bencede
New member
AMD, şirketin işlemcilerindeki ve donanım yazılımlarındaki güvenlik açıklarını ele aldığı çeşitli güvenlik tavsiyeleri yayınladı. Bazı güvenlik açıkları, saldırganların yükseltilmiş ayrıcalıklara sahip sistemlere kötü amaçlı kod yerleştirmesine ve yürütmesine olanak tanıyor. Ürün yazılımı güncellemeleri boşlukları doldurmalıdır. Ancak anakart ve bilgisayar üreticilerinin bunları BIOS sürümlerine dahil etmesi ve son müşterilere dağıtması gerekiyor.
Duyuru
AMD'nin güvenlik uyarısı birçok genel amaçlı işlemciyi etkiliyor. Dört güvenlik açığı, SPI bağlantılı flash belleğe farklı şekillerde erişmenize ve onu kendi içeriğinizle doldurmanıza olanak tanır: BIOS genellikle SPI flash'ta bulunur ve bu şekilde manipüle edilebilir. Bu, saldırganların kendi kodlarını enjekte etmelerine ve yürütmelerine olanak tanır. Bunu yaparak en yüksek hakları elde ederler. İlgili CVE girişleri CVE-2023-20576, CVE-2023-20577, CVE-2023-20579 ve CVE-2023-20587'dir. AMD, riski herkes için “yüksek” olarak sınıflandırıyor.
Etkilenen çeşitli AMD işlemciler
AMD, çeşitli işlemcileri etkilenenler olarak listeliyor. Örneğin, veri merkezlerine yönelik birinci ila dördüncü nesil EPYC CPU'lar, Ryzen 3000 ila 7000 serisi masaüstü CPU'lar, Threadripper 3000 ve 5000 serisi işlemcilerin yanı sıra Athlon 3000 serisi ve 7000 m'ye kadar Mobile Ryzen 3000 serisi mobil işlemciler. AMD, savunmasız CPU'lar arasında EPYC ve Ryzen markalarının gömülü işlemcilerini de içeriyor. Bahsedilen tüm işlemciler aynı anda dört güvenlik açığına karşı savunmasız değildir. Güvenlik bildirimi, üreticilerin BIOS'larına entegre edebileceği farklı CPU'lar için sürüm numaralarıyla birlikte ürün yazılımı bloblarını listeler.
AMD, entegre işlemcilerinde çok sayıda güvenlik açığı bulunduğunu bildiriyor. Bazıları uzun bir süre öncesine, yani 2020 yılına kadar uzanıyor ve artık AMD Güvenli İşlemci (ASP) olarak adlandırılan AMD Platform Güvenlik İşlemcisi (PSP) ile ilgili. Sürücülerdeki veya çekirdekteki güvenlik açıkları saldırganların haklarını artırmasına olanak tanıyabilir. Bu ikisine ek olarak, saldırganların ayrıcalıkları yükseltmesine veya rastgele program kodu yürütmesine olanak tanıyan, yüksek riskli olarak sınıflandırılan beş güvenlik açığı daha var. Tekrar belirtmek isteriz ki tüm yerleşik işlemciler listelenen güvenlik açıklarının tamamından etkilenmez. AMD ayrıca güvenlik açıklarını kapatmak için ürün yazılımı blokları da sağlar.
Ayrıca AMD, eFUSE kayıt kümesini kullanarak şifreleme olmadan veya zorunlu şifreleme olmadan RSA kimlik doğrulaması kullanan Ultrascale ve Ultrascale+ FPGA'lerin, kimlik doğrulama hata mesajı oluşturmadan saldırganlar tarafından rastgele veri akışlarıyla yüklenebileceğini bildirmektedir (CVE-2023 -20570, “orta” risk) . Bir tasarım önerisinin amacı riski azaltmaktır.
Güvenli Şifrelenmiş Sanallaştırma ve Güvenli Yuvalanmış Çağrı (SEV-SNP) donanım yazılımındaki boşluklar biraz daha egzotiktir. Güvenlik açığı, yüksek ayrıcalıklı saldırganların diğer konuk sistemlerden (CVE-2023-31346, Orta) verilere erişmesine (eski) veya güvenli bir TSC gerçekten etkinleştirildiğinde konuk sistemi için yanlış bir Zaman Damgası (TSC) sayacı görüntülemesine olanak tanır; bu, konuk sisteminin bütünlüğünü ihlal ederek yapılır (CVE-2023-31347, Düşük).
AMD sistemlerine sahip kullanıcılar, sistem üreticilerinin BIOS güncellemeleri sağlayıp sağlamadığını kontrol etmeli ve varsa bunları yüklemelidir. Geçen yılın ağustos ayında Intel ve AMD, işlemcilerinde çeşitli güvenlik açıkları keşfettiler. Mikro kod ve ürün yazılımı güncellemeleri bu sorunun çözülmesine yardımcı olacaktır. O zamanlar bile anakart ve PC üreticileri kendi BIOS güncellemelerini oluşturmak ve bunları son kullanıcıları koruyacak şekilde dağıtmak zorundaydı.
