AMD é avisada com 24 horas de antecedência sobre falhas no Ryzen e Epyc

Em quanto tempo uma empresa deveria corrigir falhas de segurança antes que elas sejam divulgadas publicamente? Por exemplo, Intel, AMD e ARM sabiam sobre o Meltdown e Spectre desde junho de 2017 – e ainda estão distribuindo patches.

Desta vez, a AMD teve um prazo ainda menor. A empresa de segurança CTS Labs divulgou 13 vulnerabilidades em processadores Ryzen e Epic nesta terça-feira (13), no site amdflaws.com – mas só avisou a fabricante com 24 horas de antecedência.

Dan Guido, da empresa de segurança Trail of Bits, testou as 13 vulnerabilidades – e elas de fato podem ser exploradas. No entanto, ele diz ao Motherboard que isso será um problema para serviços de nuvem e grandes empresas; usuários comuns provavelmente não deveriam se preocupar.

Essas falhas não são fáceis de explorar, porque exigem que o hacker tenha privilégios administrativos. Isso é possível, por exemplo, através de um ataque de phishing para fazer a vítima rodar um programa mal-intencionado.

Dessa forma, o invasor poderia acessar outros computadores na mesma rede, ou instalar malware diretamente no processador – que pode espionar alvos sem ser descoberto, porque não pode ser detectado por antivírus.

Existem quatro classes de vulnerabilidades:

1. Master Key: é possível driblar o processo de boot seguro e instalar malware na BIOS/UEFI, afetando os processadores Epyc Server, Ryzen, Ryzen Pro e Ryzen Mobile;
2. Ryzenfall: é possível rodar código não-autorizado no chip de segurança do Ryzen, Ryzen Pro e Ryzen Mobile, obtendo acesso a dados protegidos como senhas e chaves de criptografia;
3. Fallout: permite acessar regiões protegidas da memória em processadores Epyc, revelando dados protegidos;
4. Chimera: permite rodar malware diretamente em um processador Ryzen e Ryzen Pro, e o invasor poderia usar o tráfego de Wi-Fi, rede e Bluetooth que passa pelo chip para infectar seu dispositivo.

A CTS Labs também alega que uma parceira da AMD colocou backdoors em seus processadores. Ela acusa a fabricante taiwanesa ASMedia, subsidiária da ASUSTeK, que recentemente foi multada nos EUA por ignorar vulnerabilidades de hardware em roteadores.

E agora? Infelizmente, algumas dessas falhas serão difíceis de corrigir, e não há como saber em quanto tempo a AMD vai resolver esse problema – afinal, ela mal teve tempo de analisá-lo.

A AMD diz à CNET: “estamos investigando este relato, que acabamos de receber, para entender a metodologia e o mérito das descobertas”. A Microsoft, por sua vez, afirma: “fomos alertados recentemente e estamos analisando a informação”.