Los procesadores AMD "Zen 1" a "Zen 4" se ven afectados por una vulnerabilidad de verificación de firma de microcódigo

Equipo de Google Security Research ha acaba de publicar su última investigación sobre un defecto fundamental en el sistema de verificación de parche de microcódigos que afecta a los procesadores de AMD desde "Zen 1" a generaciones de "Zen 4". La vulnerabilidad se deriva de una implementación inadecuada de la función de hachillo en el proceso de validación de firmas de la CPU para actualizaciones de microcódigo, permitiendo a los atacantes con privilegios de administrador local (nando 0 desde fuera de una VM) inyectar parches de microcódigo maliciosos, potencialmente comprometedores cargas de trabajo de computadoras confidenciales protegidas por AMD SEV-SNP y sistemas Dynamic Root of Trust Measurement. Google reveló este problema de alta gravedad a AMD el 25 de septiembre de 2024, lo que llevó a que AMD liberara una fijación de embargo a los clientes el 17 de diciembre de 2024, con información pública a partir del 3 de febrero de 2025; sin embargo, debido a la complejidad de las dependencias de la cadena de suministro y los requisitos de remediación, se están reteniendo detalles técnicos completos hasta el 5 de marzo de 2025, permitiendo a las organizaciones tiempo para implementar las medidas de seguridad necesarias y restableciendo la confianza en sus entornos confidenciales de cómputo.

AMD ha lanzado medidas de mitigación completas a través de actualizaciones de firmware AGESA en toda su línea de procesador de servidores EPYC, desde la primera generación de Nápoles hasta las últimas arquitecturas de Génova-X y Bérgamo. El parche de seguridad, designado como CVE-2024-56161 con una alta calificación de gravedad de 7.2, introduce actualizaciones críticas de microcódigo: Los procesadores Nápoles B2 requieren uCode versión 0x08001278, los sistemas Roma B0 necesitan 0x0830107D, mientras que las variantes de Milán y Milán-X mandan las versiones de mandato 0x0A0011DB y 0x0A001244 respectivamente. Para los últimos sistemas basados en Génova, incluyendo las variantes de Génova-X y Bergamo/Siena, las versiones de microcódigo requeridos son 0x0A101154, 0x0A10124F y 0x0AA00219. Estas actualizaciones implementan protecciones sólidas en todas las funciones de seguridad de SEV - incluyendo SEV, SEV-ES y SEV-SNP - al tiempo que introducen nuevas restricciones en las capacidades de carga en caliente de microcódigo para prevenir futuros intentos de explotación.

Fuentes: Google en GitHub, AMD