Abo
  • IT-Karriere:

Umstrittene Sicherheitslücken: AMD kündigt Ryzenfall-Patches an

Der Prozessorhersteller AMD will Schwachstellen in Ryzen- und Epyc-CPUs beheben. Die Veröffentlichung der Bugs hatte in der Sicherheitsszene für Diskussionen gesorgt.

Artikel veröffentlicht am ,
AMD will mehrere Sicherheitslücken schließen.
AMD will mehrere Sicherheitslücken schließen. (Bild: AMD)

AMD will mehrere Schwachstellen in der Firmware und im Platform Security Processor (PSP) aktueller Ryzen- und Epyc-Prozessoren beheben. Zuvor hatte es Auseinandersetzungen um die Art und Weise der Offenlegung der Schwachstellen gegeben. Die bislang unbekannte Firma CTS-Labs aus Israel hatte diese ohne vorherige Information an AMD veröffentlicht, außerdem verkauft das Unternehmen Berichte über angebliche Schwachstellen nach eigener Aussage an Investoren und Analysten.

Stellenmarkt
  1. AKDB, Regensburg
  2. Universitätsklinikum Augsburg, Augsburg

Die drei verschiedenen Schwachstellen im PSP sollen durch ein Firmware-Update behoben werden, das in "den kommenden Wochen" erscheinen soll. Die Bugs mit den Namen Ryzenfall und Fallout ermöglichen einem Angreifer, unvertrauten Code in dem PSP auszuführen. Dazu sind allerdings bereits Administratorrechte erforderlich. Die Bugs könnten also nach einem erfolgreichen Angriff genutzt werden, um Persistenz zu erlangen, aber wohl nicht als initiales Einfallstor.

Asmedia-Bug könnte weitere Hersteller betreffen

Eine Schwachstelle mit dem Namen Chimera betrifft Chips des Herstellers Asmedia, die unter anderem für die Funktionen des PSP genutzt werden. Grundsätzlich sollten sich diese Probleme auch bei anderen Herstellern ausnutzen lassen, wenn sie den gleichen Cortex a5 verwenden.

Eine weitere Schwachstelle mit dem Namen Masterkey benötigt für einen erfolgreichen Exploit die Installation eines neuen BIOS/UEFI. Dieser Angriff sollte also in der Praxis recht komplex umzusetzen sein. Prozessoren und Hardware-Bugs sind ein Forschungsfeld, das in den vergangenen Jahren mehr Aufmerksamkeit gewonnen hat. Im vergangenen Jahr hatten Forscher zahlreiche Schwachstellen in Intels Management Engine gefunden, in diesem Jahr wurden Meltdown und Spectre bekannt. Schon länger beschäftigen sich Sicherheitsforscher mit Angriffen der Rowhammer-Klasse.

Die Veröffentlichung der AMD-Bugs hatte in der Szene für viel Aufregung gesorgt, vor allem weil die Schwachstellen ohne übliches Disclosure-Verfahren veröffentlicht wurden und auch keine CVE-Nummer beantragt wurde. Einige Sicherheitsforscher hatten die Schwachstellen zwar bestätigt, damit aber nicht für ein Ende der Diskussion gesorgt. Linux-Entwickler Linus Torvalds hatte gesagt, dass die Veröffentlichung "mehr nach Aktienmanipulation aussieht als nach Security-Advisory."



Anzeige
Spiele-Angebote
  1. 4,99€
  2. 2,40€
  3. (-57%) 6,50€

My1 23. Mär 2018

naja jeder der nicht mehr zu sehen hatte als das was öffentlich war (AMD hatte ja erstmal...


Folgen Sie uns
       


Motorola One Vision - Hands on

Das zweite Android-One-Smartphone von Motorola heißt One Vision. Es hat eine 48-Megapixel-Kamera von Samsung, die vor allem auf gute Aufnahmen bei schwachem Licht optimiert wurde. Das Smartphone mit dem 7:3-Display kommt Ende Mai 2019 für 300 Euro auf den Markt.

Motorola One Vision - Hands on Video aufrufen
Bug Bounty Hunter: Mit Hacker 101-Tutorials zum Millionär
Bug Bounty Hunter
Mit "Hacker 101"-Tutorials zum Millionär

Santiago Lopez hat sich als Junge selbst das Hacken beigebracht und spürt Sicherheitslücken in der Software von Unternehmen auf. Gerade hat er damit seine erste Million verdient. Im Interview mit Golem.de erzählt er von seinem Alltag.
Ein Interview von Maja Hoock

  1. White Hat Hacking In unter zwei Stunden in Universitätsnetzwerke gelangen

Homeoffice: Wenn der Arbeitsplatz so anonym ist wie das Internet selbst
Homeoffice
Wenn der Arbeitsplatz so anonym ist wie das Internet selbst

Homeoffice verspricht Freiheit und Flexibilität für die Mitarbeiter und Effizienzsteigerung fürs Unternehmen - und die IT-Branche ist dafür bestens geeignet. Doch der reine Online-Kontakt bringt auch Probleme mit sich.
Ein Erfahrungsbericht von Marvin Engel

  1. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt
  2. IT-Headhunter ReactJS- und PHP-Experten verzweifelt gesucht
  3. IT-Berufe Bin ich Freiberufler oder Gewerbetreibender?

LTE-V2X vs. WLAN 802.11p: Wer hat Recht im Streit ums Auto-WLAN?
LTE-V2X vs. WLAN 802.11p
Wer hat Recht im Streit ums Auto-WLAN?

Trotz langjähriger Verhandlungen haben die EU-Mitgliedstaaten die Pläne für ein vernetztes Fahren auf EU-Ebene vorläufig gestoppt. Golem.de hat nachgefragt, ob LTE-V2X bei direkter Kommunikation wirklich besser und billiger als WLAN sei.
Eine Analyse von Friedhelm Greis

  1. Vernetztes Fahren Lobbyschlacht um WLAN und 5G in Europa
  2. Gefahrenwarnungen EU setzt bei vernetztem Fahren weiter auf WLAN

    •  /