Mevcut ve son nesillerden bir dizi modern X86 işlemci, saldırganların hassas bilgilere dokunabileceği yeni güvenlik boşluklarına sahiptir. Bu dördü Microsoft'un biraz veya vasat sınıflandırılmış zayıflıkları olarak önlendiğinden, görünüşe göre sömürülmemişlerdir. AMD, Athlon, Ryzen ve EPYC serisinin etkilenen CPU modellerini aradı, ancak Intel işlemcilerin etkilenip etkilenmediği hala açık.
Geçen ay, AMD zaten kendi işlemcilerinin ve platformlarının kripto-copritin ve TPM'sinde güvenlik sızıntılarına karşı güncellemeler yayınladı, ancak bunlar yüksek riskli güvenlik açıkları. “Geçici zamanlayıcı saldırıları” (TSA) ise AMD'yi sadece vasat olarak sınıflandırır (CVE-2024-36350 ve CVE-2024-36357). Sözde yan kanal saldırıları, gerçek program için ayrılmayan verilerden veya L1D önbelleğinden, hassas bilgilerin drenajına yol açabilir.
Yamalar Yalnızca Tehlikeli Sızıntılar
AMD, diğer iki boşluğa (CVE 2024-36348 ve CVE-2024-36349), yetkisiz veri çıkışına da yol açabilseler bile daha düşük bir şiddet verir. Bununla birlikte, bu durumlarda, süreçlerin kontrol kaydına spekülatif olarak müdahale etmesi veya bilgi okumak için belirli bir komut yürütmesi gerekecektir, ancak bu gerçekten önlenmiştir. Bu iki durumda, AMD yamalar olmadan yapar, çünkü üreticiye göre hassas bir bilgi etkilenmez. Yukarıda belirtilen iki zayıf nokta için, AMD'nin uygun BIOS güncellemeleri için ortaklarına sunduğu yeni ürün yazılımı sürümleri vardır.
İşletim sistemi güncellemeleri de gerekliyse, AMD ilgili sağlayıcılara atıfta bulunur. Linux topluluğu zaten TSA'ya karşı bir çekirdek yaması tepki gösterdi ve yayınladı. Microsoft'un güvenlik boşlukları bulundu. Yazılım grubu, mikro mimarideki sızıntılar için x86 işlemcilerini incelemek için bir program geliştirmiştir. Bu dört yeni sızıntı keşfedildi. Bu araçla Microsoft, yamalarla boşluklara tepki vermek yerine CPU tasarımlarında önleyici güvenlik testleri sunmak istiyor.
Zen 3 ve 4 Nesli Tükenmekte olan AMD CPU'lar
İki güvenlik açıklığından etkilenen AMD işlemciler çoğunlukla Zen 3 ve 4 mimarileri ile ağırlıklı olarak modeller olarak sınıflandırılır. Ancak, bu mikro mimarilerin tüm CPU'ları dokunulmaz. AMD'ye göre, Raphael kod adı olan EPYC Gen.4 hariç olmak üzere, sadece üçüncü (Milan) ve dördüncü nesil (Cenova, Bergamo ve Siena) EPYC işlemcileri etkilenir. AMD, önceki iki EPYC nesli (Napoli ve Roma) bu zayıf noktalara sahip değil.
Durum masaüstü ve mobil işlemcilerle benzer. Ryzen 3000, Athlon 3000 ve Ryzen 4000 serisinin CPU'ları bu iki boşluktan etkilenmez, Ryzen 5000, 6000, 7000 ve 8000 için ürün yazılımı güncellemeleri vardır. AMD'den üst düzey masaüstü ve iş istasyonu CPU'ları ile sadece Ryzen ThreadRipper Pro 7000 WX serisi etkilenir (Kod Adı: Storm Peak). Ryzen ThreadRipper 3000, Pro 3000WX ve Pro 5000WX işlemciler bu zayıflıklardan AMD'ye konuşuyor.
Çok okuma
Daha Fazla Göster
Daha az belirti
Şimdiye kadar, Intel bu güvenlik boşlukları hakkında yorum yapmadı, böylece Core ve Xeon işlemcilerinin de etkilenip etkilenemeyeceği belirsiz. Intel ürünleri hakkındaki en son güvenlik bilgileri listesi, bu TSA zayıf noktaları hakkında hiçbir bilgi içermez.
(FDS)
Ne yazık ki, bu bağlantı artık geçerli değil.
