Исследователи из команды Google Security Team обнаружили уязвимость в процессорах AMD Zen 1-4, которая позволяет злоумышленникам с привилегиями локального администратора загружать вредоносные микрокоды. Эта уязвимость связана с использованием небезопасной хеш-функции при проверке подписи микрокодов.

Согласно [ сообщению Google ]( https://github.com/google/security-research/security/advisories/GHSA-4xq7-4mgh-gp6w ) , уязвимость позволяет злоумышленникам компрометировать конфиденциальные вычислительные нагрузки, защищенные технологией AMD Secure Encrypted Virtualization (SEV-SNP), а также нарушить динамическое измерение корневого доверия (Dynamic Root of Trust Measurement).

AMD выпустила [ обновление микрокода ]( https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3019.html ) , которое устраняет эту уязвимость. Обновление требует установки новой версии BIOS и перезагрузки системы. Пользователи могут проверить наличие исправления через отчет об аттестации SEV-SNP.

Уязвимость затрагивает процессоры серий AMD EPYC 7001, 7002, 7003 и 9004. Подробные версии микрокодов и инструкции по обновлению можно найти в [ бюллетене безопасности AMD ]( https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3019.html ) .

Уязвимость получила оценку 7.2 по шкале CVSS, что соответствует высокому уровню опасности. CVE идентификатор уязвимости: CVE-2024-56161.

https://www.linux.org.ru/news/security/17872512