I ricercatori di IOActive hanno scoperto una vulnerabilità (CVE-2023-31315) nei processori AMD, che, con accesso locale privilegiato al sistema, consente di modificare la configurazione della modalità SMM (System Management Mode, Ring -2), anche se è attivato il meccanismo di blocco SMM (SMM Lock). Questo potrebbe anche potenzialmente permettere l'esecuzione di codice a livello SMM. La modalità SMM, che ha una priorità superiore rispetto a quella del hypervisor e al livello di protezione zero, consente un accesso illimitato a tutta la memoria di sistema e può essere utilizzata per controllare il sistema operativo.
La vulnerabilità, soprannominata Sinkclose, è causata da un controllo errato dei registri specifici per modello (MSR, Model Specific Register). In SMM viene riservata un'area di pagine fisiche di memoria, alla quale viene bloccato l'accesso a livello del controller di memoria. La vulnerabilità identificata consente di eludere questo blocco attraverso la manipolazione di determinati registri MSR, la scrittura nei quali non era stata vietata nonostante l'attivazione della modalità SMM Lock.
L'exploitation delle vulnerabilità può avvenire dal livello zero di protezione, su cui opera il kernel del sistema operativo, e può essere utilizzata, ad esempio, per mantenere la propria presenza dopo aver sfruttato altre vulnerabilità nel sistema o applicato tecniche di ingegneria sociale. Il sistema operativo non ha la possibilità di monitorare e controllare l'esecuzione del codice a livello SMM, il che può essere sfruttato per modificare i firmware e inserire codice dannoso o rootkit nascosti, non rilevabili dal sistema operativo, nonché per disabilitare la verifica durante l'avvio e attaccare hypervisor per eludere i meccanismi di controllo dell'integrità degli ambienti virtuali.
La vulnerabilità si manifesta praticamente in tutti i chip AMD prodotti dal 2006, incluse le serie di processori AMD EPYC (1-4 generazione), Ryzen (R1000, R2000, 3000-8000, V1000, V2000, V3000), Athlon 3000 e Threadripper PRO. Gli aggiornamenti del microcodice per bloccare la vulnerabilità sono già stati rilasciati per le serie di CPU EPYC e Ryzen destinate a dispositivi mobili e desktop. Per i modelli di CPU integrati, l'aggiornamento è previsto per ottobre. L'unico modo per rimuovere il codice dannoso inserito tramite un attacco SMM è tramite la pulizia della memoria utilizzando un programmatore SPI Flash collegato fisicamente.
Fonte: opennet.ru
