Google güvenlik araştırmacısı Tavis Ormandy tarafından, bu hafta içinde detayları paylaşılan ve AMD Zen 2 işlemcilerinde keşfedilen bir güvenlik açığı, teknoloji dünyasında endişe verici dalgalar yarattı. Ryzen 5 3600 gibi popüler işlemcileri içeren Zen 2 serisi, “Zenbleed” adı verilen ve hassas veri hırsızlığına yol açabilecek yeni bir açıkla karşı karşıya bulunuyor. Bu açığın, 15 Mayıs’ta AMD’ye ilk bildiriminin ardından Ormandy’nin blogunda duyurulduğunu belirtmekte fayda var.
Zenbleed tehlikesi, AMD Ryzen 3000 / 4000 / 5000 / 7020 serileri, Ryzen Pro 3000 / 4000 serileri ve AMD’nin EPYC “Rome” veri merkezi işlemcileri de dahil olmak üzere Zen 2 ürün yığınının tamamını etkiliyor. AMD, bu açığı gidermek için yayımlanması beklenen yamaların zamanlamasını duyurdu, ancak çoğu firmware güncellemesinin yılın sonlarına doğru beklenmediğini belirtti.
Zenbleed açığı, bulut hizmetlerindeki verileri de tehdit ediyor
Cloudflare‘a göre Zenbleed açığı, bir kullanıcının sistemine saldırmak için fiziksel erişim gerektirmiyor ve hatta bir web sayfasındaki Javascript aracılığıyla uzaktan çalıştırılabilir. Başarılı bir şekilde çalıştırıldığında, bu açık, her bir çekirdekten saniyede 30 kb veri aktarımına olanak sağlar. Bu hız, sistemi çalıştıran herhangi bir yazılımdan hassas verileri çalmak için yeterli olabilir. Bu durum, sanal makineler, kum havuzları, konteynerler ve işlemler dahil olmak üzere her türlü yazılımı içerir. Tomshardware‘ın belirttiği gibi, bu açığın esnekliği, bulut örnekleri içindeki kullanıcıları gözetleme potansiyeli nedeniyle bulut barındırılan hizmetler için özellikle endişe verici.
Daha da kötüsü, Zenbleed radardan kaçabilir, çünkü açığı sömürmek için herhangi bir özel sistem çağrısı veya ayrıcalık gerektirmez. Ormandy, “Kötüye kullanımın tespit edilmesi için herhangi bir güvenilir teknikten haberdar değilim.” dedi. Zenbleed, Spektrum sınıfı CPU güvenlik açıkları ile bazı benzerlikler paylaşıyor çünkü her iki açık da spekülatif uygulamaların içindeki hataları kullanıyor, ancak Zenbleed’in uygulanması daha kolay, bu da onu Meltdown ailesi açıklarına daha benzer kılıyor. Zenbleed açığına dair tam teknik açıklama Ormandy’nin blogunda bulunabilir.
AMD, ikinci nesil Epyc 7002 işlemciler için bir mikro kod yaması yayımladı, ancak diğer CPU serileri için bir sonraki güncellemeler en erken 2023 Ekim’inde bekleniyor. Şirket, bu güncellemelerin sistem performansını etkileyip etkilemeyeceğini açıklamadı ancak TomsHardware’a verdiği bir açıklamada, bu durumun olabileceğini belirtti: “Performans etkisi, iş yüküne ve sistem konfigürasyonuna bağlı olarak değişir. AMD, araştırma ortamı dışında belirtilen açığın bilinen bir kötüye kullanımından haberdar değildir.”
Ormandy, etkilenen kullanıcıların AMD’nin mikro kod güncellemesini uygulamasını “kesinlikle önerirken”, BIOS güncellemelerinde bir düzeltme yapılıncaya kadar uygulanabilecek bir yazılım çözümü için blogunda talimatlar sundu. Ormandy, bu çözümün de sistem performansını etkileyebileceğini uyarırken, en azından bir firmware güncellemesi beklemekten daha iyidir.
