La semaine dernière, CTS Labs a publié 13 vulnérabilités dans les processeurs AMD de manière très discutable, en avertissant le fabricant moins de 24 heures à l’avance.
Ce mercredi (21), AMD a confirmé que toutes les failles sont réelles, et qu’elle les corrigera dans les semaines à venir ? mais n’oubliez pas qu’elles sont très difficiles à exploiter.
Dans une déclaration, AMD déclare que “tous les problèmes soulevés dans l’enquête nécessitent un accès administratif au système… Tout attaquant obtenant un accès administratif non autorisé aura à sa disposition un large éventail d’attaques, bien au-delà des exploits identifiés dans cette recherche”.
Néanmoins, la société publiera des correctifs pour ces vulnérabilités. La plupart d’entre elles concernent le PSP (Platform Security Processor), un noyau ARM intégré au processeur pour fournir des fonctionnalités supplémentaires telles que le module de sécurité TPM.
Les défaillances de Ryzenfall et Fallout permettent à un attaquant d’exécuter un code malveillant sur PSP pour révéler ses secrets, comme la mémoire virtuelle cryptée d’AMD, le micrologiciel du module de sécurité TPM, entre autres.
Pendant ce temps, dans la panne de la clé maîtresse, le PSP ne vérifie pas correctement l’intégrité de son micrologiciel. Ainsi, il serait possible – avec des autorisations administratives – d’installer en permanence des logiciels malveillants sur cette puce sans être détectés.
Nous avons aussi Chimère. Un attaquant peut exécuter un code malveillant sur les puces Ryzen et Ryzen Pro, en utilisant le trafic Wi-Fi, réseau et Bluetooth qui passe par la puce pour infecter votre ordinateur.
AMD affirme que les quatre catégories de vulnérabilités sont réelles et peuvent être trouvées sur les processeurs Ryzen et Epyc. Elle développe des mises à jour de micrologiciels pour les trois bogues PSP, qui seront proposées dans les “prochaines semaines”. Ils vont également atténuer les effets des chimères.
Ces corrections seront distribuées par le biais d’une mise à jour du BIOS, et la DGAD déclare qu’elle “ne s’attend à aucun impact sur les performances.
Ces défauts n’ont pas attiré l’attention car ils sont inhabituels ; le moteur de gestion Intel (ME), équivalent de la PSP, a déjà connu des vulnérabilités plus graves, qui peuvent être exploitées à distance.
Ils ont fait la une des journaux, surtout parce que CTS Labs a averti AMD moins de 24 heures à l’avance, alors que le délai est généralement de 90 jours. Cependant, ils ont préparé un site amdflaws.com pour faire connaître les bogues ; et ont partagé les bogues avec la société de sécurité Trail of Bits.
Linus Torvalds, créateur du noyau Linux, estime que le rapport de CTS Labs “ressemble plus à une manipulation d’action qu’à une alerte de sécurité”. Il poursuit : “quand avez-vous vu pour la dernière fois une alerte de sécurité qui était en fait “si vous remplacez le BIOS ou le microcode du processeur par une version malveillante, vous pourriez avoir un problème” ?
CTS Labs a déclaré dans une interview qu’il ne donnait pas 90 jours à AMD parce qu’il pensait qu’il lui faudrait “beaucoup, beaucoup de mois, ou peut-être un an” pour résoudre les vulnérabilités.
