Gizli Sanal Makine Kusuru: AMD Yama İletimi Devam Ediyor

Advanced Micro Devices, saldırganların sanal makineleri birbirinden yalıtmaya yönelik önlemleri atlamak için kullanabileceği birden çok işlemci türündeki bir güvenlik açığına yönelik düzeltmeler yayınladı.

Ayrıca bakınız: Kimlik Koruması Başarısız Olduğunda: Modern Tehdit Ortamı İçin Dayanıklılığı Yeniden Düşünmek

İsviçre devlet üniversitesi ETH Zürih’teki araştırmacılar, kusuru “RMPocalypse” olarak adlandırdı ve bunu 3 Şubat’ta ABD merkezli AMD’ye özel olarak bildirdi.

Pazartesi günü AMD, şu anda CVE-2025-0033 olarak takip edilen güvenlik açığını doğruladı ve müşterilere ürün yazılımlarını güncellemelerini tavsiye etti. Riski, gizli kalması gereken verilerin erişilebilir hale gelmesidir. Savunmasız AMD işlemcileri, müşterilere şifreli, gizli sanal makineler sağlamak için Amazon Web Services, Google Cloud ve Microsoft Azure gibi büyük bulut sağlayıcıları tarafından yaygın olarak kullanılıyor.

Kusur, Güvenli Yuvalanmış Sayfalama (kısaca SEV-SNP) ile Güvenli Şifrelenmiş Sanallaştırmaya sahip işlemcilerde mevcuttur. Bu donanım tabanlı güvenlik mekanizması, güvenilmeyen bir hipervizörün, AMD’nin Platform Güvenlik İşlemcisi tarafından kullanılan Ters Harita Tablosu adı verilen bir güvenlik mekanizmasını kurcalayarak bütünlükten ödün vermesini engellemek için tasarlanmıştır.

Araştırmacılar bir raporda, gizli sanal makine başlatma işlemi sırasında Platform Güvenlik İşlemcisinin, AMD’nin “RMP’nin geri kalanını korumak için RMP girişlerini kullanması ve dolayısıyla RMP kurulum aşamasında bir Catch-22’ye neden olması” nedeniyle Ters Harita Tablosunu geçici olarak korumasız bıraktığını söyledi.

Saldırgan, kötü niyetli bir hiper yönetici kullanarak, verilere yetkisiz erişim elde etmek için başlangıç ​​sürecindeki bu boşluğu hedefleyebilir. Güvenlik açığının CVSS puanı 6,0 olarak sıralanıyor; bu nispeten düşük bir rakam, bir saldırganın kusurdan yararlanmak için bir hipervizöre ayrıcalıklı erişime ihtiyaç duyacağını yansıtıyor.

Güvenlik açığının farkında olduğunu söyleyen Microsoft, bulut sağlayıcı savunmalarının bilgisayar korsanlarının RMPokalypse’i vahşi ortamda kullanmasını zorlaştırabileceğini söyledi. Microsoft, onaylı yönetim yolları ve kısıtlı yönetim erişimi gibi korumaların “ana bilgisayar güvenliğinin ihlali veya yetkisiz bellek manipülasyonu riskini azaltarak, gizli iş yüklerinin ve müşteri VM’lerinin Azure ana bilgisayarlarında gizliliklerini ve bütünlüklerini korumalarına yardımcı olduğunu” söyledi.

Araştırmacılar, kavram kanıtı istismar kodlarını Pazartesi günü, AMD’nin güvenlik tavsiyesini yayınladığı gün GitHub’da yayınladılar.

Güvenlik Açığı: Yarış Durumu

AMD, kusuru EPYC 7003 “Milan” serisi işlemcilerinde, 8004 ve 9004 “Siena”, “Genoa” ve “Bergamo” serisi işlemcilerinde ve EPYC 9005 “Turin” serisi işlemcilerinde mevcut olan bir yarış durumu olarak nitelendirdi. Bu işlemcilerin tüm gömülü versiyonlarında da kusur var.

Araştırmacılar, sanal makinedeki güvenlik korumalarını atlamak ve yetkisiz erişime karşı korunmak amacıyla ortamı manipüle etmek için, başlatma zamanlamasında bir kusur anlamına gelen yarış koşulundan faydalanmayı başardılar.

SEV-SNP, bulut hizmetleri müşterilerinin bilgileri sanallaştırılmış bir ortamda güvenli bir şekilde depolamasına ve işlemesine olanak tanırken, bu bilgileri bulut hizmet sağlayıcısı da dahil olmak üzere başka hiç kimsenin erişemeyeceği şekilde şifrelenmiş ve korunmuş halde tutmasını sağlamak üzere tasarlanmıştır. Tasarlandığı şekliyle teknoloji, kötü amaçlı yazılımların ve rootkit’lerin engellenmesine yardımcı olan çekirdek düzeyinde erişim ayrıcalıklarıyla bile hipervizörün diğer bölümlerinin verilere erişmesini engelleyen bellek bütünlüğü savunmaları da dahil olmak üzere çok çeşitli saldırılara karşı koruma sağlar.

Teknoloji aynı zamanda uzaktan doğrulama da sağlıyor; bu, üçüncü bir tarafın gizli bir VM’nin bütünlüğünü ve güvenilirliğini kanıtlayabileceği anlamına geliyor. Teknoloji, kullanıcıların genel hipervizörlerin sanal makinelerini kullanırken veri egemenliğini korumalarına olanak tanır.

Araştırmacılar raporlarında “SEV-SNP’yi tamamen kırmanın” dört farklı yolunu bulduklarını söyledi. Bu, bulut sanal makinelerinde gizli bir hata ayıklama modunu etkinleştirebilmeyi, sahte doğrulamayı, kötü amaçlı kod eklemeyi ve Sanal Bellek Sistem Mimarisi için bir “durum tekrarı” yürütmeyi içeriyordu. Saldırgan, kayıtlı bir VMSA sayfasının üzerine saldırgan tarafından oluşturulan bir sayfa yazarak CVM’nin bütünlüğünü bozabilir ve bu sayfaya erişim sağlayabilir.

Araştırmacılar, RMPokalypse’den yararlanmanın onlara %100 başarı oranıyla hedeflenen iş yüküne erişim sağladığını söyledi.