News Zenbleed: Sicherheitslücke gefährdet Zen-2-Architektur von AMD

[MaverickM]

Ich kann mich noch genau daran erinnern wie hier bestimmt 70% der AMD Boys sich gefeiert haben, dass sie AMD gekauft haben, weil Intel ja so typisch inkompetent ist.

Das hier ein Patch Monate auf sich warten lassen wird, ist gerade bei dieser Schwere; absolut inakzeptabel.

Den Artikel hast Du gelesen? Ein Microcode Update ist schon fertig. Beschwer dich bei deinem Mainboard-Hersteller, wenn der das nicht ausliefert, da hat AMD nichts damit zu tun.

Und was die Häme angeht: Es scheint - anders als bei Intel - ja nur eine Generation zu betreffen bisher. Von der Praxisrelevanz mal ganz abgesehen.

 

[HiveTyrant]

War das nicht schon bei Meltdown/Spectre der Fall, das effektiv ALLE Prozessoren, sei es Intel, AMD oder ARM, davon verwundbar waren - nur das man bei Intel und ARM das einfach per Software zur Laufzeit machen konnte, aber bei AMD benötigte man ausreichend Zugriff, um dem Mainboard einen manipulierten Microcode unterzujubeln?

Das selbe Spielchen bei Spectre V2.

Es wäre interessant zu wissen, ob diese Sicherheitsforscher diesmal nur auf AMD herumprobiert haben, oder auf allen Systemen. Denn wir hatten zwischen Meltdown und Spectre V2 damals mehrfach Berichte der Marke 'NUR AMD IST HIERGEGEN VERWUNDBAR!' und dann kam heraus, das diejenigen, die die Schwachstelle gefunden haben, normalerweise als externe Dienstleister von Intel tätig sind.

 

[Don Sanchez]

Als Ursache für die Lücke gilt einem Bericht von BleepingComputer zufolge eine unsachgemäße Behandlung einer „vzeroupper“ genannten Anweisung während der spekulativen Ausführung. Mit letzterer versuchen heutige Prozessoren mögliche Folgeanweisungen zu prognostizieren und unter Einsatz nicht benötigter Ressourcen vorzeitig auszuführen – mit leistungssteigerndem Effekt.

Mal wieder Probleme mit Spekulatius im Prozessor, auf dem Weihnachtsteller hinterlassen die eindeutig einen besseren Eindruck.

 

[HierGibtsNichts]

Herrlich das hier wird den ganzen AMD fanboy

Muss man eigentlich aus Allem eine Intel vs AMD Geschichte machen? Niemand war bis zu diesem Kommentar großartig auf den Zug aufgesprungen oder hat so argumentiert bis auf den eigenen Kommentar.
Solche Kommentare und dann gleich ein neuer ACC, schwierig. Einfach mal sachlich bleiben, es geht hier um eine Sicherheitslücke und nicht um Intel vs AMD.

Ergänzung (26. Juli 2023)

Es fällt schon deutlich auf, dass findige Lückenexperten AMD immer nur 1-2 Monate Zeit einräumen bis sie Sicherheitslücke öffentlich machen.

Intel wurde häufig mindestens 6 Monate zugestanden oder Intel hat sich noch längeres Stillschweigen mit Druckausübung erzwungen, bis die Lücken letztlich veröffentlicht wurden.

Der besagte Sicherheitsforscher arbeitet offiziell für Google. Ich denke nicht, das hier eine Firma absichtlich bevorteilt/benachteiligt wird, denn das würde auf Google selbst zurückfallen.

Ergänzung (26. Juli 2023)

Wenn tatsächlich nur Zen2 CPUs betroffen sind, bin ich froh schon länger auf Zen3 umgestiegen zu sein. Bei den aktuellen Zen3 Preisen, kann ich das auch nur jeden Zen2 Besitzer raten, nach einem Bios Update die CPU einfach zu tauschen. Dann muß er nicht auf Patches warten und leicht schneller ist er dann auch unterwegs.

