AMD meldet zahlreiche Sicherheitslücken in Prozessoren

AMD hat mehrere Sicherheitsmitteilungen veröffentlicht, in denen das Unternehmen Sicherheitslücken in den Prozessoren respektive ihrer Firmware behandelt. Einige der Lücken erlauben Angreifern, Schadcode auf Systemen mit hohen Rechten einzuschleusen und auszuführen. Firmware-Updates sollen die Lücken schließen. Diese müssen Mainboard- und Computerhersteller jedoch in ihre BIOS-Versionen einpflegen und an Endkunden verteilen.

Eine Sicherheitsmitteilung von AMD betrifft diverse General Purpose-Prozessoren. Vier Schwachstellen ermöglichen auf unterschiedliche Arten und Weisen, auf per SPI angebundenen Flashspeicher zuzugreifen und mit eigenen Inhalten zu befüllen – üblicherweise liegt das BIOS im SPI-Flash und lässt sich derart manipulieren. Dadurch können Angreifer eigenen Code einschleusen und ausführen. Dabei erlangen sie höchste Rechte. Die zugehörigen CVE-Einträge lauten CVE-2023-20576, CVE-2023-20577, CVE-2023-20579 und CVE-2023-20587. Das Risiko stuft AMD bei allen als "hoch" ein.

Diverse AMD-Prozessoren betroffen

Diverse Prozessoren listet AMD als betroffen auf. Etwa die für Data Center gedachten EPYC-CPUs von der ersten bis zur vierten Generation, Desktop-CPUs Ryzen der 3000er bis 7000er-Reihe, Threadripper aus den 3000er- und 5000er-Baureihen sowie die Mobilprozessoren der Athlon 3000er-Reihe und Mobile Ryzen 3000er- bis 7000er. Auch Embedded-Prozessoren der EPYC- und Ryzen-Marken zählt AMD zu den verwundbaren CPUs. Nicht alle genannten Prozessoren sind für alle vier Lücken gleichzeitig anfällig. Die Sicherheitsmeldung nennt Firmware-Blobs mit Versionssnummern für die unterschiedlichen CPUs, die Hersteller in ihr BIOS integrieren können.

Deutlich mehr als eine Handvoll Sicherheitslücken meldet AMD in den Embedded-Prozessoren. Einige datieren schon weit zurück, etwa auf das Jahr 2020, und betreffen etwa den AMD Platform Security Processor (PSP), der inzwischen AMD Secure Processor (ASP) heißt. Durch Sicherheitslücken in den Treibern oder im Kernel können Angreifer ihre Rechte ausweiten. Neben diesen beiden gibt es fünf weitere, als hochriskant eingestufte Schwachstellen, die bösartigen Akteuren das Ausweiten ihrer Rechte oder das Ausführen beliebigen Programmcodes erlauben. Auch hier ist nicht jeder Embedded-Prozessor von jeder gelisteten Sicherheitslücke betroffen. AMD stellt auch hier Firmware-Blobs zum Abdichten der Sicherheitslecks bereit.

Außerdem teilt AMD mit, dass die Ultrascale- und Ultrascale+-FPGAs, die RSA-Authentifizierung ohne Verschlüsselung oder ohne erzwungene Verschlüsselung mittels gesetztem eFUSE-Register nutzen, von Angreifern mit beliebigen Datenströmen beladen werden können, ohne eine Authentifizierungsfehlermeldung zu erzeugen (CVE-2023-20570, Risiko "mittel"). Eine Design-Empfehlung soll das Risiko senken.

Etwas exotischer sind Lücken in der Secure Encrypted Virtualization und Secure Nested Paging (SEV-SNP)-Firmware. Eine Lücke erlaubt Angreifern mit erhöhten Rechten, (veraltete) Daten von anderen Gastsystemen zuzugreifen (CVE-2023-31346, mittel) oder einen inkorrekten Time Stamp Counter (TSC) für ein Gastsystem anzuzeigen, wenn eigentlich ein Secure TSC aktiviert wurde – das kann die Integrität des Gastsystems verletzen (CVE-2023-31347, niedrig).

Nutzerinnen und Nutzer mit AMD-Systemen sollten Ausschau halten, ob der Hersteller ihres Systems BIOS-Updates bereitstellt, und diese bei Verfügbarkeit installieren. Im August vergangenen Jahres hatten Intel und AMD mehrere Sicherheitslücken in den Prozessoren entdeckt. Microcode- und Firmwareupdates sollten dagegen helfen. Auch damals mussten Mainboard- und PC-Bauer sie in eigene BIOS-Updates gießen und diese verteilen, damit Endnutzer davor geschützt wurden.

Update: Mittlerweile stellen einige Hesteller von Servern, Desktop-PCs und Notebooks bereits BIOS-Updates bereit.

(dmk)