I ricercatori dell'azienda IOActive hanno individuato una vulnerabilità (CVE-2023-31315) nei processori AMD, che consente, in caso di accesso locale privilegiato al sistema, di modificare la configurazione della SMM (System Management Mode, Ring -2), anche se il meccanismo di blocco della SMM (SMM Lock) è attivato, e potenzialmente permette di eseguire codice a livello di SMM. Il livello di SMM, che ha una priorità più alta rispetto alla modalità hypervisor e al ring zero di protezione, consente l'accesso illimitato a tutta la memoria di sistema e può essere utilizzato per controllare il sistema operativo.
La vulnerabilità, che ha ricevuto il nome in codice Sinkclose, è causata da un'errata verifica dei registri specifici del modello (MSR, Model Specific Register). La SMM è associata a un'area di pagine fisiche di memoria, a cui l'accesso è bloccato a livello di controllore della memoria. La vulnerabilità identificata consente di bypassare questo blocco attraverso la manipolazione di determinati registri MSR, la cui scrittura non era stata vietata nonostante l'impostazione della modalità SMM Lock.
L'esecuzione della vulnerabilità può avvenire dal ring zero di protezione, sul quale opera il kernel del sistema operativo, e può essere utilizzata, ad esempio, per mantenere la propria presenza dopo aver sfruttato altre vulnerabilità nel sistema o attraverso metodi di ingegneria sociale. Il sistema operativo non ha la possibilità di monitorare e controllare l'esecuzione di codice a livello di SMM, il che può essere utilizzato per modificare firmware e collocare codice dannoso nascosto o rootkit, non rilevabili dal sistema operativo, così come per disattivare la verifica durante il processo di avvio e attacchi agli hypervisor per eludere i meccanismi di verifica dell'integrità degli ambienti virtuali.
La vulnerabilità si manifesta praticamente in tutti i chip AMD prodotti dal 2006, comprese le serie di processori AMD EPYC (1-4 generazione), Ryzen (R1000, R2000, 3000-8000, V1000, V2000, V3000), Athlon 3000 e Threadripper PRO. Gli aggiornamenti del microcodice per bloccare la vulnerabilità sono già stati rilasciati per le serie di CPU EPYC e Ryzen mobili e desktop. Per i modelli di CPU embedded, l'aggiornamento è previsto per ottobre. L'unico modo per rimuovere il codice dannoso inserito attraverso un attacco alla SMM è la pulizia della memoria tramite un programmatore SPI Flash fisicamente collegato.
Fonte: opennet.ru
