Bug nei processori AMD, comunicato di CTS-Labs

Una startup israeliana ha individuato 13 gravi vulnerabilità nei processori Ryzen e EPYC di AMD. La notizia ha fatto molto scalpore tra gli addetti ai lavori per due principali motivi, ovvero l’assenza di dettagli tecnici e soprattutto per lo scarso margine di tempo (solo 24 ore) intercorso tra la segnalazione inviata al chipmaker di Sunnyvale e la pubblicazione delle informazioni generali sulla scoperta. Il CTO di CTS-Labs ha spiegato in un lettera i motivi di questa decisione.

Le 13 vulnerabilità, raggruppate in quattro classi (Ryzenfall, Masterkey, Fallout e Chimera), potrebbero essere sfruttate per ottenere il controllo del Secure Processor e dei chipset, installare malware, rubare le credenziali di rete, eludere le soluzioni di sicurezza e addirittura causare danni all’hardware. Circa un anno fa, i ricercatori di CTS-Labs hanno trovato diverse backdoor nei chipset AMD realizzati da ASMedia, una sussidiaria di ASUS. L’azienda ha quindi deciso di rivolgere l’attenzione verso i processori Ryzen. Dopo aver effettuato la configurazione dell’ambiente di lavoro, i ricercatori hanno iniziato a scoprire le vulnerabilità.

Ilia Luk-Zilberman, CTO di CTS-Labs, ritiene che l’attuale struttura della “Responsible Disclosure” (Divulgazione Responsabile) non sia efficace, dato che la scoperta di una vulnerabilità dovrebbe essere resa pubblica solo dopo 30/45/90 giorni, in modo da consentire al produttore di rilasciare un fix. Secondo Luk-Zilberman, poche volte i produttori avvisano i loro clienti in anticipo, ovvero prima della distribuzione della patch. La soluzione migliore sarebbe quella di comunicare subito l’esistenza di un problema di sicurezza, senza tuttavia pubblicare i dettagli tecnici. Ciò per mettere “pressione” al produttore.

Proprio la mancanza dei dettagli tecnici ha fatto storcere il naso ad altri esperti di sicurezza, i quali hanno dubitato sull’effettiva esistenza delle vulnerabilità. Per questo motivo, CTS-Labs ha condiviso la scoperta con il CEO di Trail of Bits Dan Guido, che ha confermato la presenza delle vulnerabilità nei processori AMD. In futuro verranno coinvolte altre aziende di terze parti.