CPU-Sicherheitslücke in AMD-Prozessoren ermöglicht Malware-Infektionen
Zusammenfassung
Die IOActive-Forscher Enrique Nissim und Krzysztof Okupski stellten auf der DEF CON 2024 die Lücke „Sinkclose“ vor, die AMD-Prozessoren der letzten rund zehn Jahre bis Ryzen 7000 betrifft. Angreifer mit Kernelzugriff können damit Code im privilegierten System Management Mode ausführen und sich vor Betriebssystem und Schutzsoftware verbergen. Eine solche Infektion übersteht sogar eine Neuinstallation und lässt sich nur per Firmware-Update verhindern.
Ideen
- Der System Management Mode steht über Betriebssystem und Hypervisor.
- Malware in diesem Modus ist für herkömmliche Schutzsoftware unsichtbar.
- Die Forscher informierten AMD bereits im Oktober 2023.
- AMD betonte, ein Angriff setze bereits Kernelzugriff voraus.
Einsichten
- Hohe Einstiegshürden verlieren an Gewicht, wenn Hardware schon in der Lieferkette manipuliert wird.
- Firmware ist ein eigenes Patchziel, das Betriebssystem-Updates nicht abdecken.
Fakten
- Betroffen sind laut den Forschern hunderte Millionen AMD-Chips.
- Ein Neuinstallieren des Betriebssystems entfernt eine SMM-Infektion nicht.
- Die Lücke trägt die Kennung CVE-2023-31315; für die Ryzen-3000-Serie waren keine Updates vorgesehen.
Referenzen
Kritik
- Die Meldung verweist auf AMDs Bulletin, nennt aber selbst keine Firmware-Versionen zum Abgleich.
Empfehlungen
- Spiele BIOS- und AGESA-Updates der Hersteller auch auf älteren AMD-Systemen ein.
- Behandle Kernel-Zugriff auf Servern als vollständige Kompromittierung, die eine Firmware-Prüfung einschließt.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.