Nesta quarta-feira (21), a AMD confirmou que todas as falhas são reais, e que vai corrigi-las nas próximas semanas — mas lembra que elas são bem difíceis de explorar. Em comunicado, a AMD diz que “todos os problemas levantados na pesquisa requerem acesso administrativo ao sistema… Qualquer invasor que obtiver acesso administrativo não-autorizado terá uma ampla gama de ataques à sua disposição, muito além dos exploits identificados nesta pesquisa”.
Ainda assim, a empresa vai liberar correções para essas vulnerabilidades. A maior parte delas afeta o PSP (Platform Security Processor), um núcleo ARM integrado ao processador para fornecer recursos adicionais, como o módulo de segurança TPM. As falhas Ryzenfall e Fallout permitem que um invasor rode código malicioso no PSP para revelar seus segredos, como a memória virtual criptografada da AMD, o firmware do módulo de segurança TPM, entre outros. Enquanto isso, na falha Masterkey, o PSP não verifica corretamente a integridade de seu firmware. Dessa forma, seria possível — com permissões administrativas — instalar malware nesse chip de forma permanente, sem ser detectado. Temos também o Chimera. Um invasor pode executar código malicioso em chipsets Ryzen e Ryzen Pro, usando o tráfego de Wi-Fi, rede e Bluetooth que passa pelo chip para infectar seu computador. A AMD diz que todas essas quatro classes de vulnerabilidades são reais e podem ser encontradas nos processadores Ryzen e Epyc. Ela está desenvolvendo atualizações de firmware para as três falhas do PSP, que serão oferecidas nas “próximas semanas”. Elas também vão mitigar o Chimera. Essas correções serão distribuídas através de uma atualização de BIOS, e a AMD diz que “não espera nenhum impacto no desempenho”.
Essas falhas não chamaram a atenção por serem fora do comum; o Intel Management Engine (ME), equivalente ao PSP, já teve vulnerabilidades piores, que podem ser exploradas remotamente. Elas viraram notícia especialmente porque a CTS Labs avisou a AMD com menos de 24 horas de antecedência — quando o prazo costuma ser de 90 dias. No entanto, ela preparou um site amdflaws.com para divulgar as falhas; e compartilhou os bugs com a empresa de segurança Trail of Bits. Linus Torvalds, criador do kernel Linux, acredita que o relatório da CTS Labs “parece mais manipulação de ações que um alerta de segurança”. Ele continua: “quando foi a última vez que você viu um alerta de segurança que era basicamente ‘se você substituir o BIOS ou o microcódigo da CPU por uma versão maligna, você pode ter um problema’?”. A CTS Labs disse em entrevista que não deu 90 dias para a AMD por acreditar que ela precisaria de “muitos, muitos meses, ou talvez um ano” para resolver as vulnerabilidades. Com informações: AMD, Ars Technica.