Problem ist nur das es bei Zen 3 und 4 aber auch Raptor Lake/Alderlake solche Sicherheitslücken in der Technik auch gibt, sie sind schlicht nur noch nicht bekannt.

Ergänzung (26. Juli 2023)

Jeder, der damals die Diskussionen hier im Forum verfolgt hat, weiß ganz genau, dass das für die AMD Fanboys wie ein blutendes Schwein im Piranha-Becken gewesen ist.

Und die alte unschöne Geschichte muss man aus welchem sachlichen Grund für diesen Sachverhalt erneuert aufgreifen, aufwärmen und ausbreiten? Wo ist dabei die Zielfűhrung zu diesem Thema?

 

[hans_meiser]

Leistungsverlust wegen Sicherheitslücken ist ein Problem für mich, wenn ich die Lösung nicht selektiv ein/ausschalten kann. Egal ob AMD oder Intel, das gros der Probleme sind für mich auf meinem Rechner irrelevant. Ich hab' hier nichts tolles/vermögendes rumliegen. Kein Hacker wird hier versuchen, mit nicht trivialen Mitteln irgendwelche Daten aus meinen CPU-Registern zu ziehen... und wenn, na dann viel Glück, ein paar Panda.JPGs werden sich schon finden.

Es gibt selbstverständlich viele Leute, wo das anders ist. Die wollen einen Schutz gegen diese Sicherheitslücken, und das kann ich gut nachvollziehen.

Aber es kotzt mich an, wenn es mich so 5-15% Leistung kostet, etwas zu mitigieren was mir aus gutem Grund (*@#$egal ist. Ich fand es damals mir Spectre (und noch was anderem) gut, daß man das via Kommandozeile ausschalten konnte, bzw. den Status abfragen konnte. Die 5-15% trafen mich damals mit Spectre et al auf 'nem 7700K.

Aber wenn das in's BIOS (AGESA) einzieht und da kein Schalter ist, jo halt dann Futsch mit ein paar Prozent Leistung. Ich hoffe doch sehr, daß man das im BIOS ein/ausschalten kann, oder das eine Windows Kiste 'ne Möglichkeit hat, das manuell auszuschalten.

 

[Miuwa]

Hat man jemals etwas über eine Schadsoftware/Angriffsvektor gehört die diese Lücke ausgenutzt haben?

Das würde mich auch mal interessieren.

Denn wenn man es eh schon auf das System geschafft hat warum dann einen enormen Aufwand betreiben um irgendwas im RAM/CPU abzugreifen wenn man die Daten gleich direkt abgreifen kann.

Es geht doch darum, dass du Daten abgreifen kannst, auf die du regular eben keinen Zugriff hattest. Nur weil ich ein Browserscript auf deinem PC ausführen kann, kann ich normalerweise nicht dein Email Passwort aus dem parallel geöffneten Outlook auslesen. Oder eben wie es im Artikel angesprochen, von einer VM aus Daten aus einer anderen lesen, die mir garnicht hehört.

 

[Zornica]

Unter Linux sei dies beispielsweise über die „msr-tools“ durch den Befehl wrmsr -a 0xc0011029 $(($(rdmsr -c 0xc0011029) | (1<<9))) möglich

hum...

rdmsr: Befehl nicht gefunden
-bash: | (1<<9): Syntaxfehler: Operator erwartet. (Fehlerverursachendes Zeichen ist "| (1<<9)").

seltsam,
msr-tools-1.3.git10-1.18.x86_64
ist installiert, sollte also eigentlich funktionieren?

