SinkClose: брешь в процессорах AMD позволяет установить вредонос на Ring -2

SinkClose: брешь в процессорах AMD позволяет установить вредонос на Ring -2

SinkClose: брешь в процессорах AMD позволяет установить вредонос на Ring -2

AMD предупреждает об опасной уязвимости, затрагивающей сразу несколько поколений процессоров EPYC, Ryzen и Threadripper. Проблема под кодовым именем SinkClose позволяет злоумышленникам установить практически недетектируемый вредонос.

Если у атакующих будет доступ на уровне ядра (Ring 0), они смогут пробраться ещё ниже — на Ring -2, который является одним из самых привилегированных уровней на устройстве. Ring -2 сидит глубже, чем Ring -1 (используется для гипервизоров и CPU-виртуализации) и Ring 0 (уровень ядра).

Как правило, Ring -2 связывают с функциональностью современных процессоров, известной как System Management Mode (SMM). SMM отвечает за управление питанием, контролирует аппаратную составляющую и часть защитного слоя, чтобы гарантировать стабильную работу операционной системы.

Разработчики изолировали привилегированную SMM от остальной ОС из-за опасений, что злоумышленники и вредоносные программы смогут легко добраться до этой функциональности.

Уязвимость SinkClose получила идентификатор CVE-2023-31315 и 7,5 балла по шкале CVSS. На брешь наткнулись исследователи из IOActive — Энрике Ниссим и Кшиштоф Окупски. Подробную информацию специалисты представили на мероприятии DefCon в докладе «AMD Sinkclose: Universal Ring-2 Privilege Escalation».

По словам экспертов, SinkClose оставалась незамеченной почти 20 лет. А меж тем уязвимость затрагивает целый спектр семейств процессоров от AMD.

В случае эксплуатации у атакующих появляется возможность изменить настройки SMM, даже если активирован защитный механизм SMM Lock. Другими словами, атакующий может отключить обеспечивающие безопасность функции и установить на устройство вредоносную программу, которую будет практически невозможно детектировать.

Поскольку Ring -2 изолирован и невидим для ОС и гипервизора, любые модификации на этом уровне останутся вне зоны досягаемости установленных на устройстве защитных программ.

В беседе с Wired Окупски уточнил: единственный способ выявить и удалить вредоноса на Ring -2 — физически подключиться к процессору с помощью инструмента SPI Flash и просканировать память.

Согласно официальному уведомлению от AMD, затронуты следующие модели CPU:

  • EPYC 1-го, 2-го, 3-го и 4-го поколений;
  • EPYC Embedded 3000, 7002, 7003, 9003, R1000, R2000, 5000 и 7000;
  • Ryzen Embedded V1000, V2000 и V3000;
  • Ryzen 3000, 5000, 4000, 7000 и 8000;
  • Ryzen 3000 Mobile, 5000 Mobile, 4000 Mobile и 7000 Mobile;
  • Ryzen Threadripper 3000 и 7000;
  • AMD Threadripper PRO (Castle Peak WS SP3, Chagall WS);
  • AMD Athlon 3000 Mobile (Dali, Pollock);
  • AMD Instinct MI300A.

Киберпротект выпустил Кибер Бэкап 18.5. Упор на рост производительности

Вышла новая версия системы резервного копирования и восстановления «Кибер Бэкап» 18.5. Это функциональный релиз, в который разработчик традиционно включил большое количество нововведений. В этой версии «Киберпротект» сосредоточился на повышении производительности, защите виртуальных и контейнерных сред, а также интеграции с системами мониторинга.

Кроме того, появились неизменяемые копии с повышенной защитой от вайперов и шифровальщиков. Как сообщил вендор, ключевым изменением релиза стало многопоточное резервное копирование.

Эта функция должна дать наибольший эффект при работе с файловыми хранилищами и базами данных, прежде всего PostgreSQL и его производными, включая российские решения.

Система может обрабатывать до 24 потоков одновременно, что позволяет как минимум втрое увеличить скорость резервного копирования и восстановления в таких сценариях. Пока многопоточность настраивается через редактирование конфигурационного файла, однако в одной из следующих версий эту возможность планируют вынести в графический интерфейс.

В текущем релизе также добавлена поддержка российской системы виртуализации «Горизонт-ВС», в том числе на уровне гипервизора в безагентском режиме. Таким образом, общее число поддерживаемых платформ виртуализации достигло 20, из них 14 — российские. Кроме того, появилась возможность работы с аппаратными моментальными снимками СХД Yadro Tatlin.Unified для виртуальных машин под управлением zVirt. Улучшена и поддержка некоторых функций Kubernetes — в частности, меток в веб-консоли, что упрощает гранулярное восстановление.

В состав релиза вошли инструменты, упрощающие нативную интеграцию с системами мониторинга Prometheus и Loki. Также разработана базовая контрольная панель для Grafana с возможностью гибкой кастомизации и использования пользовательских метрик. В одной из ближайших версий разработчик обещает добавить полноценную интеграцию с Zabbix и другими решениями для мониторинга ИТ-инфраструктуры.

Кроме того, появилась поддержка защищённого протокола LDAPS для всех служб каталогов, с которыми работает «Кибер Бэкап». Для Linux-агентов теперь доступны отдельные установочные пакеты. Работу по разделению единого инсталлятора разработчик планирует продолжить и в дальнейшем.

«Кибер Бэкап 18.5 — это шаг в сторону корпоративных заказчиков с крупной, сложной и растущей инфраструктурой, которым важны эффективная защита данных и технологическая независимость. Мы кратно увеличили производительность системы за счёт реализации файловой многопоточности и одновременно проработали ключевые сценарии защиты нагруженных виртуальных сред в полностью отечественном стеке. Интеграция с системами мониторинга, расширенный API и безопасная работа со службами каталогов делают «Кибер Бэкап» удобным, предсказуемым и масштабируемым инструментом для ИТ-команд любого размера», — прокомментировал выход релиза Дмитрий Антонов, директор направления систем резервного копирования «Киберпротекта».

RSS: Новости на портале Anti-Malware.ru