[22 / 3] AMD : 13 failles affectant la micro-architecture Zen selon CTS Labs (Lao Tseu a dit...) !

>>> Mise à jour du 22 Mars 2018 : Toujours brièvement, le fabricant AMD a enfin fournit, le 21 Mars, quelques éléments concernant les multiples failles dans ses produits Ryzen et solutions-serveurs (EPYC), suite aux révélations de CTS Labs étalées sur la place publique (selon AMD, avec un délai d'attente usuel - 90 jours - non respecté...). Le fabricant se veut rassurant en insistant bien sur le fait que si les failles sont réelles leurs impacts semblent plus limités ou moins dangereux, avec l'appellation "firmware" soulignée maintes fois dans le discours officiel même si pour Chimera, la vulnérabilité la plus problématique puisque basée sur des portes dérobées avec, en partie, un chipset "recyclé" à peine revisité d'ASMédia, le patch est à venir. "Il est important de noter que toutes les questions soulevées dans la recherche nécessitent un accès administratif au système, un type d'accès qui accorde effectivement à l'utilisateur un accès illimité au système et le droit de supprimer, créer ou modifier l'un des dossiers ou fichiers ordinateur, ainsi que de modifier les paramètres. Tout attaquant obtenant un accès administratif non autorisé disposerait d'un large éventail d'attaques bien au-delà des exploits identifiés dans cette recherche. En outre, tous les systèmes d'exploitation modernes et les hyperviseurs de qualité professionnelle disposent aujourd'hui de nombreux contrôles de sécurité efficaces, tels que Microsoft Windows Credential Guard dans l'environnement Windows, pour empêcher tout accès administratif non autorisé qui aurait dû être corrigé". Pour la veille, cela se passera du côté de l'historique des mises à jour d'AMD, sur sa page officielle francophone dédiée... A suivre ! <<<

 


Actualité du 15 Mars 2018 :

 

Souvent oscillante ou tranchante, l'actualité sécuritaire n'est pas un long fleuve tranquille, preuve en serait, apparemment, avec CTS Labs qui aurait mis en lumière plusieurs failles concernant la plupart des gammes Ryzen d'AMD et de ses solutions serveurs (EPYC) alors-même que le fabricant venait de fêter, le 12 Mars dernier, le premier anniversaire de ses micro-puces...

 

 

Les chercheurs ont classifiés les failles par familles :

 

  • Masterkey (Ryzen Workstation et serveurs EPYC), permettant d'injecter du code malicieux directement dans le BIOS et / ou l'OS infecté. Le malware s'installe depuis le "Secure Processor" (environnement d’exécution de confiance dans une architecture ou un processeur donné(e) - TEE) en mode kernel (élévation de privilège allant avec) ;

 

  • Ryzenfall (Ryzen Workstation, Ryzen Pro et Ryzen Mobile) dont la source initiale se situe au niveau de Secure OS et de la mémoire vive dynamique "isolée" (une partie de la mémoire de la puce usitée pour les besoins de cette dernières). Comme Masterkey, l'injection du malware est alors possible dans ces zones, normalement, ultra-sécurisées (mode Kernel VTL1 et Windows IUM, SMRAM et Secure Processor) ; même finalité que ci-dessus : injection et exécution de code au niveau du BIOS, voire, dans le pire des cas (lorsque le malware a finalisé son processus d'installation ou atteint sa cible avec succès) un écrasement ou contournement du firmware. Désactiver l'option liée à la PSP (Plateform Security Processor) peut être une solution temporaire à ce problème mais non définitive puisqu'elle ne ferait que retarder Ryzenfall ;

 

  • Fallout (uniquement les serveurs EPYC), qui prend naissance via un boot loader, toujours depuis le module sécuritaire d'AMD (Secure Processor). Là aussi peu de détails sur son fonctionnement mais une finalité commune aux deux premières familles de malwares, à savoir une injection ou exécution de code visant, en finalité, à modifier ou écraser les données existantes ;

 

  • Chimera (Ryzen Workstation et Ryzen Pro), qui s'exécute au travers de deux portes dérobées, l'une logicielle (firmware) et l'autre matérielle (sur le circuit du chipset "tiers", ASIC), cette dernière étant pointée du doigt puisque la production du chipset - codifié "promontory" - a été externalisé au sein d'ASMedia (Taïwan) qui, d'un modèle à un autre, n'aurait pas changé grand chose, ce qui aurait facilité la persistance de vulnérabilité(s), par défaut de mise à jour ou d'améliorations matérielles dans ce sens. Au final, Chimera s'avérerait peut-être la plus dangereuse puisqu'elle permettrait un contrôle total du système avec une quasi-impossibilité pour l'utilisateur de pouvoir supprimer ou détecter le malware en question. Seule, si la théorie est avérée, la fabrication de nouvelles puces (ou le retrait du marché de toute la gamme Ryzen ?!...) voire un changement radical du fournisseur de puces pour AMD pourrait prémunir cette attaque...

 

L'ensemble des failles ne peuvent être exploitées que via des droits / privilèges élevées avec une main sur la machine (accès local). Quant à AMD, il se dit au fait de la situation même si cela semble lui avoir été livré de manière un peu brutale : "Cette société était auparavant inconnue d'AMD et nous trouvons inhabituel qu'une firme de sécurité publie ses recherches à la presse sans accorder à l'entreprise un délai raisonnable pour enquêter sur ses conclusions et y répondre. Chez AMD, la sécurité est une priorité absolue et nous travaillons continuellement à assurer la sécurité de nos utilisateurs lorsque de nouveaux risques potentiels se présentent", explique de manière très succincte le fabricant. Pour le dénouement, il faudra donc patienter.

Concernant Spectre et Meltdown, cela semble enfin aboutir : Microsoft vient de publier, le 13 Mars 2018, des patchs sécuritaires à destination des terminaux équipés de puces Intel dernière génération (SkyLake, Kaby Lake et Coffee Lake) pour la dernière update de Windows 10, pour l'heure. Si une mise à jour pour Windows 7 et Windows 8.1 (x86) a été déployée, aucune information, par contre, pour les puces antérieures à SkyLake d'Intel... A suivre !

 

Source : AMDFlaws.com