Zenbleed-Bug: AMD-CPUs ermöglichen Datenklau

Foto: Tester128 – shutterstock.com

Google-Security-Researcher Travis Ormandy hat eine schwerwiegende Sicherheitslücke in AMDs Zen-2-Prozessoren entdeckt und öffentlich gemacht, die sowohl CPUs aus dem Consumer- als auch dem Enterprise-Bereich (Server) betrifft. Die Schwachstelle namens “Zenbleed” ermöglicht Angreifern, Passwörter, Encryption-Keys und andere sensible Daten remote auszulesen. AMD hat erste (Microcode-)Upgrades bereitgestellt.

Diese CPUs sind von Zenbleed betroffen

Wie Ormandy in einem Blogbeitrag erklärt, kann Zenbleed von Angreifern dazu genutzt werden, Remote-Code über Javascript auf einer Webseite auszuführen – es ist also kein physischer Zugriff auf den betroffenen Rechner nötig. Wird die Schwachstelle erfolgreich ausgenutzt, können Angreifer jede CPU-Operation einsehen – auch solche, die in Sandboxes oder virtuellen Maschinen laufen. Betroffen sind von Zenbleed demnach alle AMD-Zen-2-Prozessoren der folgenden Serien:

• AMD Ryzen 3000

• AMD Ryzen Pro 3000

• AMD Ryzen Threadripper 3000

• AMD Ryzen 4000 mit Radeon-Grafik

• AMD Ryzen Pro 4000

• AMD Ryzen 5000 mit Radeon-Grafik

• AMD Ryzen 7020 mit Radeon-Grafik

• AMD Epyc Rome

AMD hat inzwischen ein Microcode-Upgrade veröffentlicht – und weitere Firmware-Patches in Aussicht gestellt, die allerdings teilweise erst Ende des Jahres kommen sollen. Wenn Sie darauf nicht warten können oder wollen, erklärt Sicherheitsforscher Ormandy in seinem Blogbeitrag einen Software Workaround.

Die Schwachstelle wird als CVE-2023-20593 geführt. Ob sich die verfügbaren Patches auf die Prozessorleistung auswirken, ist derzeit noch nicht bekannt. Sollten Sie oder Ihr Unternehmen die genannten AMD-Prozessoren einsetzen, tun Sie gut daran, die Maßnahmen gegen Zenbleed im Auge zu behalten – und baldmöglichst zu handeln. (fm)

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.

Jetzt CSO-Newsletter sichern

Dieser Beitrag basiert auf einem Artikel unserer US-Schwesterpublikation PC World.