AMD признала существование уязвимостей MasterKey, Ryzenfall, Fallout и Chimera
Новости
Компания AMD объявила, что уязвимости в процессорах Ryzen, EPYC, Ryzen Pro и Ryzen Mobile существуют и нуждаются в исправлении. Патчи выйдут в виде обновлений BIOS.
717 открытий724 показов
Компания AMD подтвердила наличие 13 уязвимостей в процессорах Ryzen, EPYC, Ryzen Pro и Ryzen Mobile. Проблемы таятся не в архитектуре AMD Zen, а только в прошивках модуля управления безопасностью Platform Security Processor. Компания обещает исправить ошибки при помощи обновлений BIOS, но дата выхода патчей пока неизвестна.
Пользователи в относительной безопасности
Найденные уязвимости нельзя ставить в один ряд с Meltdown и Spectre, так как для их эксплуатации необходимо сначала взломать систему и получить права администратора. Эксперты Trail of Bits объявили, что обычным пользователям нечего бояться — для регулярных атак злоумышленникам потребуется слишком много финансовых и технических ресурсов.
Слабые точки процессоров AMD
Уязвимости распределены по 4 классам. Группа MasterKey требует перепрошивки BIOS, но позволяет отключить TPM-модули и изменить прошивку для выполнения вредоносного кода. Ryzenfall и Fallout дают возможность внедрить вирус в окружения System Management Mode или Platform Security Processor для взлома закрытых разделов памяти. Chimera может выполнить код для получения доступа к физической памяти и контролирования подключенных к процессору устройств.
Примечательно, что результаты атаки сохраняются после перезагрузки только в случае с MasterKey. Исход эксплуатации других уязвимостей исчезает после перезапуска системы.
Уязвимости были обнаружены в середине марта компанией CTS Labs. Исследователи не дали компании AMD времени для начальных действий по исправлению проблемы, за что были раскритикованы многими ИБ-специалистами.
717 открытий724 показов
Лучшие инструменты для тестирования на проникновение. Показываем основные фреймворки. Рассматриваем преимущества и недостатки ✔ Tproger
Антибот-системы — это технологии, которые помогают защитить веб-сайты от автоматического вмешательства, например, от спама или DDoS-атак. Но автоматическое взаимодействие с сайтом не всегда несет вред: например, иногда боты нужны для тестирования безопасности, построения поискового индекса или сбора данных из открытых источников. Для того, чтобы выполнять такие задачи, необходимы инструменты, которые позволяют избегать блокировки антибот-системами.
Американские санкции добрались и до Kaspersky Lab. Компании запретят продавать свой софт в США уже в сентябре текущего года
Код свободный — используйте кто хотите? Лицензии опенсорсных зависимостей в проприетарной разработке
Узнайте, как правильно использовать опенсорсные зависимости в проприетарной разработке, избегая лицензионных рисков. Понимание различий между пермиссивными и копилефтными лицензиями поможет сохранить юридическую безопасность вашего проекта.