Récemment les différentes vulnérabilités ont été divulguées qui affectent à la fois les processeurs AMD et Intel. Parmi les bugs corrigés Dans le cas d'AMD, 22 vulnérabilités ont été éliminées dans la première, la deuxième et la troisième génération de Processeurs de serveur AMD série EPYC qui compromettent le fonctionnement des technologies PSP (Platform Security Processor), SMU (System Management Unit) et SEV (Secure Encrypted Virtualization).
De plus, 6 problèmes avaient déjà été identifiés en 2020 et 16 en 2021. Les employés de Google ont identifié onze vulnérabilités lors d'études de sécurité internes, six par Oracle et cinq par Microsoft.
Pour les OEM, des kits de micrologiciels AGESA (AMD Generic Encapsulated Software Architecture) mis à jour ont été publiés, bloquant la manifestation de problèmes d'une manière alternative. Hewlett Packard Enterprise, Dell, Supermicro et Lenovo ont déjà publié des mises à jour du micrologiciel BIOS et UEFI pour leurs systèmes de serveurs.
Lors des examens de sécurité en collaboration avec Google, Microsoft et Oracle, des vulnérabilités potentielles ont été découvertes et atténuées dans le processeur de sécurité de la plate-forme AMD (PSP), l'unité de gestion du système AMD (SMU), la virtualisation sécurisée AMD (SEV) et d'autres composants de la plate-forme. dans les packages AMD EPYC ™ AGESA ™ PI.
4 vulnérabilités sont classées comme dangereuses (les détails n'ont pas encore été révélés):
- CVE-2020-12954 : possibilité de contourner les mécanismes de protection de la ROM SPI en manipulant certains paramètres internes du chipset. La vulnérabilité permet à un attaquant de modifier SPI Flash pour injecter du code malveillant ou des rootkits invisibles pour le système.
- VE-2020-12961- Une vulnérabilité dans le processeur PSP (AMD Security Processor), qui est utilisé pour exécuter un sandbox protégé inaccessible depuis le système d'exploitation principal, permet à un attaquant de réinitialiser n'importe quel registre de processeur privilégié dans SMN (System Management Network) et de contourner la ROM de protection SPI.
- CVE-2021-26331- Un bogue dans le processeur intégré SMU (System Management Unit), utilisé pour gérer la consommation électrique, la tension et la température, permet à un utilisateur non privilégié d'exécuter son code avec des privilèges élevés.
- CVE-2021-26335 : Une validation incorrecte des données d'entrée dans le chargeur de code pour le processeur PSP vous permet d'appliquer des valeurs contrôlées par l'attaquant dans l'étape de vérification de la signature pré-numérique et de réaliser l'exécution de votre code sur la PSP.
En outre, l'élimination de la vulnérabilité est également mentionnée (CVE-2021-26334) dans la boîte à outils AMD μProf, fourni pour Linux et FreeBSD, et utilisé pour analyser les performances et la consommation d'énergie. Le problème est présent dans le pilote AMDPowerProfiler et permet à un utilisateur d'accéder au MSR (Enregistrement spécifique au modèle) pour organiser l'exécution de votre code au niveau de l'anneau de protection zéro (ring-0). La vulnérabilité a été corrigée dans la mise à jour amduprof-3.4-502 pour Linux et AMDuProf-3.4.494 pour Windows.
Maintenant, dans le cas des problèmes qui ont été éliminés dans les processeurs Intel, ceux-ci ont été signalés lors de la publication des rapports de vulnérabilité trimestriels dans leurs produits, parmi lesquels se distinguent les aspects suivants :
- CVE-2021-0146 : est une vulnérabilité dans les processeurs Intel Pentium, Celeron et Atom pour les systèmes de bureau et mobiles qui permet à un utilisateur ayant un accès physique à l'ordinateur d'obtenir une élévation de privilèges en activant les modes de débogage. Le matériel permet l'activation de la logique de test ou de débogage au moment de l'exécution pour certains processeurs Intel.
- CVE-2021-0157, CVE-2021-0158 : Vulnérabilités dans le code de référence du BIOS fourni pour initialiser les processeurs Intel Xeon (E/W/Scalable), Core (7/10/11gen), Celeron (N) et Pentium Silver. Les problèmes sont causés par une validation d'entrée incorrecte ou un contrôle de flux incorrect dans le micrologiciel du BIOS et permettent une élévation des privilèges avec un accès local.
Enfin, si vous souhaitez en savoir plus A propos des rapports publiés par AMD et Intel sur l'élimination des vulnérabilités trouvées, vous pouvez consulter les détails dans les liens suivants.