L’agenzia di sicurezza CTS-Labs ha scoperto ben 13 vulnerabilità in stile Spectre che mettono a rischio chip e co-processori Ryzen ed Epyc
Dopo esser passata quasi indenne dallo scandalo Spectre e Meltdown, i giorni duri non sono ancora finiti per AMD. La compagnia di sicurezza CTS-Labs, con sede in Israele, ha infatti scoperto ben 13 falle che metterebbero in pericolo le informazioni a bordo delle CPU della serie Ryzen ed Epyc, e non solo queste. Il problema risiede nella particolare costruzione dell’architettura Zen del gruppo, che al momento interessa quattro categorie di prodotto: Ryzen ed Epyc appunto ma anche Ryzen Pro e Ryzen Mobile. L’agenzia ha persino realizzato un sito web, www.amdflaws.com, dove viene spiegato per bene cosa succede a causa delle vulnerabilità riscontrate. Come nel caso di Spectre e Meltdown, le 13 problematiche ricadono in quattro differenti tipologie, indicate con i nomi di Masterkey, Ryzenfall, Fallout e Chimera, ognuna delle quali interessa un particolare contesto di specifica debolezza informatica.
Cosa succede
Tra le varie critiche mosse ad AMD, CTS-Labs puntualizza la scarsa attenzione posta alla sicurezza a livello boot dove, sfruttando la falla Masterkey, un aggressore può prendere il controllo di ciò che viene attivato all’avvio del computer per eseguire script e programmi malevoli, così come disabilitare strumenti di monitoraggio e scan del sistema. Le altre decine di bug si concentrano sulla possibilità di infettare le macchine con malware e virus evitando l’analisi dei software di controllo e persino di valicare le difese di AMD Secure OS, sistema operativo che governa il Secure Processor integrato nei Ryzen che, in teoria, dovrebbe restituire una protezione estesa.
Per ora AMD ha rilasciato questa dichiarazione: “Abbiamo appena ricevuto un report da un’azienda chiamata CTS Labs che afferma che ci sono potenziali vulnerabilità di sicurezza legate ad alcuni dei nostri processori. Stiamo studiando e analizzando attivamente i risultati. Questa compagnia ci era francamente sconosciuta e troviamo insolito che un soggetto attivo in tale campo pubblichi la sua ricerca senza fornire un ragionevole tempo di intervento ai diretti interessati. Per AMD la security è una priorità assoluta e lavoriamo continuamente per garantirla sempre, in caso di potenziali nuovi rischi”.
