Уязвимость TSA обнаружена в CPU AMD Ryzen и EPYC

Введение

Специалисты AMD выявили новый класс кибератак — Transient Scheduler Attack (TSA), эксплуатирующий особенности микроархитектуры процессоров EPYC и Ryzen. Подобно атакам Meltdown и Spectre, TSA использует аппаратные уязвимости для обхода системных защитных механизмов. Проблема была обнаружена инженерами AMD после изучения отчета Microsoft.

Подробнее об уязвимости TSA

Уязвимость TSA включает четыре компонента, два из которых классифицированы как уязвимости среднего уровня, а два других — низкого. Несмотря на такую оценку, эксперты компаний Trend Micro и CrowdStrike считают угрозу критической из-за ее аппаратной природы. Атаки затрагивают базовые механизмы выполнения команд процессоров, позволяя злоумышленникам в определенных условиях получить доступ к конфиденциальным данным, включая информацию ядра операционной системы и изолированных виртуальных машин. Атака TSA применима к широкому спектру процессоров AMD, включая мобильные, настольные и серверные решения. Особенно уязвимы чипы EPYC третьего и четвертого поколений (Milan и Genoa), используемые в передовых облачных средах и современных центрах обработки данных. Для успешной атаке с помощью уязвимости TSA необходим локальный доступ к системе — через вредоносное программное обеспечение, скомпрометированную пользовательскую сессию или виртуальную машину. При этом достаточно минимальных пользовательских прав. Эксплуатация через вредоносные веб-сайты, в отличие от уязвимости Spectre, невозможна.

Чтобы извлечь конфиденциальные данные, TSA требует многократного повторения атаки из-за ее специфического механизма. TSA использует особенность ложного завершения инструкций загрузки, когда процессор ошибочно считает данные доступными, хотя фактически они еще не загружены. Это создает тайминговый побочный канал: зависимые инструкции выполняются с различной задержкой, что позволяет определить, какие данные обрабатываются в данный момент.

Существуют две основные вариации атаки: TSA-L1 и TSA-SQ. Первая, TSA-L1, эксплуатирует ложные попадания в кэш L1, вызванные ошибками в работе микротегов. Процессор ошибочно загружает неверное значение, на основе которого можно восстановить содержимое памяти. Вторая, TSA-SQ, связана с преждевременным обращением инструкций загрузки к очереди хранения, что позволяет извлекать данные, записанные ранее в другом потоке или контексте, обходя изоляцию между виртуальными машинами или процессами.

В наихудшем сценарии TSA предоставляет доступ к данным ядра ОС. Это открывает возможности для повышения привилегий, отключения защитных механизмов, внедрения бэкдоров и обеспечения долговременного присутствия злоумышленника в системе. Даже компоненты уязвимости с низкой формальной оценкой, позволяющие определить состояние внутренних буферов или очередей, могут повысить точность для совершения более сложных атак. Ввиду этого, специалисты по кибербезопасности настаивают на серьезном отношении к проблеме.

AMD опубликовала подробный технический отчет с описанием TSA и перечнем затронутых процессоров, включая серверные EPYC, пользовательские Ryzen, ускорители Instinct и периферийные чипы Athlon. Компания рекомендует системным администраторам немедленно установить последние обновления Windows, содержащие патчи микрокода и ядра. Альтернативным решением является использование инструкции VERW для принудительной очистки критически важных буферов процессора, однако это может привести к снижению производительности систем.

Выводы

Согласно заявлению Microsoft по состоянию на 10 июля, в открытом доступе отсутствуют рабочие эксплойты для TSA. Успешное проведение атаки требует значительных технических ресурсов и глубокого понимания архитектуры процессоров AMD, что делает ее доступной только для высококвалифицированных хакеров, таких как государственные APT-группы из Китая или Северной Кореи. Тем не менее, само наличие таких уязвимостей требует оперативного применения обновлений программного и аппаратного обеспечения, о чем AMD вовремя уведомила пользователей своих продуктов.