AMD a descoperit recent o vulnerabilitate de microcod, adusă pentru prima dată în atenția companiei de către un cercetător în domeniul securității, Tavis Ormandy, care face parte din echipa Project Zero al Google. Cercetătorul în domeniul securității a semnalat o problemă care ar putea permite, încărcarea unui microcod diferit decât cel semnat oficial de AMD, ceea ce ar putea fi sursa mai multor probleme grave.
Problema a fost descoperită în documentația unui BIOS beta creat de inginerii ASUS, care conține deja o referire la vulnerabilitate, iar acest BIOS, creat pentru una dintre plăcile de bază de gaming al ASUS, ar trebui deja să conțină soluția. Cu toate acestea, AMD nu a făcut încă nici un anunț oficial cu privire la vulnerabilitate, iar după ce problema a fost mediatizată, au modificat rapid descrierea BIOS-ului beta în cauză, eliminând mențiunea că vulnerabilitatea a fost remediată.
Din fericire exploatarea acestei vulnerabilități nu este un proces simplu, deoarece necesită atât acces administrativ, cât și competențe serioase pentru a o accesa și a rula codul malițios. Aceasta înseamnă că deși este o vulnerabilitate foarte gravă, ea nu poate fi pur și simplu folosită de oricine, deoarece necesită un nivel ridicat de pregătire, iar accesul fizic la sistem nu este o sarcină ușoară. Potrivit lui Ormandy, patch-ul în sine nu este încă inclus în firmware-ul Linux, este disponibil doar sub forma unui BIOS beta lansat de ASUS.
Nu se știe încă exact cum ar putea afecta vulnerabilitatea sistemul, însă cercetătorii în domeniul securității au început deja să speculeze cu privire la ceea ce s-ar putea afla în spatele acesteia. Demi Marie, expert la Invisible Things, consideră că dacă un atacator reușește să determine sistemul să încarce microcodul care conține codul malițios, care necesită acces la Ring 0 și SVM Root Mode, ar putea fi posibilă și ocolirea tuturor funcțiilor critice de securitate. Exemplele includ SMM (System Management Mode), SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) și DRTM (Dynamic Root of Trust for Measurement), ceea ce înseamnă că ar putea afecta și sistemele de securitate primare, ceea ce reprezintă un pericol extrem de mare.
AMD a confirmat pentru The Register că știu de vulnerabilitate pentru care există deja un patch pe cale de aplicare în scurt timp. Patch-ul a fost finalizat și lucrează cu partenerii și clienții lor pentru a o aplica cât mai curând posibil. Descrierea acestuia va fi făcută publică doar după implementare
Desigur, vulnerabilități similare au mai fost raportate anterior, afectând mai multe linii de produse. În acest caz, nu este încă clar ce sisteme sunt afectate.
