CVE-2023-20593 – AMD ‘Zenbleed’ Cross-Process Information Leak

Bron: AMD, Tenable, Access42, NCSC, TheHackerNews

Wij informeren u preventief via deze blog, zoals wij eerder ook deden voor de Spectre en Meltdown kwetsbaarheid voor Intel processoren. Afgelopen 24 juli 2023 heeft een medewerker van Google Information Security Engineering (Tavis Ormandy) informatie vrijgegeven over een kwetsbaarheid welke hij onderzocht heeft met betrekking tot AMD microprocessors. Het betreft een kwetsbaarheid in “Zen 2” CPU’s. Onder specifieke microarchitecturele omstandigheden, kan een aanvaller mogelijk toegang krijgen tot gevoelige informatie.

Dreiging

Voor de hardware kwetsbaarheid is recent exploit code publiek beschikbaar en kan significante impact hebben, indien succesvol misbruikt wordt. Succesvol misbruik is echter complex. Access42 acht de kans op misbruik met de huidige informatie daarom laag, maar blijft de dreigingsinformatie actief monitoren met de huidige ontwikkelingen

Achtergrond

AMD heeft een kwetsbaarheid verholpen in het Zen 2-platform voor een aantal type processoren. Voor de overige processoren heeft AMD een eigen bulletin beschikbaar waarop te zien is wanneer er mogelijk een specifiek microcode patch beschikbaar gesteld zou kunnen worden.

De kwetsbaarheid werkt op alle Zen 2-klasse processoren, waaronder de volgende producten:

• AMD Ryzen 3000 Series Processors
• AMD Ryzen PRO 3000 Series Processors
• AMD Ryzen Threadripper 3000 Series Processors
• AMD Ryzen 4000 Series Processors with Radeon Graphics
• AMD Ryzen PRO 4000 Series Processors
• AMD Ryzen 5000 Series Processors with Radeon Graphics
• AMD Ryzen 7020 Series Processors with Radeon Graphics
• AMD EPYC “Rome” Processors

Referentie:

https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html

Impact

Het gaat om een hardwarematige kwetsbaarheid die een kwaadwillende in staat stelt een deel van het processorgeheugen uit te lezen. De kwaadwillende kan hiermee in theorie toegang krijgen tot gevoelige informatie, zoals sleutelmateriaal en wachtwoorden. Omdat het om een hardware kwetsbaarheid betreft op CPU-niveau, is het mogelijk om de kwetsbaarheid vanuit virtuele machines of containers op het host-systeem te misbruiken. De potentiële impact van misbruik is hiermee breder dan enkel de virtuele machine of container zelf.

Advies

Wij adviseren het volgende met de huidige informatie (27-07-2023):

• Stel vast dat uw organisatie, waaronder server en werkstation assets, gebruik van een kwetsbare CPU. Controleer hiervoor de systeeminformatie, BIOS/UEFI-informatie en/of fabrikantsspecificaties.
• AMD heeft updates uitgebracht om de kwetsbaarheid te verhelpen. Zie voor meer informatie het blogartikel van AMD.

Tenable vulnerability detectie plugin

Tenable heeft een plugin beschikbaar gesteld voor de detectie van de kwetsbaarheid CVE-2023-20593.

Meer informatie

• https://advisories.ncsc.nl/advisory?id=NCSC-2023-0382
• https://www.tenable.com/cve/CVE-2023-20593
• https://thehackernews.com/2023/07/zenbleed-new-flaw-in-amd-zen-2.html
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-20593
• https://www.xda-developers.com/zenbleed/
• https://nakedsecurity.sophos.com/2023/07/26/zenbleed-how-the-quest-for-cpu-performance-could-put-your-passwords-at-risk/
• https://lock.cmpxchg8b.com/zenbleed.html
• https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html
• POC: https://github.com/google/security-research/tree/master/pocs/cpus/zenbleed