AMD Sinkclose säkerhetshål

Kan garantera att du inte är drabbad. Så länge du kör antivirus och inte håller på att installera hackade drivrutiner o.s.v. utan bara installerar sådant som kör i Kernel mode från betrodda källor är även risken minimal.

Visst, *om* man skulle få in någon skit den här vägen är det svårare att bli av med än ett vanligt virus, men för en vanlig användare är t.ex. ransonware (som inte kräver denna typ av sårbarhet) betydligt värre. Har någon hackare redan fått tillgång till Kernel-nivån på din dator är det liksom redan kört ändå.

Jag kör Linux utan antivirus men alla drivrutiner och kärnor kommer från officiella paketförråd. Sedan kör jag även Windows 11 i virtuell maskin men med CPU passthrough i libvirt så i princip har väl min VM åtkomst till min CPU. Fast jag gör nästan aldrig något i Windows, utan det är mest "utifallatt". Men tänker att man skulle kunna köra något script automatiskt som testar hårdvarans status och stänger ner maskinen om den upptäcker någon skit. Blir ju typ som antivirus.

Ja jävlar, separat CVE med otrolig timing.

Hade missat att tomshardware hade fått specifik info, läste bleepingcomputer och AMD's sida.

Får väl avvakta analys av de som vet mer om detta men om detta är något som kan kommas åt via vad som helst som kan eskalera till kernel level som folk verkar säga och AMD bara väljer att skippa tidigare ryzens (eller bulldozer för den delen, kör finnas några där ute) så är det ganska stor röd flagga for min del. Har inte tid att sätta mig in mer i det hela nu, men lär följa det så gott jag kan. Har vart sjukt nöjd med AMD I ett antal år nu men det är egentligen GPU-sidan jag gillar mest hos dem, om de verkligen bara casually lämnar öppna säkerhetshål på detta sätt blir det kanske Intel nästa vända för CPU.

Får kolla igenom defcon-talket sen och se vad de sagt.

På Desktop Ryzen 7000 serien står så här. "AMD Ryzen 7000 Series (Raphael) X3D"
Ska man tolka det då som att det bara är X3D cpuerna som är påverkade?
Beskrivningen på Ryzen 5000 nämns inget om X3D, så där tolkar jag det som alla i 5000-serien.

Orkar inte läsa igenom allt men är det någon kunnig som kan förklara om man behöver uppdatera bios eller är det väldigt liten risk att bli drabbad?

Förmodligen ja på båda för vanliga människor.

Om någon annan är nyfiken så finns material runt defcontalk för detta på: https://media.defcon.org/DEF%20CON%2032/DEF%20CON%2032%20pres... två demovideos och en PDF.

Content ligger i listan på länken:

DEF CON 32 - Enrique Nissim Krzysztof Okupski - AMD Sinkclose Universal Ring-2 Privilege Escalation Demo1.mp4
1.8 MiB 2024 Aug 03 17:05

DEF CON 32 - Enrique Nissim Krzysztof Okupski - AMD Sinkclose Universal Ring-2 Privilege Escalation Demo2.mp4
1.2 MiB 2024 Aug 03 17:05

DEF CON 32 - Enrique Nissim Krzysztof Okupski - AMD Sinkclose Universal Ring-2 Privilege Escalation Redacted.pdf
1.5 MiB 2024 Jul 15 20:25

Hinner inte själv kolla igenom det noga på ett par dagar minst, men vid det laget har även säkert djupanalyser gällande real-world-impact dykt upp på youtube, gissar att detta kan bli bra content

Det går inte att installera något på CPUn när den blir strömlös. Det som däremot går, är att lagra saker i en bit minnesutrymme avsett för väldigt känsliga saker (ex. bitlocker-nycklar eller secure boot). Och det minnet behåller informationen även om man stänger av strömmen.

Och ja, det går att lagra programkod där. Det kör redan idag program för att verifiera att firmwaren (UEFI) är korrekt signerad.

https://learn.microsoft.com/en-us/windows/security/operating-...

Får man in elak programkod där, är den 'svår' att bli av med.

du kan vara lugn, du äger inget datacenter så finns inget att oroa sig för.

Har inte hittat någon superbra förklaring på Sinkclose, så är lite svårt att säga speciellt mycket om den.

Men om vi förutsätter att Sinkclose är så pass svår att utnyttja som i alla fall AMD ger sken av så är ju det som sägs i den andra videon du länkar ovan ett långt större problem för alla som äger en Ryzen-baserad laptop:

Typ ingen OEM förutom Microsoft (deras Surface serie) hade ens försökt aktivera AMD PSB (Platform Secure Boot) vilket betyder att alla dessa system är triviala att installera ring-2 root-kits på så fort man får root/admin-access. D.v.s. det utan att ens gå via Sinkclose (den sårbarheten behövs för system där PSB faktiskt aktiverat och korrekt uppsatt).

