AMD, EPYC veri merkezi işlemcileri ve PC’ler ile gömülü sistemlere yönelik Ryzen işlemci serisinde yaklaşık yirmi yıldır bulunan silikon seviyesindeki bir güvenlik açığını gidermek için aygıt yazılımı güncellemeleri yayınladı.
Bu kusur, işlemcide Sistem Yönetim Modunu (SMM) korumak için kullanılan bir bileşeni etkiliyor; bu, işlemcide o kadar korunan bir yürütme modu ki çekirdek düzeyindeki moddan bile daha ayrıcalıklı. Ayrıcalık yükseltme açığını keşfeden IOActive araştırmacıları, istismar edilmesi durumunda bir saldırganın kaldırma girişimlerine neredeyse hiç dayanıklı olmayan bir sisteme kötü amaçlı yazılım yerleştirmesine izin verecek “yama uygulanamaz” bir sorun olarak tanımladı.
Dünya çapında yüz milyonlarca cihazda şu anda bu güvenlik açığını içeren AMD yongaları bulunuyor.
SinkClose Kusuru
IOActive araştırmacılarının “SinkClose” olarak adlandırdığı güvenlik açığı, “Hafıza ÇöküntüsüIntel Sandy Bridge ve önceki işlemcilerde bulunan ve güvenlik araştırmacısı Christopher Domas’ın 2015’te Black Hat sunumunda ifşa ettiği bir SMM atlama açığıdır. Domas ayrıca diğer donanım düzeyindeki güvenlik açıkları Intel çiplerinde.
“Bu açığın, doğru şekilde yapılandırılmamış bilgisayarlarda düzeltilmesi neredeyse imkansızdır – ki bu çoğu sistem için geçerlidir,” dedi IOActive bir bildiride. “Doğru şekilde yapılandırılmış sistemlerde, bu açık, tespit edilmesi neredeyse imkansız olan önyükleme kitleri olarak bilinen kötü amaçlı yazılım enfeksiyonlarına yol açabilir.”
AMD’nin kendisi bu güvenlik açığını, etkilenen bir sisteme halihazırda ring0 — veya çekirdek düzeyi — erişimi olan saldırganlara, yetkisiz SMM değişikliklerini önleme özelliği olan SMM Kilidi açık olsa bile SMM’yi potansiyel olarak değiştirme yolu sağlayan bir sorun olarak tanımladı. “Model belirli bir kayıtta (MSR) uygunsuz doğrulama, ring0 erişimi olan kötü amaçlı bir programın SMM Kilidi etkinken SMM yapılandırmasını değiştirmesine izin verebilir ve bu da potansiyel olarak keyfi kod yürütülmesine yol açabilir,” çip satıcısı dedi.
SMM, AMD yongalarında bir moddur düşük seviyeli sistem yönetim fonksiyonları. Sadece sistem yönetimi rastgele erişim belleği veya SMRAM adı verilen ayrılmış bir bellek bloğundan kod yürütür. AMD yongaları, SMRAM’a erişimi korumak için TSeg adı verilen bir bellek denetleyicisi uygular.
SMM Baypas Saldırısı
Ancak, IOActive araştırmacıları Enrique Nissim ve Krzysztof Okupski bu korumaları aşmanın ve SMM’nin esasen SMRAM dışından kendi seçtikleri kodu yürütmesini sağlamanın bir yolunu buldular. Bunu, AMD’nin yongalarına eski bir bellek yönetim özelliğiyle geriye dönük uyumluluk için dahil ettiği TClose adlı bir özellikten yararlanarak yaptılar. Dumas’ın SinkHole açığı, Intel yongalarındaki benzer bir eski özelliği içeriyordu.
Nissim ve Okupski, bir saldırganın SinkClose açığını kullanarak kötü amaçlı yazılımı bir sistemin içine yeterince derine —ve yeterince kalıcı bir şekilde— bırakabileceğini ve işletim sistemi, hipervizör ve tüm uç nokta tespit mekanizmaları için görünmez hale getirebileceğini belirledi. 10 Ağustos’ta DEF CON hacker konferansında yaptıkları bir konuşmada, araştırmacılar bu açığı uzaktan bir saldırganın istismar edebileceği bir şey olarak tanımladılar. Ancak, bir saldırganın bunu istismar edebilmesi için AMD çip mimarisi hakkında derinlemesine bir anlayışa sahip olması gerekir — ki bu da muhtemelen yalnızca bir ulus-devlet düzeyinde sahip olunabilecek bir şeydir.
AMD’nin kendisi, arka plan bağlamı yoluyla, SinkClose açığını istismar etmek için gereken erişim düzeyine sahip bir saldırganın bilgisayardaki her şeyi okuma, değiştirme, silme ve gözetleme yeteneğine zaten sahip olduğunu iddia etti. Ayrıca, işletim sistemi çekirdek düzeyinde erişime sahip biri güvenlik mekanizmalarını devre dışı bırakabilir ve bir bilgisayarın başlatılmasını engelleyebilir.
AMD, Dark Reading’e gönderdiği bir e-postada “Bu, bankadaki bir kasaya girme bilgisine sahip olmaya benziyor,” diye belirtti. “Gerçek dünyada, kasaya ulaşmak için bir hırsızın önce alarmları, muhafızları, kasa kapısını ve kendi kilitlerini geçmesi gerekir, ki bu açıkça kolay bir iş değildir.”
Bir SMM atlama saldırısı gerçekleştirme becerisine ve bilgisine sahip bir saldırgan, IOActive’in uyardığı türden bir kötü amaçlı yazılım yükleyebilir. Ancak AMD, arka planda saldırganların bu tür kötü amaçlı yazılımları dağıtmasının ilk sefer olmayacağını belirterek, Lojax donanım yazılımı düzeyinde rootkit 2018’den itibaren. “Bu kötü amaçlı yazılım gizli olabilir, ancak görünmez veya düzeltilmesi imkansız değildir.”
“AMD, AMD EPYC veri merkezi ürünleri ve AMD Ryzen PC ürünleri için azaltma seçenekleri yayınladı,” dedi yonga üreticisi. “Etkilenen ürünlerin ve azaltma seçeneklerinin tam listesi şurada mevcuttur: ürün güvenlik bülteni.”