ช่องโหว่ในหน่วยประมวลผล AMD 'Zenbleed' สามารถเปิดเผยข้อมูลที่เป็นความลับได้

ช่องโหว่ที่ถูกตั้งชื่อว่า Zenbleed หมายเลข CVE-2023-20593 ถูกค้นพบโดยนักวิจัยของ Google ในกรณีศึกษาเกี่ยวกับหน่วยประมวลผลใหม่ และได้รายงานถึง AMD เมื่อวันที่ 15 พฤษภาคม นักวิจัยด้านความปลอดภัยของ Google คือ Tavis Ormandy ที่นำทีมวิจัยไปทำการค้นพบและประกาศผลการพบช่องโหว่พร้อมรายละเอียดทางเทคนิคและตัวอย่างการใช้ exploit (PoC) เมื่อวันจันทร์ที่ผ่านมา (24 กรกฏาคม 2023) ซึ่งการค้นพบปัญหานี้เกิดจากการใช้เทคนิค fuzzing (การทดสอบโปรแกรมโดยการส่งข้อมูลที่สุ่มส่ง)

“Tavis Ormandy” อธิบายว่า “ในการทำงานจำนวนมาก ฉันค้นพบตัวแปรที่สามารถรั่วไหลได้ประมาณ 30 kb ต่อคอร์,ต่อวินาที ซึ่งเพียงพอต่อการตรวจสอบคีย์การเข้ารหัสและรหัสผ่านขณะที่ผู้ใช้เข้าสู่ระบบ!”

ช่องโหว่นี้ส่งผลกระทบต่อหน่วยประมวลผลทั้งหมดในระบบ Zen 2 และ CPU Ryzen 3000 (รวมถึง PRO และ Threadripper), 4000 (PRO), 5000, 7020, และ Epyc (Rome)และ AMD ได้เริ่มต้นปล่อยอัปเดต microcode และแนะนำให้ลูกค้าใช้การอัปเดตเฟิร์มแวร์ AGESA สำหรับบางผลิตภัณฑ์ตัวอัปเดตนี้อาจใช้เวลาในการพัฒนาเสร็จสิ้นและปล่อยอัปเดตสู่ผู้ใช้งานในไตรมาสสุดท้ายของปี 2023 นี้

Credit: https://www.securityweek.com/zenbleed-vulnerability-affecting-amd-cpus-can-expose-sensitive-information/

TOPICS