谷歌的安全研究團隊上個月披露了AMD的CPU微碼簽名驗證系統(tǒng)中的一個嚴重漏洞，影響多款AMD處理器。隨后發(fā)布的“EntrySign” 漏洞完整信息顯示，其允許執(zhí)行未經授權的微碼，追蹤編號涉及“CVE-2024-56161”和“CVE-2024-36347”。早在去年9月，追蹤編號“CVE-2024-56161”的關鍵微碼漏洞就被發(fā)現，12月開始進行修復，到今年初AMD才和谷歌公布相關信息，涉及Zen到Zen 4架構產品。

打開網易新聞 查看精彩圖片

據Cyberkendra報道，最近AMD悄悄地更新了“EntrySign” 漏洞的安全公告，確認Zen 5系列架構處理器也會受到嚴重影響，將增加嵌入式處理器的緩解措施，并更早了其文檔中的追蹤編號。

“EntrySign” 漏洞可能讓擁有內核權限的攻擊者執(zhí)行未經授權的微碼，源于AMD在其簽名驗證過程中將AES-CMAC作為哈希函數實現，而AMD在多代CPU中都使用了NIST文檔中的示例密鑰，從而使得情況變得嚴重。這種安全疏忽使研究人員能夠偽造簽名，并創(chuàng)建未經授權的微碼補丁。

盡管“EntrySign” 漏洞需要內核級訪問權限，而且不會在重啟后持續(xù)存在，但是會對AMDSEV-SNP等機密計算技術以及潛在的供應鏈漏洞構成了重大威脅。AMD已通過微碼更新（AMD-SB-3019和AMD-SB-7033）修復，同時實施了更安全的哈希函數，以防止繞過驗證例程。