AMD é avisada com 24 horas de antecedência sobre falhas no Ryzen e Epyc

Em quanto tempo uma empresa deveria corrigir falhas de segurança antes que elas sejam divulgadas publicamente? Por exemplo, Intel, AMD e ARM sabiam sobre o Meltdown e Spectre desde junho de 2017 — e ainda estão distribuindo patches.

Desta vez, a AMD teve um prazo ainda menor. A empresa de segurança CTS Labs divulgou 13 vulnerabilidades em processadores Ryzen e Epic nesta terça-feira (13), no site amdflaws.com — mas só avisou a fabricante com 24 horas de antecedência.

Dan Guido, da empresa de segurança Trail of Bits, testou as 13 vulnerabilidades — e elas de fato podem ser exploradas. No entanto, ele diz ao Motherboard que isso será um problema para serviços de nuvem e grandes empresas; usuários comuns provavelmente não deveriam se preocupar.

Essas falhas não são fáceis de explorar, porque exigem que o hacker tenha privilégios administrativos. Isso é possível, por exemplo, através de um ataque de phishing para fazer a vítima rodar um programa mal-intencionado.

Dessa forma, o invasor poderia acessar outros computadores na mesma rede, ou instalar malware diretamente no processador — que pode espionar alvos sem ser descoberto, porque não pode ser detectado por antivírus.

Existem quatro classes de vulnerabilidades:

• Master Key: é possível driblar o processo de boot seguro e instalar malware na BIOS/UEFI, afetando os processadores Epyc Server, Ryzen, Ryzen Pro e Ryzen Mobile;
• Ryzenfall: é possível rodar código não-autorizado no chip de segurança do Ryzen, Ryzen Pro e Ryzen Mobile, obtendo acesso a dados protegidos como senhas e chaves de criptografia;
• Fallout: permite acessar regiões protegidas da memória em processadores Epyc, revelando dados protegidos;
• Chimera: permite rodar malware diretamente em um processador Ryzen e Ryzen Pro, e o invasor poderia usar o tráfego de Wi-Fi, rede e Bluetooth que passa pelo chip para infectar seu dispositivo.

A CTS Labs também alega que uma parceira da AMD colocou backdoors em seus processadores. Ela acusa a fabricante taiwanesa ASMedia, subsidiária da ASUSTeK, que recentemente foi multada nos EUA por ignorar vulnerabilidades de hardware em roteadores.

E agora? Infelizmente, algumas dessas falhas serão difíceis de corrigir, e não há como saber em quanto tempo a AMD vai resolver esse problema — afinal, ela mal teve tempo de analisá-lo.

A AMD diz à CNET: “estamos investigando este relato, que acabamos de receber, para entender a metodologia e o mérito das descobertas”. A Microsoft, por sua vez, afirma: “fomos alertados recentemente e estamos analisando a informação”.

Com informações: Motherboard, CNET.