 

[scryed]

Tja so ist das , CPUs sind mittlerweile so hoch komplex da werden sich noch viel mehr Problemchen drinne verstecken ....sollte man langsam als gesetzt ansehen und nicht immer ein Fass aufmachen

Und das den Spot nun die amd Abteilung triff damit müssen sie nun leben und wohl zurechtkommen , das die meisten noch den Intel Spot im Hinterkopf haben gibt es eben jetzt die returkutsche , hätte man damals nicht so überreagiert wäre das Echo sicher anders denn die damaligen Intel Threads waren schon extrem in der Hinsicht

 

[canada]

Das hier ein Patch Monate auf sich warten lassen wird, ist gerade bei dieser Schwere; absolut inakzeptabel.

Aber nicht AMD schuld, den Fix gibt es ja schon, nur müssen jetzt die Mainboard-Hersteller liefern und daran krankt es wieder. Ging der fix nicht über Windows-Update? Früher kamen doch CPU Microupdates für CPUs doch auch über Windows-Update und heute immer nur über Mainboards BIOS-Updstes.

 

[Trefoil80]

Ja, das geht sicher auch über Windows-Update.

Als ich mein HP-Notebook (Windows 10 damals selbst installiert, kein Pre-Install von HP!) auf Windows 11 geupgradet habe, war ich ganz erstaunt, dass anscheinend während des Upgrades automatisch ein BIOS-Update (!) angestoßen wurde.

 

[andi_sco]

Die Wahrscheinlichkeit, wenn ich das nächste Mal aus dem Haus gehe, vom Auto überfahren zu werden, ist vermutlich bedeutend höher.

Beschrei es nicht😵‍💫 - ich sag nur statitische Anomalie

 

[Philste]

Gibt es irgendeinen Grund, warum Epyc gleich versorgt wird, die Privatkunden aber anscheinend bis Dezember, also noch 5 Monate warten sollen? Das Argument, dass Zen 2 eine alte Architektur ist, zählt nicht. Schließlich setzt auch Mendocino als neues Produkt der 7000er Serie auf Zen 2.

 

[igi666]

Meinem Verständnis nach ist das Risiko ein anderes.

Bei dir Zuhause: selbst wenn ein Javascript im Browser irgendwelche Bits aus dem CPU Register auslesen kann, die parallel verarbeitet werden, wäre das ja "nur" dein Passwort zu irgendwas....unwarscheinliches Szenario weil nichts dran zu gewinnen.

In der Cloud: der Angreifer hat eine Cloud Instanz bei Google/Microsoft/Amazon und greift konstant Daten aus Cloud Instanzen anderer Kunden auf der selben CPU ab -> viel mehr betroffene Instanzen. Wenn das nicht bereits gefixed währe bzw. verhindert werden könnte, würden da jetzt alle Zen2 basierten Kisten sofort außer Betrieb gehen.

---

Meltdown/Spectre auf Endgeräten hat bei uns in der Firma damals auch nicht so sehr interessiert wie auf Servern. Auf Endgeräten kamen "irgendwann" die BIOS Updates der Hersteller etc. während auf Servern sofort die entsprechenden Fixes eingespielt/aktiviert wurden.

 

[Miuwa]

Allerdings wird es interessant wenn man an virtuelle Systeme denkt.
Du hast dir Zugang zu einer VM verschafft, kommst von da aber nicht weiter. Dann könnte man über Zugriff auf RAM/CPU direkt Zugang zum Hypervisor erhalten und damit auch zu den anderen VMs oder sogar zum ganzen Netz.

Es geht bei solchen Lücken generell ja nicht nur um VMs, sondern um jede Form der Zugriffsbeschränkung. Angefangen bei dem simplen "if allowed then ..." Im Programm selbst, über Sandboxen in Browsern und anderen Anwendungen (Adobe Reader), zur Prozessisolation auf OS-Ebene und Prozessor-Ebene und dann eben ganz am Ende auch die Überwindung von VM- Grenzen. Welche Hürden man konkret überwinden kann hängt dann von der spezifischen Lücke ab. Für Privatanwender ist halt insbesondere das überwinden der Browsersandbox relevant, weil die meisten Tag täglich beim Surfen hunderte (wahrscheinlich tausende) Scripts aus dem Internet ausführen.

