Vulnerabilità AMD Ryzen, in arrivo le patch

A distanza di circa una settimana dalla divulgazione delle informazioni sulle 13 vulnerabilità scoperte da CTS-Labs nei processori Ryzen e EPYC, AMD ha rilasciato un primo comunicato ufficiale sulla vicenda. Il chipmaker di Sunnyvale ha confermato l’esistenza dei bug, promettendo il rilascio delle patch in tempi brevi.

AMD ha ricevuto la segnalazione il 12 marzo e CTS-Labs ha reso pubblica la sua scoperta meno di 24 ore dopo (invece dei canonici 45/60/90 gironi). Il produttore ha avviato subito le indagini, identificando il problema nel firmware che gestisce il PSP (Platform Security Processor) e nei chipset usati in alcune schede madri con socket AM4 e TR4. Le vulnerabilità non riguardano quindi l’architettura Zen dei processori Ryzen e EPYC, né sono correlate agli exploit resi pubblici da team Google Project Zero il 3 gennaio (i famigerati Meltdown e Spectre).

Mark Papermaster, CTO di AMD, sottolinea che le vulnerabilità richiedono accesso amministrativo al sistema, un tipo di accesso che consente di creare, cancellare e modificare qualsiasi file o cartella e cambiare qualsiasi impostazione. Se un malintenzionato riuscisse ad ottenere un accesso amministrativo non autorizzato potrebbe compiere vari tipi di attacco. Tutti i sistemi operativi moderni includono molti controlli di sicurezza, come Windows Credential Guard, che dovrebbero impedire l’accesso non autorizzato.

Le vulnerabilità Masterkey, Ryzenfall e Fallout possono essere risolte con un aggiornamento del BIOS che include un nuovo firmare per il PSP. Le patch verranno distribuite nel corso delle prossime settimane. Per Chimera, invece, è possibile implementare una mitigazione attraverso un aggiornamento del BIOS che impedisca l’accesso alla memoria tramite il chipset. In questo caso è necessaria la collaborazione dell’azienda di terze parti (ASMedia).