AMD ha scoperto 31 vulnerabilità nei suoi processori, aggiornamenti in arrivo

AMD ha scoperto 31 vulnerabilità nei suoi processori, aggiornamenti in arrivo

AMD ha identificato 31 vulnerabilità che interessano i suoi microprocessori, dagli EPYC ai Ryzen. Con due bollettini rilasciati la scorsa settimana (QUI e QUI), la società statunitense ha reso noto di aver risolto 28 vulnerabilità legate ai processori server EPYC.

"Durante una revisione della sicurezza in collaborazione con Google, Microsoft e Oracle sono state scoperte potenziali vulnerabilità in AMD Secure Processor (ASP), AMD System Management Unit (SMU), AMD Secure Encrypted Virtualization (SEV) e altri componenti della piattaforma che sono state mitigate con pacchetti AMD EPYC AGESA PI".

Quattro vulnerabilità hanno una severità elevata, quindici sono di livello medio e altre nove presentano una bassa pericolosità. Delle quattro vulnerabilità di livello High, tre consentono l'esecuzione arbitraria di codice mediante diversi vettori di attacco, mentre una permette di scrivere dati in determinate regioni relative a SMM e SEV-ES portando alla perdita di integrità e disponibilità dei dati.

Per quanto riguarda il secondo bollettino, AMD indica tre vulnerabilità di livello High, Medium e Low che interessano i processori Athlon, Ryzen e Threadripper. Esclusi dal lotto gli ultimi processori Ryzen 7000 (Zen 4) per piattaforme AM5. "In collaborazione con diverse terze parti, le piattaforme AMD sono state analizzate per potenziali rischi di sicurezza. Potenziali vulnerabilità in AMD Secure Processor (ASP), AMD System Management Unit (SMU) e altri componenti della piattaforma sono state scoperte e vengono mitigate nei pacchetti software AGESA PI associati ai processori AMD Athlon, Ryzen e Threadripper".

Nel bollettino viene indicata per le diverse serie di processori la revisione di AGESA che mitiga le vulnerabilità; dall'elenco sembra che non tutti i processori indicati abbiano però ricevuto un nuovo AGESA per mitigare le falle di sicurezza e non è chiaro se e quando lo riceveranno.

L'AGESA è il codice usato dai produttori OEM per realizzare il BIOS / UEFI installato sulle motherboard, quindi è necessario verificare sul sito del produttore della scheda madre l'esistenza di un BIOS aggiornato per il modello in vostro possesso. Qualora non fosse già disponibile un firmware basato sul nuovo AGESA bisognerà aspettare verosimilmente qualche settimana.

Al momento non è chiaro se i correttivi relativi alle falle elencate impattino sulle prestazioni, come visto in passato per le varie patch rilasciate da Intel e AMD per mitigare le falle Spectre e Meltdown e le loro derivazioni.

Fonte: hwupgrade