Die einzige Gute Nachricht ist dass es - solange man nicht entsprechende Zugangsdaten ausließt - keine kaskadierenden Effekte gibt. Sprich, selbst wenn ich irgendwelche Informationen vom Hypervisor abgreifen kann, komme ich deshalb trotzdem nicht aufs lokale Netzwerk oder andere PCs und ich kann auch nicht irgendwelche Sicherheitsmechanismen deaktivieren.

 

[DevPandi]

Der besagte Sicherheitsforscher arbeitet offiziell für Google. Ich denke nicht, das hier eine Firma absichtlich bevorteilt/benachteiligt wird, denn das würde auf Google selbst zurückfallen.

Im Endeffekt haben sie die Lücke erst publik gemacht, als AMD das Microcode-Update bereits fertig hat. Es liegt jetzt an den Boardherstellern und dass das mal dauern kann.

Das Resultat hier ist allerdings alt bekannt: Die Fanboys der Firma A, die sich aber als ganz unvoreingenommen und rational und die einzigen differenzierten User hier sehen, haben jetzt die Chance allen anderen Usern, die ja ganz böse und undifferenzierte sowie scheinheilige Fanboys von Firma B sind, eine auszuwischen, um auf das angebliche Fehlverhalten von vor x Jahren aufmerksam zu machen und wie schlecht doch auch Firma B ist.

In der nächsten News, die Firma A dann wieder Probleme bescheinigt, kannst du da schon fast sicher sein, dass sich irgendwelche User dann getriggert fühlen und sich an das Thema hier erinnern und dann wieder genau das Gleiche abziehen, nur statt dann jetzt in Rot eben in Blau.

Ende vom Lied: Ein paar Fanboys - egal von welcher Firma - vergiften mal wieder vollkommen unnötig die Stimmung und zetteln hier Kriege an.

Ehrlich, auf ein paar Community-Mitglieder könnte man hier sehr gut verzichten, weil es mit diesen nicht wirklich um die Sache geht, sondern immer um ihre Abneigungen gegenüber einer bestimmten Firma und die sich immer als auch ihre Firma als armes Opfer der Massen hinstellen.

Schade, weil auch das Thema hier eigentlich zu Diskussionen mal über die Probleme einladen würde und man sich auch mal Gedanken machen könnte.

Problem ist nur das es bei Zen 3 und 4 aber auch Raptor Lake/Alderlake solche Sicherheitslücken in der Technik auch gibt, sie sind schlicht nur noch nicht bekannt.

Und genauso wird es bereits jetzt schon Sicherheitslücken in Zen 5 geben oder in MeteorLake, ArrowLake und Co, weil die Designs quasi abgeschlossen sind und irgendjemand bei seinem Part eventuell etwas nicht beachtet hat oder weil das eigentliche Konzept bereits "Broken" ist, was die Security angeht - was schneller geht, als man denkt.

Wie alt ist jetzt Zen 2? 2019? 4 Jahre? Seit wann gibt es jetzt Zen 3 zu kaufen? Ende 2020? Gut, für Server jeweils etwas später. Nehme ich die üblichen Abschreibungszeiträume für solche Hardware in Firmen und wann diese Geräte in der Regel ersetzt werden, ist die "Tragödie" in dem Fall überschaubar. Die meisten Server mit Zen 2 werden anfangend ab dem nächsten Jahr bereits wieder ausgetauscht. Schlimmer wäre es gewesen, wenn die Lücke 2020 bekannt geworden wäre, da war entsprechende Lebenszeiten bei den Servern noch geplant und das hätte richtig weh getan.

Und für uns "Heimanwender"? JavaScript und Co ist es wohl machbar, bedeutet in dem Fall - wie immer - dass man auf eine infizierte Webseite muss oder sich entsprechenden Code unterjubeln lässt. Ja, es ist ärgerlich, aber viele hier hat selbst Spectre und Meltdown nicht gestört und sie haben es infrage gestellt, wie relevant das für sie ist. (Wäre schön, wenn die Leute bei ihrer eigenen Argumentation, die sie bei Intel angebracht haben, nun bleiben würden, statt sinnlose Fanboy-Kriege zu provozieren!).

