Un bogue de rupture de cryptage et de fuite de mot de passe dans de nombreux processeurs AMD pourrait prendre des mois à être corrigé


Tavis Ormandy, membre de l’équipe de sécurité Project Zero de Google, écrit Tavis Ormandy, membre de l’équipe de sécurité Project Zero de Google. Exécutée correctement, la vulnérabilité dite « Zenbleed » (CVE-2023-20593) pourrait permettre aux attaquants d’accéder aux clés de chiffrement et aux mots de passe root et utilisateur, ainsi qu’à d’autres données sensibles de tout système utilisant un processeur basé sur l’architecture Zen 2 d’AMD.

Le bogue permet aux attaquants de balayer les données des registres d’un processeur. Les processeurs modernes tentent d’accélérer les opérations en devinant ce qu’on leur demandera de faire ensuite, appelé « exécution spéculative ». Mais parfois, le CPU se trompe ; Les processeurs Zen 2 ne récupèrent pas correctement de certains types d’erreurs de prédiction, ce qui est le bogue que Zenbleed exploite pour faire son travail.

La mauvaise nouvelle est que l’exploit ne nécessite pas d’accès matériel physique et peut être déclenché en chargeant JavaScript sur un site Web malveillant. La bonne nouvelle est que, du moins pour le moment, il ne semble pas encore y avoir de cas d’exploitation de ce bogue dans la nature, bien que cela puisse changer rapidement maintenant que la vulnérabilité a été révélée et que le bogue nécessite un timing précis pour être exploité.

« AMD n’a connaissance d’aucun exploit connu de la vulnérabilité décrite en dehors de l’environnement de recherche », a déclaré la société à Tom’s Hardware. La société de réseautage Cloudflare affirme également qu’il n’y a « aucune preuve que le bogue soit exploité » sur ses serveurs.

Étant donné que la vulnérabilité réside dans le matériel, une mise à jour du micrologiciel d’AMD est le meilleur moyen de la réparer complètement. Ormandy dit qu’il est également réparable via une mise à jour logicielle, mais cela « peut avoir un certain coût de performance ». Le bogue affecte tous les processeurs basés sur l’architecture Zen 2 d’AMD, y compris plusieurs processeurs de bureau et portables Ryzen, les puces de la série EPYC 7002 pour les serveurs et les processeurs des séries Threadripper 3000 et 3000 Pro WX pour les stations de travail.

AMD a déjà publié une mise à jour du micrologiciel atténuant le problème pour les serveurs exécutant les puces EPYC 7002, sans doute le plus important des correctifs, car un serveur occupé exécutant plusieurs machines virtuelles est une cible plus lucrative pour les pirates que les PC grand public.

AMD indique que « tout impact sur les performances variera en fonction de la charge de travail et de la configuration du système », mais n’a pas fourni de détails supplémentaires.

Quand vais-je recevoir un patch ?

L’architecture Zen 2 est arrivée pour la première fois sur les systèmes grand public il y a environ quatre ans sous la forme de la série AMD Ryzen 3000 ; le Ryzen 5 3600 était particulièrement populaire parmi les constructeurs de PC. Mais l’habitude d’AMD de mélanger et d’assortir les architectures de processeurs dans les dernières générations de processeurs signifie qu’il existe également des puces Zen 2 dans les gammes Ryzen 4000, 5000 et 7000, affectant certains nouveaux systèmes ainsi que les plus anciens.

CPU Libéré Correctif prévu Version AGESA avec correctifs
Ryzen 3000 (ordinateur de bureau) Mi-2019 Décembre 2023 ComboAM4v2PI_1.2.0.C
Ryzen 4000G (ordinateur de bureau) Mi-2020 Décembre 2023 ComboAM4v2PI_1.2.0.C
Ryzen 4000 (ordinateur portable) Début-mi 2020 novembre 2023 RenoirPI-FP6_1.0.0.D
Ryzen 5700U/5500U/5300U (ordinateur portable) Début 2021 Décembre 2023 CézannePI-FP6_1.0.1.0
Ryzen 7020 (ordinateur portable) Fin 2022 Décembre 2023 MendocinoPI-FT6_1.0.0.6
Ryzen Threadripper 3000 Fin 2019 Octobre 2023 CastlePeakPI-SP3r3 1.0.0.A
Ryzen Threadripper Pro 3000WX Mi-2020 Novembre/Décembre 2023 CastlePeakWSPI-sWRX8 1.0.0.C/ChagallWSPI-sWRX8 1.0.0.7
EPYC 7002 Mi-2019 Correctif disponible RomePI 1.0.0.H

Si vous utilisez des processeurs de bureau Ryzen, toutes les puces des séries Ryzen 3000 et Ryzen 4000G (mais pas Ryzen 3000G, qui utilise une ancienne version Zen) sont vulnérables à Zenbleed. AMD prévoit de publier un correctif de micrologiciel d’ici décembre, bien que le fabricant de votre carte mère ou de votre PC soit responsable de la distribution de la mise à jour.

Les ordinateurs portables sont un peu plus délicats. La plupart des processeurs pour ordinateurs portables de la série Ryzen 4000 utilisent Zen 2, et AMD prévoit de préparer une mise à jour pour eux en novembre. De nombreux processeurs pour ordinateurs portables de la série Ryzen 5000 sont passés au Zen 3, mais les Ryzen 7 5700U, Ryzen 5 5500U et Ryzen 3 5300U ont continué à utiliser le Zen 2. Et les processeurs de la série Ryzen 7020 sortis fin 2022 pour les systèmes économiques utilisent également le Zen 2. .

AMD prévoit de publier une mise à jour pour les systèmes de la série Threadripper 3000 en octobre et des correctifs pour les systèmes de la série Threadripper Pro 3000WX en novembre et décembre.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

*