Abo
  • IT-Karriere:

Umstrittene Sicherheitslücken: AMD kündigt Ryzenfall-Patches an

Der Prozessorhersteller AMD will Schwachstellen in Ryzen- und Epyc-CPUs beheben. Die Veröffentlichung der Bugs hatte in der Sicherheitsszene für Diskussionen gesorgt.

Artikel veröffentlicht am ,
AMD will mehrere Sicherheitslücken schließen.
AMD will mehrere Sicherheitslücken schließen. (Bild: AMD)

AMD will mehrere Schwachstellen in der Firmware und im Platform Security Processor (PSP) aktueller Ryzen- und Epyc-Prozessoren beheben. Zuvor hatte es Auseinandersetzungen um die Art und Weise der Offenlegung der Schwachstellen gegeben. Die bislang unbekannte Firma CTS-Labs aus Israel hatte diese ohne vorherige Information an AMD veröffentlicht, außerdem verkauft das Unternehmen Berichte über angebliche Schwachstellen nach eigener Aussage an Investoren und Analysten.

Stellenmarkt
  1. BAM Bundesanstalt für Materialforschung und -prüfung, Berlin-Steglitz
  2. Rasco GmbH, Kolbermoor Raum Rosenheim

Die drei verschiedenen Schwachstellen im PSP sollen durch ein Firmware-Update behoben werden, das in "den kommenden Wochen" erscheinen soll. Die Bugs mit den Namen Ryzenfall und Fallout ermöglichen einem Angreifer, unvertrauten Code in dem PSP auszuführen. Dazu sind allerdings bereits Administratorrechte erforderlich. Die Bugs könnten also nach einem erfolgreichen Angriff genutzt werden, um Persistenz zu erlangen, aber wohl nicht als initiales Einfallstor.

Asmedia-Bug könnte weitere Hersteller betreffen

Eine Schwachstelle mit dem Namen Chimera betrifft Chips des Herstellers Asmedia, die unter anderem für die Funktionen des PSP genutzt werden. Grundsätzlich sollten sich diese Probleme auch bei anderen Herstellern ausnutzen lassen, wenn sie den gleichen Cortex a5 verwenden.

Eine weitere Schwachstelle mit dem Namen Masterkey benötigt für einen erfolgreichen Exploit die Installation eines neuen BIOS/UEFI. Dieser Angriff sollte also in der Praxis recht komplex umzusetzen sein. Prozessoren und Hardware-Bugs sind ein Forschungsfeld, das in den vergangenen Jahren mehr Aufmerksamkeit gewonnen hat. Im vergangenen Jahr hatten Forscher zahlreiche Schwachstellen in Intels Management Engine gefunden, in diesem Jahr wurden Meltdown und Spectre bekannt. Schon länger beschäftigen sich Sicherheitsforscher mit Angriffen der Rowhammer-Klasse.

Die Veröffentlichung der AMD-Bugs hatte in der Szene für viel Aufregung gesorgt, vor allem weil die Schwachstellen ohne übliches Disclosure-Verfahren veröffentlicht wurden und auch keine CVE-Nummer beantragt wurde. Einige Sicherheitsforscher hatten die Schwachstellen zwar bestätigt, damit aber nicht für ein Ende der Diskussion gesorgt. Linux-Entwickler Linus Torvalds hatte gesagt, dass die Veröffentlichung "mehr nach Aktienmanipulation aussieht als nach Security-Advisory."



Anzeige
Hardware-Angebote
  1. 279,90€

My1 23. Mär 2018

naja jeder der nicht mehr zu sehen hatte als das was öffentlich war (AMD hatte ja erstmal...


Folgen Sie uns
       


iOS 13 ausprobiert

Apple hat iOS 13 offiziell vorgestellt. Die neue Version des mobilen Betriebssystems bringt unter anderem den Dark Mode sowie zahlreiche Verbesserungen einzelner Apps.

iOS 13 ausprobiert Video aufrufen
IT-Freelancer: Paradiesische Zustände
IT-Freelancer
Paradiesische Zustände

IT-Freiberufler arbeiten zeitlich nicht mehr als ihre fest angestellten Kollegen, verdienen aber doppelt so viel wie sie. Das unternehmerische Risiko ist in der heutigen Zeit für gute IT-Freelancer gering, die Gefahr der Scheinselbstständigkeit aber hoch.
Von Peter Ilg

  1. IT-Jobs Der Amtsschimmel wiehert jetzt agil
  2. MINT Werden Frauen überfördert?
  3. Recruiting Wenn das eigene Wachstum zur Herausforderung wird

Change-Management: Die Zeiten, sie, äh, ändern sich
Change-Management
Die Zeiten, sie, äh, ändern sich

Einen Change zu wollen, gehört heute zum guten Ton in der Unternehmensführung. Doch ein erzwungener Wandel in der Firmenkultur löst oft keine Probleme und schafft sogar neue.
Ein Erfahrungsbericht von Marvin Engel

  1. Recruiting Alle Einstellungsprozesse sind fehlerhaft
  2. LoL Was ein E-Sport-Trainer können muss
  3. IT-Arbeit Was fürs Auge

Elektromobilität: Warum der Ladestrom so teuer geworden ist
Elektromobilität
Warum der Ladestrom so teuer geworden ist

Das Aufladen von Elektroautos an einer öffentlichen Ladesäule kann bisweilen teuer sein. Golem.de hat mit dem Ladenetzbetreiber Allego über die Tücken bei der Ladeinfrastruktur und den schwierigen Kunden We Share gesprochen.
Ein Bericht von Friedhelm Greis

  1. Elektromobilität Hamburg lädt am besten, München besser als Berlin
  2. Volta Charging Werbung soll kostenloses Elektroauto-Laden ermöglichen
  3. Elektromobilität Allego stellt 350-kW-Lader in Hamburg auf

    •  /