News AMD Epyc: Kritisches Sicherheitsleck in Server-CPUs geschlossen

[MichaG]

Sicherheitsforscher von Google haben AMD auf eine Sicherheitslücke in seinen Server-Prozessoren aufmerksam gemacht. Durch eine unsachgemäße Signaturüberprüfung könne ein lokaler Angreifer schadhaften Firmware-Code laden. Dieser benötigt dafür allerdings Administratorrechte. Dennoch wird das Risiko als „hoch“ eingestuft.

Zur News: AMD Epyc: Kritisches Sicherheitsleck in Server-CPUs geschlossen

 

[Rickmer]

Klingt, als wäre zur Abwechslung mal alles mehr oder weniger optimal gelaufen.

AMD hat schnell reagiert und die Sicherheitsforscher lassen genügend Zeit, dass alle die sich dafür interessieren auch patchen können.

 

[Cool Master]

Wie kann das Risiko als "hoch" gelten? Man brauch "lokalen" Zugriff (ja kann evtl. auch per IMPI passieren?) und Adminrechte. Habe ich Adminrechte kann ich doch eh schon alles machen. Die Einstufung ist daher nicht ganz klar, aber wenn es gefixed ist ok. Muss ich mal schauen ob es für unseren Epyc schon ein Update seitens des MB Herstellers gibt.

 

[stefan92x]

Habe ich Adminrechte kann ich doch eh schon alles machen

Nicht wenn SEV genutzt wird, um VMs vom Hypervisor zu isolieren. Diese Isolierung kann der Admin durch diesen Angriffsvektor aufbrechen. Wer SEV nicht nutzt, braucht das Risiko hier sicher auch nicht als hoch zu betrachten, aber wer darauf vertraut, der schon.

 

[Cool Master]

@stefan92x

Ja das ist klar, aber wie gesagt wenn ich admin des Hosts bin ist es sehr wahrscheinlich, dass ich auch admin des bzw. der Gastsysteme bin. Ist zumindest bei mir so aber gut, wir sind auch recht klein mit 10 Leuten ggf. ist das in anderen Unternehmen anders.

 

[midwed]

@MichaG

Letzter Absatz - da fehlt am Ende irgendwas (Zitat ausgenommen)

Die Google-Forscher haben aber noch nicht alle Details verraten und wollen dies erst am 5. März tun, um weitere Zeit zur Festigung der Systeme [?]

 

[stefan92x]

@stefan92x

Ja das ist klar, aber wie gesagt wenn ich admin des Hosts bin ist es sehr wahrscheinlich, dass ich auch admin des bzw. der Gastsysteme bin.

Nicht, wenn du Cloudanbieter bist

 

[MaverickM]

So muss das laufen. Vorbildlich, AMD.

 

[Cool Master]

@stefan92x

Ja gut das bin ich nicht Habe im übrigen eben geschaut, gibt bei ASRock Rack noch kein Update.

 

[Pry_T800]

Finde ich echt löblich das Verhalten, sehr gut. Es muss auch mal was positives geben.

Cu der Pry

 

[foofoobar]

Wie kann das Risiko als "hoch" gelten? Man brauch "lokalen" Zugriff (ja kann evtl. auch per IMPI passieren?) und Adminrechte. Habe ich Adminrechte kann ich doch eh schon alles machen. Die Einstufung ist daher nicht ganz klar, aber wenn es gefixed ist ok. Muss ich mal schauen ob es für unseren Epyc schon ein Update seitens des MB Herstellers gibt.

"Lokaler Zugriff" ist bei diesen CVEs einfach nur undefinierter Dreck, also blabla.

 

[Tanzmusikus]

Habe ich Adminrechte kann ich doch eh schon alles machen.

In der Domäne nicht unbedingt. Das gibt's noch mehr "Ränge".

 

[Marflowah]

Es wird bis März nicht alles verraten - in Ordnung, aber ist eine Teilinformation nicht auch schon ein Risiko, da potenzielle Hacker zumindest wissen, in welchen Regionen sie sich bewegen müssen um die Schwachstelle letztlich selbst zu finden?

 

[MaverickM]

@Marflowah
Der Fix ist seit Mitte Dezember verfügbar und System-Administratoren hatten Eineinhalb Monate Zeit diese einzuspielen... Wie lange soll denn noch gewartet werden?

 

[Creidiki]

Nur der Zeitpunkt der Implementierung und Validierung durch den Serverhersteller ist interessant. Wann der war, finde ich in der News nicht.

 

[SmovomaN]

Schön mal Nachrichten zu lesen das es noch professionelles Vorgehen gibt bei Problemen!

 

[pitu]

Bin gespannt was nach Epyc kommt.

 

[Novasun]

Klingt, als wäre zur Abwechslung mal alles mehr oder weniger optimal gelaufen.

AMD hat schnell reagiert und die Sicherheitsforscher lassen genügend Zeit, dass alle die sich dafür interessieren auch patchen können.

Weil hier viele schrieben, ist gut gelaufen.
Das ist eigentlich der normale Weg. Und der klappt bei den aller meisten Sachen ohne Probleme und still und ohne Aufregungen.
Leider stellen sich manchmal Hersteller hin und meinen sie können alleine auf Zeit spielen.. Das lassen sich dann hin und wieder Sicherheitsforscher aber nicht gefallen (zu recht). Das sind dann die Fälle die in der Presse groß rum gehen.
Es spielt bei dem ganzen auch eine Rolle ob z.B. im Feld beobachtet wurde das die Lücke genutzt wird. Obs Workarounds gibt etc...
Aber in der Regel sind Sicherheitsforscher keine "Feinde" der Industrie. Sondern sie selbst haben ein Interesse an Zusammenarbeit - aber im Sinne der IT/Internet/Gemeinschaft.

 

[very ape]

@Marflowah
Der Fix ist seit Mitte Dezember verfügbar und System-Administratoren hatten Eineinhalb Monate Zeit diese einzuspielen... Wie lange soll denn noch gewartet werden?

Was nicht stimmt. Fix is bekannt/implementiert und Fix ist "verfügbar", d.h. ich kann ihn downloaden und einspielen, sind zwei Paar Schuhe. Wir haben betroffene PowerEdge Server von Dell und von Dell ist der Fix erst seit vorgestern (3 Feb) verfügbar.

 

[Marflowah]

@Marflowah
Der Fix ist seit Mitte Dezember verfügbar und System-Administratoren hatten Eineinhalb Monate Zeit diese einzuspielen... Wie lange soll denn noch gewartet werden?

Ähm... ganz einfach: vielleicht so wie im Text zitiert....?

Die Google-Forscher haben aber noch nicht alle Details verraten und wollen dies erst am 5. März tun, um weitere Zeit zur Festigung der Systeme zu gewähren.