AMD bestätigt Lücken Ryzenfall & Co. und kündigt Updates an
Heute Nacht unserer Zeit hat AMD die kürzlich publizierten Sicherheitslücken in aktuellen AMD-Plattformen bestätigt, die durch die Sicherheitsfirma CTS-Labs veröffentlicht worden waren. Das Whitepaper hatte großen Wirbel verursacht, da CTS-Labs bei der Aufdeckung nicht den üblichen Weg beschritten hatte, den Hersteller 45 oder 90 Tage vorab zu informieren, keinen Common Vulnerabilities and Exposures (CVE) Eintrag vorgenommen hatte und sich mit Fake-Büro-Fotos per Green-Box zu profilieren versuchte. Zudem war das Whitepaper ungewöhnlich scharf und hämisch verfasst. Allein die Codenamen der Bugs – Ryzenfall oder phonetisch rise and fall (engl. für Aufstieg-und-Absturz) – ließen viele Beobachter an der Intention der Verfasser zweifeln. Bei den Chimera-Bugs, welche auf zugekaufte Technologie von ASMedia zurückzuführen sind, wurde zudem nur AMD als betroffen erwähnt, obwohl ASMedia-Controller auch auf vielen Intel-Platinen zu finden sind; in der Stückzahl aufgrund des hohen Marktanteils vermutlich sogar auf weit mehr als auf AMD-Plattformen. Dass zudem mit Viceroy Research noch eine Firma auf den Zug aufgesprungen ist, gegen die in mehreren Ländern wegen mutmaßlicher Kursmanipulation an der Börse ermittelt wird, ließ die Aktion nicht seriöser erscheinen.
Da AMD erst weniger als einen Tag vor Veröffentlichung informiert worden war, bat man um etwas Zeit, die Sache zu prüfen. Inzwischen hat AMD-CTO Mark Papermaster in einem Blog-Eintrag die Lücken bestätigt und näher ausgeführt:
Security and protecting users’ data is of the utmost importance to us at AMD and we have worked rapidly to assess this security research and develop mitigation plans where needed. This is our first public update on this research, and will cover both our technical assessment of the issues as well as planned mitigation actions.
The security issues identified by the third-party researchers are not related to the AMD “Zen” CPU architecture or the Google Project Zero exploits made public Jan. 3, 2018. Instead, these issues are associated with the firmware managing the embedded security control processor in some of our products (AMD Secure Processor) and the chipset used in some socket AM4 and socket TR4 desktop platforms supporting AMD processors.
Allerdings betonte Papermaster, dass zur Ausnutzung der Lücken ein potenzieller Angreifer volle Zugriffsrechte auf das System haben muss. Mit diesen Rechten ausgestattet sind Ryzenfall & Co. jedoch im Grunde schon wieder irrelevant, denn wenn der Angreifer es so weit gebracht hat, die Lücken ausnutzen zu können, hat er ja bereits volle Systemrechte und benötigt die Lücken zur Ausnutzung gar nicht mehr. Dennoch versprach AMD, die Lücken per Firmware-Updates zu schließen. Dies soll in den nächsten Wochen passieren und ohne Leistungsverlust einhergehen.
