadores de seguridad de CTS-Labs radicados en Israel descubrieron trece vulnerabilidades críticas de seguridad para la micro arquitectura de CPU «Zen» de AMD, que son tan condenatorias como las recientes vulnerabilidades «Meltdown» y «Spectre» que afectan a varios fabricantes de CPU en diversos grados (Intel, AMD y ARM).
Los trece nuevos CVE se clasifican ampliamente en cuatro grupos en función de la similitud en la función del procesador que explotan: «Ryzenfall», «Masterkey», «Fallout» y «Chimera».
Los investigadores «creen que las redes que contienen computadoras AMD corren un riesgo considerable» y que el malware puede «sobrevivir a reinicios y reinstalaciones del sistema operativo, mientras permanece virtualmente indetectables para la mayoría de las soluciones de seguridad de punto final», como el software antivirus.
También mencionan que, en su opinión, «la naturaleza básica de algunas de estas vulnerabilidades equivale a ignorar por completo los principios fundamentales de seguridad. Esto plantea cuestiones relacionadas con las prácticas de seguridad, la auditoria y los controles de calidad en AMD».
¿Cuáles son esas vulnerabilidades y que producen?
- «Masterkey»: este es un exploit de la función Secure Boot, que comprueba si no se manipuló nada en su máquina mientras estaba apagada (es decir, cambios en el firmware, hardware o el último estado del software antes del apagado). La vulnerabilidad de Masterkey supera esta comprobación de integridad del entorno mediante el uso de un BIOS del sistema infectado, que se puede actualizar incluso desde Windows (con privilegios administrativos). Teóricamente, Secure Boot debe validar la integridad del BIOS, pero aparentemente esto puede pasarse por alto, explotando errores en el análisis de metadatos del procesador seguro. Una vez que la firma del BIOS está fuera del camino, puede colocar prácticamente cualquier código compatible con ARM Cortex A5 en el BIOS modificado, que luego se ejecutará dentro del procesador seguro basado en ARM, indetectable para cualquier software antivirus que se ejecute en la CPU principal.
- «Ryzenfall» es una clase de vulnerabilidad que apunta a Secure Processor, que permite que un malware bien diseñado guarde su código en el procesador seguro de un sistema en ejecución, para que se ejecute durante el resto del tiempo de actividad del sistema. Nuevamente, este ataque requiere privilegios administrativos en la máquina host, pero puede realizarse en tiempo real, en el sistema en ejecución, sin modificar el firmware. Secure Processor usa la RAM del sistema, además de su propia memoria en silicio del procesador. Si bien esta parte de la memoria está cercada del acceso por la CPU, existen errores que pueden perforar esa protección. El código que se ejecuta en el procesador seguro tiene acceso completo al sistema; La seguridad basada en la virtualización de Microsoft (VBS) se puede eludir y se puede colocar malware adicional en el almacenamiento de administración del sistema, donde puede ser o no ser detectado por el software antivirus tradicional. Windows Defender Credentials Guard, un componente que almacena y autentica contraseñas y otras funciones seguras en la máquina, también puede pasarse por alto y el malware puede extenderse a otras máquinas, o el firmware puede modificarse para explotar «Masterkey», que persiste a través de reinicios.
- «Fallout»: esta clase de vulnerabilidad afecta solo a los servidores AMD EPYC. Requiere privilegios de administrador como los otros exploits, y tiene efectos similares. Permite a un atacante obtener acceso a regiones de memoria como el Modo de usuario aislado de Windows / Modo Kernel (VTL1) y la RAM de administración segura de la CPU (que no son accesibles, incluso con privilegios administrativos). Los riesgos son los mismos que «Ryzenfall», el vector de ataque es simplemente diferente.
- «Chimera»: esta clase de vulnerabilidad es una explotación del chipset de la placa madre (por ejemplo, X370 también conocido como Promontory). AMD subcontrató el diseño de sus chipsets Ryzen para la ASMedia taiwanesa, que es una subsidiaria de ASUS. (Es posible que conozca la compañía del USB 3.0 de terceros y los chips PCI heredados en muchas placas).La compañía ha sido multada por prácticas de seguridad laxas en el pasado, y se encontraron numerosos problemas en sus chips de controlador anteriores. Para el conjunto de chips AMD, parece que copian y pegan mucho código y diseño, incluidas las vulnerabilidades. El chipset ejecuta su propio código que le dice qué hacer, y aquí está el problema: Aparentemente se ha implementado una puerta trasera que le da a cualquier atacante la clave correcta de acceso al conjunto de chips, incluida la ejecución de código arbitrario dentro del chipset. Este código ahora puede usar el motor DMA (acceso directo a la memoria) del sistema para leer/escribir la memoria del sistema, lo que permite la inyección de malware en el sistema operativo.Para explotar este vector de ataque, se requieren privilegios administrativos. Si DMA puede acceder a las porciones de memoria del Procesador seguro, para atacar adicionalmente el Procesador a través de esta vulnerabilidad, no está completamente confirmado, sin embargo, los investigadores verificaron que funciona en un pequeño número de Desktop Boards. Su teclado, mouse, controladores de red, cableados o inalámbricos, están todos conectados al chipset, lo que abre otros mecanismos de ataque como keyloggers (que envían sus registros accediendo directamente al controlador de red sin que la CPU / sistema operativo nunca haya tenido conocimiento de estos paquetes ), o registrando todo el tráfico de red interesante, incluso si su destino es otra máquina en el mismo segmento Ethernet. Se encontró una segunda puerta trasera que se implementa en el diseño del chip físico, por lo que no puede ser mitigada por una actualización de software, y los investigadores insinúan el requisito de un retiro de estas en el mercado.
Los investigadores han creado el sitio web AMDFlaws.com para hacer una crónica de estos hallazgos y publicar informes detallados en un futuro cercano.
Fuente: TechPowerUP