Och här borde få bli förvånade över vad IOActive gissar är orsaken till ovan: fram till rätt nyligen fokuseras nästan all typ av sådana här forskning uteslutande på Intel-system. Det kombinerat med att detta rör delar av plattformen som bara de med NDA-avtal kan accessa göra att ingen upptäcker problemen innan rätt stora resurser läggs på att göra reverse-engineering.

Som "svenne-banan" lär man ändå inte vara speciellt utsatt i praktiken.

Två saker gör detta klart värre än sårbarheter som Spectre (som i praktiken alla moderna CPUer är drabbad av): Spectres stora svaghet för hackare är att det (än så länge) inte är möjligt att göra attacker som fungerar på mer än en enda eller möjliga några få snarlika CPU-modeller. Det sista gör trots allt att även script-kiddies kan i teorin utnyttja.

Dessa problem som tar sig in i ring-2 kan dels lägga sig i delar av systemet så de överlever OS-ominstallation. Det är egentligen ingen skillnad på hur olika system ska attackeras, så går göra attacker som fungerar på i praktiken alla sårbara system!

Var finns det minnesutrymmet? På moderkortets minne där bios lagras?

Egentligen borde det alltså räcka med att flasha bios för att bli av med eventuellt obehörigt intrång i minnet.

Ja, fast om BIOS/UEFI är infekterat så kan du inte lita på de vanliga funktionerna för att flasha BIOS. Du behöver i så fall använda en SPI-programmerare för att manuellt programmera om BIOS-kretsen.

Vet inte vad jag skall säga om bleepingcomputer, då dom svamlar om Ring-0, Ring-1, Ring-2.. Vilket direkt tar udden av hela artikeln, då dom flesta moderna OS (Windows inkluderat) endast kör med Ring-0 och Ring-3.

Det stämmer att x86/64 har hårdvarustöd för Ring-0, Ring-1, Ring-2 och Ring-3, men endast Ring-0 och Ring-3 används i dom flesta moderna OS, orsaken är att dom flesta OS stödjer flera processorarkitekturer varav vissa endast stödjer två skyddsnivåer, såsom PowerPC och MIPS.
Har för mig att ARM stödjer tre...

På x86/64 i windows så är Ring-3 lika med användar mode och Ring-0 är reserverat för kärnan.

Även om bleepingcomputer har någon substans, så är deras artikel ändå rätt full av nonsens...

Jag vet inte om jag misstolkar det du skriver, men artikeln pratar specifikt om -1 och -2 (inte 1 och 2). Dvs nivåerna under 0 som är relevanta för hypervisors respektive SMM. Inget som används i OSet.

Sen om det finns fel i artikeln, om Wired-artikeln är bättre, eller något annat är väl en fråga som kan vara relevant oavsett. Bleepingcomputer-artikeln har iaf fördelen att den är åtkomlig utan att betala, och jag har iaf inte sett något som tyder på att den är katastrofalt felaktig.

"BIOS Flashback" och liknande funktioner kan nog också fungera.

Men ja, om man börjar byta ut hårdvara så är ju det en väg också.

Inget som jag skulle vilja/våga ge mig på, terminalen i Linux är det minsta problemet, men jag och kretsar ska enbart hålla oss med ett OS emellan 🤣

Inte nödvändigtvis. Det körs ju inte på samma dator, så känns åtminstone inte självklart att man kunnat angripa även det systemet.

Däremot att köra ett flashverktyg i sitt OS, eller det som är integrerat i UEFI setup... där är det ju tydligt så att de kan saboteras.

Ja, funktionen sitter integrerad på moderkortet.

Men den "kör inte på samma dator" i bemärkelsen att du inte ens behöver ha en CPU monterad. Den bygger inte på mjukvara som kör på datorn du använder, utan är något annat som sitter på moderkortet.

Det är ju något separat krafs som kör det där (någon liten ARM-pryttel integrerad kanske? vet ej vad exakt de gjort, och om olika tillverkare har typ samma eller om de gått olika vägar), och osäkerheten om det kan påverkas beror väl mycket på om det t.ex. finns en väg att uppgradera "flashback"-funktionen från datorn på något sätt.

The vulnerability allows attackers with Kernel-level (Ring 0) privileges to gain Ring -2 privileges and install malware that becomes nearly undetectable.

Ring -2 is one of the highest privilege levels on a computer, running above Ring -1 (used for hypervisors and CPU virtualization) and Ring 0, which is the privilege level used by an operating system's Kern