Zenbleed-Technik

• Auf Prozessoren der Zen-2-Klasse wurde eine Schwachstelle entdeckt. Dazu gehören AMD-Ryzen- und EPYC-Prozessoren.
• Die Schwachstelle ermöglicht das Auslesen sensibler Informationen wie kryptografischer Schlüssel und Passwörter.
• Ausgelöst wird sie durch eine bestimmte Befehlsreihenfolge, darunter die Verwendung der vzeroupper-Instruktion.
• Die Schwachstelle ermöglicht es, mithilfe der gemeinsam genutzten Registerdatei des Prozessors systemweit anfallende Vorgänge zu überwachen.
• Der Bug wurde durch Fuzzing entdeckt und war zuvor aufgrund fehlender Coverage-Feedbacks auf der CPU nicht gefunden worden.
• AMD hat zur Behebung der Schwachstelle Microcode-Updates veröffentlicht; zudem gibt es Software-Workarounds.
• Es gibt keine zuverlässige Technik, um eine Ausnutzung dieser Schwachstelle zu erkennen.

[GN⁺]

Hacker-News-Kommentare

• Die Schwachstelle zeigt, dass die Ausführung in einer virtuellen Maschine keine Sicherheit garantiert
• In den letzten Jahren wurden mehrere CPU-Schwachstellen entdeckt
• Die Zeitleiste der Schwachstelle zeigt den Prozess der Identifizierung des Problems und der Meldung an AMD
• Die Schwachstelle kann auch nach kurzer Ausführungszeit sensible Informationen protokollieren
• Das neue Mikrocode-Update behebt das Problem bei einigen Prozessoren, gilt aber nicht für alle
• Die Schwachstelle betrifft verschiedene AMD-Prozessoren über eine breite Produktpalette hinweg
• Die Website, die die Schwachstelle hostet, erlebt derzeit sehr hohen Traffic
• Der Artikel wird für seinen Informationsgehalt und seinen retrospektiven Wert gelobt
• CPUs außerhalb von EPYC werden bis Ende dieses Jahres kein Firmware-Update erhalten
• Auch nach dem Update des Mikrocodes kann die Schwachstelle auf einigen Systemen weiterhin funktionieren