Advertentie
Er is een nieuw lek gevonden in de microcode van AMD-processoren, waardoor kwaadwillenden mogelijk ongeverifieerde microcode kunnen uitvoeren op een AMD-processor. Het probleem zit in de microcode signature verification, waardoor niet-goedgekeurde (micro)code toch kan worden uitgevoerd.
AMD heeft inmiddels bevestigd dat het misbruiken van dit lek alleen mogelijk is als een aanvaller lokale administratorrechten heeft en kwaadaardige microcode ontwikkelt. In een verklaring aan The Register meldde AMD dat ze zich momenteel meer zorgen maken over nepoplossingen die worden aangeboden, dan over daadwerkelijk misbruik van het lek.
Hoe werd het lek ontdekt?
Dit lek kwam op een opmerkelijke manier aan het licht. Tavis Ormandy, een beveiligingsonderzoeker bij Google’s Project Zero, ontdekte een verwijzing naar het probleem in de releasenotes van een bèta-versie van een Asus BIOS-update. Dit suggereert dat AMD en Asus al op de hoogte waren van het lek, aangezien er al een patch werd uitgebracht.
AMD heeft nog niet officieel bekendgemaakt welke processoren kwetsbaar zijn. Volgens het bedrijf hoeven gebruikers op dit moment geen extra stappen te ondernemen om zich beter te beveiligen.
Wat raadt AMD aan?
AMD adviseert klanten om industriestandaard beveiligingsrichtlijnen te volgen en alleen software te installeren van betrouwbare leveranciers. Het bedrijf zal binnenkort een beveiligingsbulletin publiceren met aanvullende adviezen en oplossingen.
Eerdere beveiligingsincidenten bij AMD
Dit is niet de eerste keer dat een AMD-beveiligingslek op een ongewone manier naar buiten komt. Vorig jaar werd bijvoorbeeld het Sinkhole-lek onthuld, een kwetsbaarheid waarvan AMD al sinds 2006 op de hoogte was. Pas enkele weken na de onthulling werd een patch uitgebracht, hoewel die destijds niet voor alle processoren beschikbaar was.