Dne 24. julija 2023 je AMD objavil varnostno obvestilo o ranljivosti v mikroarhitekturi procesorjev Zen 2. Ranljivost, ki jo AMD imenuje »Cross-Process Information Leak«, je znana tudi pod imenom »Zenbleed«. Težava z oznako CVE-2023-20593, ki jo je AMD ocenil kot srednje resno, napadalcu pod določenimi pogoji omogoča dostop do občutljivih podatkov, ki jih obdeluje procesor. Prizadeta je vsa programska oprema, ki teče na procesorjih AMD Zen 2, vključno z virtualnimi stroji, peskovniki, vsebniki in procesi. Izkoriščevalska koda je verjetno že na voljo, zato je napade, ki temeljijo na tej ranljivosti, pričakovati kmalu.

Ranljivi so vsi procesorji AMD Zen 2, vključno s procesorji EPYC Rome:

• procesorji AMD Ryzen serije 3000
• procesorji AMD Ryzen PRO serije 3000
• procesorji AMD Ryzen Threadripper serije 3000
• procesorji AMD Ryzen serije 4000 z grafiko Radeon
• procesorji AMD Ryzen PRO serije 4000
• procesorji AMD Ryzen serije 5000 z grafiko Radeon
• procesorji AMD Ryzen serije 7020 z grafiko Radeon
• procesorji AMD EPYC »Rome« 2. generacije

Video: Zenbleed (CVE-2023-20593) (LiveOverflow, v angleščini)

Odprava ranljivosti

Nalaganje popravljene mikrokode ob zagonu s posodobitvijo paketa firmware

Ta rešitev posodobi mikrokodo procesorja s posodobitvijo operacijskega sistema (na primer s paketom linux-firmware). To lahko storiš, takoj ko izdajatelj operacijskega sistema ali skupnost objavi posodobljen paket. Metoda je odvisna od distribucije oziroma izdajatelja operacijskega sistema in deluje le, če je ustrezno mikrokodo zagotovil AMD. Do danes je ta metoda uporabna le za »Zen2 Rome« in »Zen2 Castle Peak«.

Zaščita s posodobljenim jedrom

Če posodobitev mikrokode prek paketa firmware ni na voljo, lahko jedro posodobiš na različico, ki z nastavitvijo tako imenovanega »chicken bit« izklopi okvarjeno funkcijo procesorja. To lahko vpliva na zmogljivost sistema. Izdajatelji operacijskih sistemov bodo to rešitev vključili, ko jo bodo prenesli (backport) v svoje različice jedra Linux. Strankam priporočamo, da se najprej oprejo na to strategijo, saj je najučinkovitejša: ni odvisna od tega, ali proizvajalec strojne opreme zagotovi posodobljeno mikrokodo.

»Chicken bit« lahko nastaviš tudi ročno, ne da bi čakal na posodobitev jedra. Te rešitve pa ne priporočamo, saj je lahko tvegana za tvoj sistem.

• kibernetska varnost
• linux
• upravljanje strežnikov
• novice