La faille Zenbleed

• Une vulnérabilité a été découverte dans les processeurs de classe Zen 2. Cela inclut les processeurs AMD Ryzen et EPYC.
• Cette vulnérabilité permet la fuite d’informations sensibles, comme des clés de chiffrement et des mots de passe.
• La vulnérabilité est déclenchée par une séquence d’instructions spécifique, notamment l’utilisation de l’instruction vzeroupper.
• Elle permet de surveiller les tâches exécutées à l’échelle de tout le système en exploitant le fichier de registres partagé du processeur.
• Ce bug a été découvert grâce à des techniques de fuzzing et n’avait pas été détecté auparavant en raison du manque de retour de couverture sur le CPU.
• AMD a déployé une mise à jour de microcode pour corriger la vulnérabilité, et une méthode de contournement logicielle est également disponible.
• Il n’existe pas de technique fiable pour détecter l’exploitation de cette vulnérabilité.

[GN⁺]

Avis Hacker News

• Cette vulnérabilité montre qu’exécuter quelque chose dans une machine virtuelle ne garantit pas la sécurité
• Plusieurs vulnérabilités CPU ont été découvertes ces dernières années
• La chronologie de la vulnérabilité montre le processus d’identification du problème et de son signalement à AMD
• La vulnérabilité peut enregistrer des informations sensibles même après un temps d’exécution très court
• Une nouvelle mise à jour de microcode corrige le problème pour certains processeurs, mais elle ne s’applique pas à tous
• La vulnérabilité affecte un large éventail de processeurs AMD
• Le site web hébergeant la vulnérabilité connaît un trafic élevé
• Cet article est salué pour sa valeur informative et rétrospective
• Les CPU autres qu’EPYC ne recevront pas de mise à jour du firmware avant la fin de l’année
• Même après la mise à jour du microcode, la vulnérabilité peut encore fonctionner sur certains systèmes