SinkClose: брешь в процессорах AMD позволяет установить вредонос на Ring -2

SinkClose: брешь в процессорах AMD позволяет установить вредонос на Ring -2

SinkClose: брешь в процессорах AMD позволяет установить вредонос на Ring -2

AMD предупреждает об опасной уязвимости, затрагивающей сразу несколько поколений процессоров EPYC, Ryzen и Threadripper. Проблема под кодовым именем SinkClose позволяет злоумышленникам установить практически недетектируемый вредонос.

Если у атакующих будет доступ на уровне ядра (Ring 0), они смогут пробраться ещё ниже — на Ring -2, который является одним из самых привилегированных уровней на устройстве. Ring -2 сидит глубже, чем Ring -1 (используется для гипервизоров и CPU-виртуализации) и Ring 0 (уровень ядра).

Как правило, Ring -2 связывают с функциональностью современных процессоров, известной как System Management Mode (SMM). SMM отвечает за управление питанием, контролирует аппаратную составляющую и часть защитного слоя, чтобы гарантировать стабильную работу операционной системы.

Разработчики изолировали привилегированную SMM от остальной ОС из-за опасений, что злоумышленники и вредоносные программы смогут легко добраться до этой функциональности.

Уязвимость SinkClose получила идентификатор CVE-2023-31315 и 7,5 балла по шкале CVSS. На брешь наткнулись исследователи из IOActive — Энрике Ниссим и Кшиштоф Окупски. Подробную информацию специалисты представили на мероприятии DefCon в докладе «AMD Sinkclose: Universal Ring-2 Privilege Escalation».

По словам экспертов, SinkClose оставалась незамеченной почти 20 лет. А меж тем уязвимость затрагивает целый спектр семейств процессоров от AMD.

В случае эксплуатации у атакующих появляется возможность изменить настройки SMM, даже если активирован защитный механизм SMM Lock. Другими словами, атакующий может отключить обеспечивающие безопасность функции и установить на устройство вредоносную программу, которую будет практически невозможно детектировать.

Поскольку Ring -2 изолирован и невидим для ОС и гипервизора, любые модификации на этом уровне останутся вне зоны досягаемости установленных на устройстве защитных программ.

В беседе с Wired Окупски уточнил: единственный способ выявить и удалить вредоноса на Ring -2 — физически подключиться к процессору с помощью инструмента SPI Flash и просканировать память.

Согласно официальному уведомлению от AMD, затронуты следующие модели CPU:

  • EPYC 1-го, 2-го, 3-го и 4-го поколений;
  • EPYC Embedded 3000, 7002, 7003, 9003, R1000, R2000, 5000 и 7000;
  • Ryzen Embedded V1000, V2000 и V3000;
  • Ryzen 3000, 5000, 4000, 7000 и 8000;
  • Ryzen 3000 Mobile, 5000 Mobile, 4000 Mobile и 7000 Mobile;
  • Ryzen Threadripper 3000 и 7000;
  • AMD Threadripper PRO (Castle Peak WS SP3, Chagall WS);
  • AMD Athlon 3000 Mobile (Dali, Pollock);
  • AMD Instinct MI300A.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Делягин: масштабное отключение рунета от интернета почти невозможно

С 1 марта 2026 года в России вступят в силу новые правила, позволяющие Роскомнадзору, ФСБ и Минцифры России временно отключать российский сегмент интернета от мировой Сети. Речь идёт о случаях, когда возникнут «угрозы устойчивости, безопасности и целостности» интернета.

Соответствующее постановление подписал премьер-министр Михаил Мишустин 6 ноября.

Иными словами, рунет смогут изолировать в ситуации, если через глобальную сеть начнётся вмешательство во внутренние дела России или произойдёт крупная кибератака.

Однако эксперты сомневаются, что подобные сценарии возможны. Зампред комиссии Госдумы по расследованию вмешательства иностранных государств Михаил Делягин в разговоре с «Газетой.Ru» заявил, что такие угрозы «почти невероятны».

«РКН может отключить российский интернет от мирового только если вмешательство через него во внутренние дела России приобретёт характер реальной угрозы. Но все подобные сценарии сегодня выглядят крайне маловероятными. Это должно быть масштабное кибернападение, способное пробить защиту ключевых узлов, — что сейчас, на мой взгляд, невозможно», — сказал Делягин.

Он добавил, что массовое применение квантовых компьютеров теоретически может изменить ситуацию, но до этого ещё далеко. Также парламентарий выразил уверенность, что системы электронного голосования защищены от внешнего взлома, несмотря на сомнения, которые периодически звучат в их адрес.

Ранее депутат Андрей Свинцов в беседе с изданием «Подъём» подтвердил, что в случае крупных хакерских атак или угроз системам дистанционного голосования возможна кратковременная изоляция рунета, но полного отключения от интернета не планируется.

Ранее в Госдуме уже обсуждали, что временное отключение российского сегмента Сети от глобального может использоваться в случае вмешательства в выборы 2026 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru