最近 さまざまな脆弱性が開示されました AMDとIntelの両方のプロセッサに影響します。 修正されたバグのうち AMDの場合、22の脆弱性が排除されました 第XNUMX世代、第XNUMX世代、第XNUMX世代 AMDEPYCシリーズサーバープロセッサ これは、PSP（プラットフォームセキュリティプロセッサ）、SMU（システム管理ユニット）、およびSEV（セキュア暗号化仮想化）テクノロジの動作を危険にさらします。
さらに、6年には2020つの問題が、16年には2021の問題がすでに特定されています。Googleの従業員は、内部セキュリティ調査中にXNUMXの脆弱性を特定し、XNUMXつはOracle、XNUMXつはMicrosoftによって特定されました。
OEM向けに、更新されたAGESA（AMD Generic Encapsulated Software Architecture）ファームウェアキットがリリースされ、別の方法で問題の兆候がブロックされました。 Hewlett Packard Enterprise、Dell、Supermicro、およびLenovoは、サーバーシステム用のBIOSおよびUEFIファームウェアアップデートをすでにリリースしています。
Google、Microsoft、Oracleと共同で行ったセキュリティレビュー中に、AMDプラットフォームセキュリティプロセッサ（PSP）、AMDシステム管理ユニット（SMU）、AMDセキュア暗号化仮想化（SEV）、およびプラットフォームの他のコンポーネントに潜在的な脆弱性が発見され、軽減されました。 AMDEPYC™AGESA™PIパッケージ。
4つの脆弱性は危険なものとして分類されます （詳細はまだ明らかにされていません）：
- CVE-2020-12954： 特定の内部チップセット設定を操作することにより、SPIROM保護メカニズムをバイパスする機能。 この脆弱性により、攻撃者はSPI Flashを変更して、システムからは見えない悪意のあるコードまたはルートキットを挿入することができます。
- CVE-2020-12961-メインオペレーティングシステムからアクセスできない保護されたサンドボックスを実行するために使用されるプロセッサPSP（AMDセキュリティプロセッサ）の脆弱性により、攻撃者はSMN（システム管理ネットワーク）の特権プロセッサレジスタをリセットし、SPI保護ROMをバイパスできます。
- CVE-2021-26331-消費電力、電圧、および温度を管理するために使用されるプロセッサ組み込みSMU（システム管理ユニット）のバグにより、特権のないユーザーが昇格された特権でコードを実行できるようになります。
- CVE-2021-26335： PSPプロセッサのコードローダーでの入力データの誤った検証により、前の段階で攻撃者によって制御された値をデジタル署名の検証に適用し、PSPでコードを実行することができます。
また、 脆弱性の排除についても言及されています（CVE-2021-26334） ツールキットで LinuxおよびFreeBSD用に提供されたAMDμProf、およびパフォーマンスと消費電力の分析に使用されます。 問題は AMDPowerProfilerドライバーに存在し、ユーザーがMSRにアクセスできるようにします （モデル固有の登録）ゼロ保護リング（ring-0）のレベルでコードの実行を整理します。 この脆弱性は、Linuxの場合はamduprof-3.4-502、Windowsの場合はAMDuProf-3.4.494のアップデートで修正されました。
現在、Intelプロセッサで解消された問題の場合、これらの問題は、製品の四半期ごとの脆弱性レポートの公開中に明らかになりました。その中で、次の側面が際立っています。
- CVE-2021-0146： は、デスクトップおよびモバイルシステム用のIntel Pentium、Celeron、およびAtomプロセッサの脆弱性であり、コンピュータに物理的にアクセスできるユーザーが、デバッグモードをアクティブにすることで特権の昇格を実現できるようにします。 ハードウェアを使用すると、一部のIntelプロセッサの実行時にテストロジックまたはデバッグロジックをアクティブ化できます。
- CVE-2021-0157、CVE-2021-0158： Intel Xeon（E / W /スケーラブル）、Core（7/10 / 11gen）、Celeron（N）、およびPentiumSilverプロセッサを初期化するために提供されたBIOSリファレンスコードの脆弱性。 この問題は、BIOSファームウェアの不適切な入力検証または不適切なフロー制御が原因で発生し、ローカルアクセスによる特権の昇格を許可します。
最後に、 あなたがそれについてもっと知りたいなら 見つかった脆弱性の排除に関してAMDとIntelが発表したレポートについては、次のリンクで詳細を参照できます。
コメントを最初に