AMD njoftoi eliminimin e 22 dobësive në gjeneratën e parë, të dytë dhe të tretë të procesorëve të serverëve të serisë AMD EPYC, duke lejuar që të komprometohet funksionimi i teknologjive PSP (Platform Security Processor), SMU (System Management Unit) dhe SEV (Secure Encrypted Virtualization). . Në vitin 6 janë evidentuar 2020 probleme dhe në vitin 16 2021. Gjatë hulumtimit të sigurisë së brendshme, 11 dobësi u identifikuan nga punonjësit e Google, 6 nga Oracle dhe 5 nga Microsoft.
Komplete të përditësuara të firmuerit AGESA (AMD Generic Encapsulated Software Architecture) janë lëshuar për prodhuesit e pajisjeve OEM, duke bllokuar shfaqjen e problemeve në një mënyrë rrethrrotullimi. Kompani të tilla si HP, Dell, Supermicro dhe Lenovo kanë lëshuar tashmë përditësime të firmuerit BIOS dhe UEFI për sistemet e tyre të serverëve.
4 dobësi janë klasifikuar si të rrezikshme (detajet nuk janë bërë ende të ditura):
- CVE-2020-12954 - aftësia për të anashkaluar mekanizmat e mbrojtjes SPI ROM përmes manipulimit të disa cilësimeve të brendshme të çipave. Dobësia lejon një sulmues të bëjë ndryshime në SPI Flash për të futur kode me qëllim të keq ose rootkits që janë të padukshëm për sistemin.
- CVE-2020-12961 - një dobësi në procesorin PSP (Procesori i Sigurisë AMD), i përdorur për të ekzekutuar një mjedis të mbrojtur të izoluar të paarritshëm nga sistemi operativ kryesor, i lejon një sulmuesi të rivendosë çdo regjistër të privilegjuar të procesorit në SMN (Rrjeti i Menaxhimit të Sistemit) dhe të anashkalojë Mbrojtje SPI ROM.
- CVE-2021-26331 - Një gabim në nënsistemin SMU (System Management Unit) i integruar në procesor, i përdorur për të menaxhuar konsumin e energjisë, tensionin dhe temperaturën, lejon një përdorues të paprivilegjuar të arrijë ekzekutimin e kodit me privilegje të ngritura.
- CVE-2021-26335 - Vlefshmëria e gabuar e të dhënave të hyrjes në ngarkuesin e kodit për procesorin PSP bën të mundur përdorimin e vlerave të kontrolluara nga sulmuesi në fazën përpara se të kontrolloni nënshkrimin dixhital dhe të arrini ekzekutimin e kodit të tyre në PSP.
Vërehet veçmas eliminimi i një cenueshmërie (CVE-2021-26334) në paketën e veglave AMD μProf, e furnizuar duke përfshirë për Linux dhe FreeBSD, dhe përdoret për analizën e performancës dhe konsumit të energjisë. Problemi është i pranishëm në drejtuesin AMDPowerProfiler dhe lejon një përdorues të paprivilegjuar për të fituar akses në regjistrat MSR (Model-Specific) për të organizuar ekzekutimin e kodit tuaj në nivelin e unazës zero të mbrojtjes (unaza-0). Dobësia është rregulluar në amduprof-3.4-502 për Linux dhe AMduProf-3.4.494 për Windows.
Ndërkohë, Intel ka publikuar raporte tremujore për dobësitë në produktet e saj, nga të cilat veçohen problemet e mëposhtme:
- CVE-2021-0146 është një cenueshmëri në procesorët Intel Pentium, Celeron dhe Atom për sistemet celulare dhe desktop që lejon një përdorues me akses fizik në pajisje të arrijë përshkallëzimin e privilegjeve duke aktivizuar mënyrat e korrigjimit.
- CVE-2021-0157, CVE-2021-0158 janë dobësi në kodin e referencës BIOS të ofruar për inicializimin e procesorëve Intel Xeon (E/W/Scalable), Core (7/10/11gen), Celeron (N) dhe Pentium Silver. Problemet shkaktohen nga vërtetimi i gabuar i hyrjes ose kontrolli i gabuar i rrjedhës në firmuerin BIOS dhe lejojnë përshkallëzimin e privilegjeve kur disponohet qasja lokale.
Burimi: opennet.ru