Kritische Sicherheitslücke? Ja. Muss AMD was machen? Ja, haben sie. Ist das ganze Doof? Auch das. Ist AMD, was das angeht als Intel? Nö, sind sie nicht. Waren die Lücken bei Intel schlimm? Nein, waren sie nicht. Sind diese Fanboy-Kriege nervig? ABSOLUT!

Und die alte unschöne Geschichte muss man aus welchem sachlichen Grund für diesen Sachverhalt erneuert aufgreifen, aufwärmen und ausbreiten? Wo ist dabei die Zielfűhrung zu diesem Thema?

Für gewisse User? Ja, es ist für diese Leute notwendig, weil sie ihr eigenes Selbstwertgefühl davon abhängig machen, ob sie auf der für sie gedachten "richtigen" Seite standen. Manche Menschen brauchen ihre "Gemeinschaft" und entsprechend agieren sie. So etwas ist bedauerlich, aber normal.

 

[LochinSocke]

Wenn der Glaskugelmodus des Prozessors einen Bug hat.

 

[cbuser01]

Bei meinem alten AG haben wir 2018 wegen Meltdown und Spectre spontan unsere gesamten Produktiv- und Testsysteme erneuert, obwohl die Systeme eigentlich noch nicht EOL waren, aber die Sicherheit geht vor. Ähnliches könnte jetzt wieder vielen Administratoren bevorstehen.

Selber schuld, wenn man auf die damalige Panikmache reingefallen ist.

Bis heute handelt es sich bei den Lücken hauptsächlich bestenfalls um theoretische Angriffsvektoren, die mit ein bisschen PoC-Code ein paar Bytes an Daten ausgelesen haben.
__

Wer auf Updates für seine alten X570/B450 Boards wartet, kann hier vermutlich lange warten. Die meisten von den Herstellern werden hierfür kaum noch Updates liefern, da schon längst aus dem Entwicklungszyklus raus.

 

[Simanova]

Zenbleed spielt für Endanwender keine Rolle.
Die Chance über Social Engineering oder Schadsoftware zu stolpern ist millionenfach höher.
Und selbst wenn, erbeutet der Angreifer mit einem rießen Aufwand vielleicht eine Hand voll Passwörter.

 

[[wege]mini]

ich sag nur statitische Anomalie

Ich sage selbst erfüllende Prophezeiung.

btt:

Ich würde mich echt freuen, wenn ich für irgend welche Hacker so interessant wäre, dass sie sich für mich interessieren. Und ich würde mich echt selber hassen, wenn ich genug sensitive Daten auf meinem System hätte, dass es sich für Hacker lohnen würde.

Für einen Privatanwender ist und bleibt es (war auch bei Intel so) ein eher theoretisches Problem. Sonst sollte er seine Gewohnheiten auf der persönlichen Seite überdenken.

Ich gehe doch nicht auf Bild.de und danach mit dem selben System, auf Sparkasse.de

Wenn es wichtig ist, existieren die Systeme für exakt eine Internetadresse. Mehr haben die nie gesehen und wenn es richtig wichtig ist, läuft es über das Rechenzentrum via Intranet.

mfg

 

[Majestro1337]

Problem ist nur das es bei Zen 3 und 4 aber auch Raptor Lake/Alderlake solche Sicherheitslücken in der Technik auch gibt, sie sind schlicht nur noch nicht bekannt.

Außer famegeile Sicherheitsforscher dokumentieren irgendwelchen Kriminellen feinsäuberlich wie man solche Lücken ausnutzt bevor es einen fix für alle gibt. Schließlich kann man mit der Veröffentlichung ja nicht so lange warten - andere Wissenschaftler könnten schneller sein und dann bekommen die den ganzen Prestige