EntrySign, anche le CPU Zen 5 colpite dalla vulnerabilità di sicurezza scoperta da Google

AMD ha aggiunto la sua ultima generazione di processori, basata su architettura Zen 5, alla lista dei chip vulnerabili al bug di sicurezza noto come EntrySign. L'exploit, scoperto dal team di sicurezza di Google e di cui vi avevamo parlato a marzo, consente agli utenti con privilegi di amministratore locale di caricare e installare microcodice personalizzato sulle CPU vulnerabili, modificandone potenzialmente il funzionamento a livello profondo. Sebbene tali aggiornamenti del microcodice non persistano dopo un riavvio della macchina, il problema non è meno importante.

La vulnerabilità riguarda il sistema di verifica delle firme digitali utilizzato da AMD per autenticare gli aggiornamenti del microcodice, ossia il livello più basso di istruzioni che regolano il funzionamento del processore. Il problema nasce dall'uso di AES-CMAC come funzione hash crittografica nel processo di verifica della firma.

CMAC è stato progettato come codice di autenticazione dei messaggi, non come funzione di hash sicura. I ricercatori di Google hanno scoperto che AMD ha utilizzato per anni una chiave di esempio pubblicata dal National Institute of Standards and Technology (NIST), e questo ha consentito loro di falsificare le firme e distribuire modifiche arbitrarie del microcodice.

Questo permette a chiunque abbia accesso amministrativo a un sistema di alterare il comportamento della CPU, con potenziali rischi per la sicurezza. 

In un primo momento sembrava che EntrySign colpisse solo le CPU Zen dalla prima alla quarta generazione, sia in ambito consumer (Ryzen) che enterprise (EPYC). Ora, anche la nuovissima gamma Zen 5, composta dai processori Ryzen 9000 (Granite Ridge), EPYC 9005 (Turin), Ryzen AI 300 (Strix Halo, Strix Point, Krackan Point) e Ryzen 9000HX (Fire Range) è risultata vulnerabile.

Fortunatamente, AMD ha iniziato a distribuire aggiornamenti per le schede madri e piattaforme compatibili, quindi monitorate i siti dei produttori regolarmente nelle prossime settimane e scaricate il BIOS più recente per mettervi al sicuro.