Boşa harcanan eşyalara bağlantılar 7 günden daha büyükse veya çok sık çağrıldıklarında geçersiz hale gelir.
Bu makaleyi okumak için bir Haberler+ paketine ihtiyacınız var. Bir haftayı şimdi yükümlülük altına almadan test edin – yükümlülük olmadan!
Geçen ay, AMD zaten kendi işlemcilerinin ve platformlarının kripto-copritin ve TPM'sinde güvenlik sızıntılarına karşı güncellemeler yayınladı, ancak bunlar yüksek riskli güvenlik açıkları. “Geçici zamanlayıcı saldırıları” (TSA) ise AMD'yi sadece vasat olarak sınıflandırır (CVE-2024-36350 ve CVE-2024-36357). Sözde yan kanal saldırıları, gerçek program için ayrılmayan verilerden veya L1D önbelleğinden, hassas bilgilerin drenajına yol açabilir.
Yamalar Yalnızca Tehlikeli Sızıntılar
AMD, diğer iki boşluğa (CVE 2024-36348 ve CVE-2024-36349), yetkisiz veri çıkışına da yol açabilseler bile daha düşük bir şiddet verir. Bununla birlikte, bu durumlarda, süreçlerin kontrol kaydına spekülatif olarak müdahale etmesi veya bilgi okumak için belirli bir komut yürütmesi gerekecektir, ancak bu gerçekten önlenmiştir. Bu iki durumda, AMD yamalar olmadan yapar, çünkü üreticiye göre hassas bir bilgi etkilenmez. Yukarıda belirtilen iki zayıf nokta için, AMD'nin uygun BIOS güncellemeleri için ortaklarına sunduğu yeni ürün yazılımı sürümleri vardır.
İşletim sistemi güncellemeleri de gerekliyse, AMD ilgili sağlayıcılara atıfta bulunur. Linux topluluğu zaten TSA'ya karşı bir çekirdek yaması tepki gösterdi ve yayınladı. Microsoft'un güvenlik boşlukları bulundu. Yazılım grubu, mikro mimarideki sızıntılar için x86 işlemcilerini incelemek için bir program geliştirmiştir. Bu dört yeni sızıntı keşfedildi. Bu araçla Microsoft, yamalarla boşluklara tepki vermek yerine CPU tasarımlarında önleyici güvenlik testleri sunmak istiyor.
Zen 3 ve 4 Nesli Tükenmekte olan AMD CPU'lar
İki güvenlik açıklığından etkilenen AMD işlemciler çoğunlukla Zen 3 ve 4 mimarileri ile ağırlıklı olarak modeller olarak sınıflandırılır. Ancak, bu mikro mimarilerin tüm CPU'ları dokunulmaz. AMD'ye göre, Raphael kod adı olan EPYC Gen.4 hariç olmak üzere, sadece üçüncü (Milan) ve dördüncü nesil (Cenova, Bergamo ve Siena) EPYC işlemcileri etkilenir. AMD, önceki iki EPYC nesli (Napoli ve Roma) bu zayıf noktalara sahip değil.
Durum masaüstü ve mobil işlemcilerle benzer. Ryzen 3000, Athlon 3000 ve Ryzen 4000 serisinin CPU'ları bu iki boşluktan etkilenmez, Ryzen 5000, 6000, 7000 ve 8000 için ürün yazılımı güncellemeleri vardır. AMD'den üst düzey masaüstü ve iş istasyonu CPU'ları ile sadece Ryzen ThreadRipper Pro 7000 WX serisi etkilenir (Kod Adı: Storm Peak). Ryzen ThreadRipper 3000, Pro 3000WX ve Pro 5000WX işlemciler bu zayıflıklardan AMD'ye konuşuyor.
Çok okuma
Daha Fazla Göster
Daha az belirti
Şimdiye kadar, Intel bu güvenlik boşlukları hakkında yorum yapmadı, böylece Core ve Xeon işlemcilerinin de etkilenip etkilenemeyeceği belirsiz. Intel ürünleri hakkındaki en son güvenlik bilgileri listesi, bu TSA zayıf noktaları hakkında hiçbir bilgi içermez.
(FDS)
Ne yazık ki, bu bağlantı artık geçerli değil.
Boşa harcanan eşyalara bağlantılar 7 günden daha büyükse veya çok sık çağrıldıklarında geçersiz hale gelir.
Bu makaleyi okumak için bir Haberler+ paketine ihtiyacınız var. Bir haftayı şimdi yükümlülük altına almadan test edin – yükümlülük olmadan!
