Onderzoekers van IOActive hebben een kwetsbaarheid (CVE-2023-31315) ontdekt in AMD-processors die bij geprivilegieerde lokale toegang tot het systeem de configuratie van de SMM (System Management Mode, Ring -2) kan wijzigen, zelfs wanneer het SMM Lock-mechanisme is ingeschakeld, en bovendien potentieel de mogelijkheid biedt om code op SMM-niveau uit te voeren. Het SMM-niveau, dat hogere prioriteit heeft dan de hypervisor-modus en ring 0, biedt onbeperkte toegang tot het gehele systeemgeheugen en kan worden gebruikt voor het beheren van het besturingssysteem.
De kwetsbaarheid, die de codenaam Sinkclose heeft gekregen, is ontstaan door een onjuiste controle van modelafhankelijke registers (MSR, Model Specific Register). Voor SMM wordt een gebied van fysieke geheugenpagina's vastgelegd, waar de toegang op niveau van de geheugenkontroller wordt geblokkeerd. De ontdekte kwetsbaarheid maakt het mogelijk om deze blokkering te omzeilen door middel van manipulatie van specifieke MSR-registers, waarin de toegang niet was verboden ondanks het inschakelen van de SMM Lock-modus.
De exploitatie van de kwetsbaarheid kan plaatsvinden vanuit ring 0, waarop de kernels van het besturingssysteem draaien, en kan bijvoorbeeld worden gebruikt om aanwezig te blijven na het exploiteren van andere kwetsbaarheden in het systeem of door gebruik te maken van sociale-engineeringmethoden. Het besturingssysteem heeft geen mogelijkheid om de uitvoering van code op SMM-niveau te volgen en te controleren, wat kan worden gebruikt voor het aanpassen van firmware en het plaatsen van verborgen malware of rootkits die niet door het besturingssysteem kunnen worden gedetecteerd, evenals voor het uitschakelen van verificatie tijdens het opstartproces en aanvallen op hypervisors om de integriteitscontroles van virtuele omgevingen te omzeilen.
De kwetsbaarheid manifesteert zich praktisch in alle AMD-chips die sinds 2006 zijn uitgebracht, inclusief de series AMD EPYC-processors (1-4 generatie), Ryzen (R1000, R2000, 3000-8000, V1000, V2000, V3000), Athlon 3000 en Threadripper PRO. Microcode-updates om de kwetsbaarheid te blokkeren zijn al uitgebracht voor mobiele en desktop-series van de EPYC- en Ryzen-CPU's. Voor embedded modellen van CPU is de update gepland voor publicatie in oktober. De enige manier om de via een SMM-aanval ingevoegde malware te verwijderen, is door het geheugen te wissen met behulp van een fysiek aangesloten SPI Flash-programmeur.
Bron: opennet.ru
