EntrySign, il jailbreak per le CPU AMD: vulnerabilità per i modelli da Zen 1 a Zen 4

Un team di ricercatori di Google ha scoperto una vulnerabilità critica nei processori AMD basati su architettura Zen, dalla prima generazione fino a Zen 4. L'exploit, denominato "EntrySign", consente agli utenti con privilegi di amministratore locale di caricare e installare microcodice personalizzato sulle CPU vulnerabili, potenzialmente modificandone il funzionamento a livello profondo. Sebbene tali aggiornamenti del microcodice non persistano dopo un riavvio della macchina, il problema non è meno importante.

La vulnerabilità riguarda il sistema di verifica delle firme digitali utilizzato da AMD per autenticare gli aggiornamenti del microcodice, ossia il livello più basso di istruzioni che regolano il funzionamento del processore. Il problema nasce dall'uso di AES-CMAC come funzione hash crittografica nel processo di verifica della firma. CMAC è stato progettato come codice di autenticazione dei messaggi, non come funzione di hash sicura.

I ricercatori di Google hanno scoperto che AMD ha utilizzato per anni una chiave di esempio pubblicata dal National Institute of Standards and Technology (NIST), e questo ha consentito loro di falsificare le firme e distribuire modifiche arbitrarie del microcodice.

Questo permette a chiunque abbia accesso amministrativo a un sistema di alterare il comportamento della CPU, con potenziali rischi per la sicurezza. Ad esempio, i ricercatori hanno dimostrato come fosse possibile modificare l'istruzione RDRAND, che genera numeri casuali, per restituire sempre valori predefiniti, compromettendo l'affidabilità della generazione casuale.

L'exploit colpisce tutte le CPU AMD Zen 1, Zen 2, Zen 3 e Zen 4, comprese le linee di processori desktop Ryzen e le CPU server EPYC. Inizialmente, AMD aveva segnalato il problema come rilevante solo per i processori EPYC utilizzati nei datacenter, ma successivamente si è scoperto che la vulnerabilità si estende anche ai processori consumer.

AMD ha rilasciato aggiornamenti del BIOS che correggono la vulnerabilità sostituendo il sistema di verifica con una funzione hash sicura e utilizzando l'AMD Secure Processor per impedire modifiche non autorizzate prima che il microcodice venga eseguito dalle CPU x86.

È possibile mitigare il rischio aggiornando il firmware della propria scheda madre all'ultima versione disponibile. I BIOS rilasciati dopo il 17 dicembre 2024 includono la patch di sicurezza per questa vulnerabilità. Per chi utilizza CPU AMD in ambienti sensibili, come sistemi cloud o server con tecnologia di protezione SEV-SNP, è fortemente consigliato applicare subito gli update.