La semaine dernière, la société de cybersécurité israélienne CTS Labs a dévoilé la découverte de treize vulnérabilités de sécurité dites critiques affectant des processeurs Ryzen, Ryzen Pro, Ryzen Mobile et EPYC d'AMD à architecture Zen.
Dans cette affaire, AMD a été pris de court en étant prévenu seulement 24 heures avant la publication d'un document ne comprenant pas tous les détails techniques (pour éviter une reproduction des failles). Qui plus est, CTS Labs a été extrêmement sévère envers AMD.
Avec l'accès aux détails techniques et du code preuve de concept fourni par CTS Lab, les vulnérabilités ont été confirmées par des tiers, dont Trail of Bits et Check Point. Après avoir eu le temps de digérer, c'est désormais AMD qui atteste de leur existence.
Directeur de la technologie chez AMD, Mark Papermaster souligne que les problèmes de sécurité identifiés ne sont pas en rapport avec l'architecture Zen elle-même, mais " associés au firmware qui gère le processeur de contrôle de sécurité intégré dans certains produits (AMD Secure Processor) et le chipset utilisé dans certaines plateformes de bureau pour socket AM4 et TR4. "
Il ajoute que toutes les vulnérabilités nécessitent des privilèges administrateur pour une exploitation. Pour autant, un accès physique n'est pas nécessaire. Des patchs firmware sont prévus pour dans les prochaines semaines via une mise à jour BIOS. AMD estime qu'il n'y aura pas d'impact sur les performances.
Dans un billet de blog, AMD résume lesdits problèmes de sécurité avec leur impact potentiel. Masterkey, Ryzenfall et Fallout sont des ensembles de vulnérabilités en rapport avec AMD Secure Processor ou firmware PSP. PSP fait référence à Platform Security Processor, un noyau ARM intégré dans les puces pour des protections supplémentaires. Chimera concerne des backdoors de fabricants sur le chipset AMD développé par ASMedia.
Après sa publication initiale via le site AMDFlaws, CTS Labs avait clarifié le fait que les vulnérabilités sont " surtout pertinentes pour les réseaux d'entreprise, organisations et fournisseurs cloud. "