(Bilmiyorum)
Haberin Sonu
Duyuru
AMD'nin güvenlik uyarısı birçok genel amaçlı işlemciyi etkiliyor. Dört güvenlik açığı, SPI bağlantılı flash belleğe farklı şekillerde erişmenize ve onu kendi içeriğinizle doldurmanıza olanak tanır: BIOS genellikle SPI flash'ta bulunur ve bu şekilde manipüle edilebilir. Bu, saldırganların kendi kodlarını enjekte etmelerine ve yürütmelerine olanak tanır. Bunu yaparak en yüksek hakları elde ederler. İlgili CVE girişleri CVE-2023-20576, CVE-2023-20577, CVE-2023-20579 ve CVE-2023-20587'dir. AMD, riski herkes için “yüksek” olarak sınıflandırıyor.
Etkilenen çeşitli AMD işlemciler
AMD, çeşitli işlemcileri etkilenenler olarak listeliyor. Örneğin, veri merkezlerine yönelik birinci ila dördüncü nesil EPYC CPU'lar, Ryzen 3000 ila 7000 serisi masaüstü CPU'lar, Threadripper 3000 ve 5000 serisi işlemcilerin yanı sıra Athlon 3000 serisi ve 7000 m'ye kadar Mobile Ryzen 3000 serisi mobil işlemciler. AMD, savunmasız CPU'lar arasında EPYC ve Ryzen markalarının gömülü işlemcilerini de içeriyor. Bahsedilen tüm işlemciler aynı anda dört güvenlik açığına karşı savunmasız değildir. Güvenlik bildirimi, üreticilerin BIOS'larına entegre edebileceği farklı CPU'lar için sürüm numaralarıyla birlikte ürün yazılımı bloblarını listeler.
AMD, entegre işlemcilerinde çok sayıda güvenlik açığı bulunduğunu bildiriyor. Bazıları uzun bir süre öncesine, yani 2020 yılına kadar uzanıyor ve artık AMD Güvenli İşlemci (ASP) olarak adlandırılan AMD Platform Güvenlik İşlemcisi (PSP) ile ilgili. Sürücülerdeki veya çekirdekteki güvenlik açıkları saldırganların haklarını artırmasına olanak tanıyabilir. Bu ikisine ek olarak, saldırganların ayrıcalıkları yükseltmesine veya rastgele program kodu yürütmesine olanak tanıyan, yüksek riskli olarak sınıflandırılan beş güvenlik açığı daha var. Tekrar belirtmek isteriz ki tüm yerleşik işlemciler listelenen güvenlik açıklarının tamamından etkilenmez. AMD ayrıca güvenlik açıklarını kapatmak için ürün yazılımı blokları da sağlar.
Ayrıca AMD, eFUSE kayıt kümesini kullanarak şifreleme olmadan veya zorunlu şifreleme olmadan RSA kimlik doğrulaması kullanan Ultrascale ve Ultrascale+ FPGA'lerin, kimlik doğrulama hata mesajı oluşturmadan saldırganlar tarafından rastgele veri akışlarıyla yüklenebileceğini bildirmektedir (CVE-2023 -20570, “orta” risk) . Bir tasarım önerisinin amacı riski azaltmaktır.
Güvenli Şifrelenmiş Sanallaştırma ve Güvenli Yuvalanmış Çağrı (SEV-SNP) donanım yazılımındaki boşluklar biraz daha egzotiktir. Güvenlik açığı, yüksek ayrıcalıklı saldırganların diğer konuk sistemlerden (CVE-2023-31346, Orta) verilere erişmesine (eski) veya güvenli bir TSC gerçekten etkinleştirildiğinde konuk sistemi için yanlış bir Zaman Damgası (TSC) sayacı görüntülemesine olanak tanır; bu, konuk sisteminin bütünlüğünü ihlal ederek yapılır (CVE-2023-31347, Düşük).
AMD sistemlerine sahip kullanıcılar, sistem üreticilerinin BIOS güncellemeleri sağlayıp sağlamadığını kontrol etmeli ve varsa bunları yüklemelidir. Geçen yılın ağustos ayında Intel ve AMD, işlemcilerinde çeşitli güvenlik açıkları keşfettiler. Mikro kod ve ürün yazılımı güncellemeleri bu sorunun çözülmesine yardımcı olacaktır. O zamanlar bile anakart ve PC üreticileri kendi BIOS güncellemelerini oluşturmak ve bunları son kullanıcıları koruyacak şekilde dağıtmak zorundaydı.
(Bilmiyorum)
Haberin Sonu