News Zenbleed: Sicherheitslücke gefährdet Zen-2-Architektur von AMD

[RobZ-]

Ohne diese "Sicherheitsexperten" hätten wir weniger Probleme, die geben den Bösewichten das Werkzeug in die Hand. Lücken werden nicht weniger wenn man danach sucht, es werden mehr.

 

[Termy]

Für einen Privatanwender ist und bleibt es (war auch bei Intel so) ein eher theoretisches Problem. Sonst sollte er seine Gewohnheiten auf der persönlichen Seite überdenken.

Naja, ich bezweifle, dass der Großteil der User extra airgapped Systeme für ihre sensiblen Daten haben

Von dem her finde ich eine Lücke, die in der Lage ist, jede Form von Sandbox in gewissen Aspekten auszuhebeln durchaus auch für Privatanwender relevant.
Klar wird sich kein Hacker die Mühe machen, manuell bei Lieschen Meier einzubrechen. Aber wer sagt denn, dass der Angrirff nicht auch automatisiert bei Besuch einer präparierten Webseite durchgeführt werden kann?

Dass dafür bisher kein PoC veröffentlicht wurde KANN man als gutes Zeichen werten, ein 'grünes Licht' ist es aber sicher nicht.

Klar ist unnötige Panikmache genauso wenig angebracht, aber das Verharmlosen finde ich ebenso ungut.

wenn man es nüchtern betrachtet ist Windows plugnplay für Milliarden von Menschen

Was aber primär am 'ist vorinstalliert' liegt.
Setze die Milliarden vor eine Linux-Kiste und sie werden tendenziell weniger Probleme haben (wenn sich nicht schon durch vorherige Windows-Erfahrungen wie z.b. das Runterladen von windigen Installern versaut wurden!). Für den normalen, unbedarften Anwender nehmen sich Windows und Linux nichts, in vielen Bereichen (Einstellungen, Installation von Software) würde ich sogar sagen, dass die meisten Linux-Distro da einen leichten Vorsprung haben...
Aber da du keinen 'Doktor' hast glaubst du mir das jetzt sicherlich sowieso nicht, ne?

 

[bad_sign]

Ohne diese "Sicherheitsexperten" hätten wir weniger Probleme, die geben den Bösewichten das Werkzeug in die Hand. Lücken werden nicht weniger wenn man danach sucht, es werden mehr.

Das ist Sarkasmus oder?
Wenn nicht, es bietet sich an den Kopf in den Sand zu stecken, alte Weisheit aus der Natur

 

[Herdware]

Ohne diese "Sicherheitsexperten" hätten wir weniger Probleme...

Ich glaube, du unterschätzt, wie motiviert Kriminelle sind, solche Sicherheitslücken zu finden und auszunutzen. Die werden da wesentlich mehr Zeit und Energie rein stecken, als die paar Sicherheitsexperten. Einfach, weil sie sehr viel mehr daran verdienen können.

Ich befürchte, in allen modernen CPUs, Betriebssystemen und sonstigen, komplexen und sicherheitsrelevanten Systemen, sind etliche kritische Sicherheitslücken, von denen noch kein Sicherheitsexperte etwas weiß oder veröffentlicht hat, aber die schon lange von bestimmten Kriminellen (oder auch Geheimdiensten) aktiv ausgenutzt werden.

Wir sollten uns also eher über solche Meldungen freuen statt ärgern. Eine Lücke weniger, die (demnächst) auf Systemen, die ordentlich gepflegt werden, nicht mehr genutzt werden kann.

 

[Paladin-HH]

Wie war das noch mit dem "Wasser kochen" ?

Ich kann mich noch genau daran erinnern wie hier bestimmt 70% der AMD Boys sich gefeiert haben, dass sie AMD gekauft haben, weil Intel ja so typisch inkompetent ist.

Das hier ein Patch Monate auf sich warten lassen wird, ist gerade bei dieser Schwere; absolut inakzeptabel.

Der Patch ist doch schon da, AMD kann ja keine BIOS-Updates für Asus, MSI etc. rausbringen…

 

[andi_sco]

Wer sich von einem umstürzendem Baum, einem fahrenden Auto oder einer Straßenbahn töten lässt, hat einfach zu viel geträumt

OT: die anderen Autofahrer konnte ich schlecht davon abhalten, mir nicht hinten raufzufahren.
Und ja, auf einer Abbiegespur oder an einer roten Ampel kann man nichts mehr machen. Wenn der denn von seiner Spur abkommt oder die Autokolonne vor sich über sieht

Ergänzung (26. Juli 2023)

in allen modernen CPUs, Betriebssystemen und sonstigen, komplexen und sicherheitsrelevanten Systemen, sind etliche kritische Sicherheitslücken

Das lässt sich nicht vermeiden.
Der WDR Computerclub hatte bei ein paar hundert oder tausend Zeilen Code auch nen kleinen Fehler, der sich eingeschlichen hatte.
Und heutige Betriebssysteme etc. sind ja wesentlich umfangreicher, als Software aus den 90ern.

 

[[wege]mini]

dass der Großteil der User extra airgapped Systeme für ihre sensiblen Daten haben

Leider wahr.

Ich benutze z.B. ein Notebook zum Gamen (läuft über mein Alter Ego auf den Bahamas) ein System im kompletten Offlinezustand für wichtige Abrechnungen, 2 Telefone, kein Internetbanking und extrem viele Email Adressen.

Die Menschen, die mich persönlich nicht kennen, die mit mir Geschäftlich zu tun haben, denken z.B. aufgrund meiner persönlichen Email Adresse, ich wäre Australier. Die wundern sich dann immer, warum ich so gut deutsch spreche.

mir nicht hinten raufzufahren

So lange du eine Knautschzone um dich rum hast, ist doch alles i.O. Dafür wurde sie erfunden. Vorbeugen, nicht auf die Schuhe kotzen.

mfg

 

[emerald]

Gentoouser haben das schon längst gefixt!

https://bugs.gentoo.org/show_bug.cgi?id=CVE-2023-20593

Ich sehe da keinen Fix...

Ergänzend, gemäß https://en.wikichip.org/wiki/amd/cpuid#Family_23_.2817h.29 :

Microcode patches in microcode_amd_fam17h.bin: Family=0x17 Model=0x08 Stepping=0x02: Patch=0x0800820d < Zen+: Colfax, Pinnacle Ridge Family=0x17 Model=0x31 Stepping=0x00: Patch=0x0830107a < Zen2: Rome, Castle Peak Family=0x17 Model=0xa0 Stepping=0x00: Patch=0x08a00008 < Zen2: Mendocino Family=0x17 Model=0x01 Stepping=0x02: Patch=0x0800126e < Zen: Naples, Whitehaven, Summit Ridge, Snowy Owl

 

[PegasusHunter]

Sieht gut aus bei Kubuntu und Mainlinekernel 6.4.6

 

[andi_sco]

Dafür wurde sie erfunden.

Und irgendwann sagt die Psyche: nö

Ganz so blöd bin ich nicht 😉

 

[Tulol]

Das hier ein Patch Monate auf sich warten lassen wird, ist gerade bei dieser Schwere; absolut inakzeptabel.

Von AMD hats bereits das Update bei den Maiboardherstellern. Die müssen das nun aber ins BIOS einpflegen und genau das ist es was so lange dauert.

 

[BlueLightning]

Ohne diese "Sicherheitsexperten" hätten wir weniger Probleme, die geben den Bösewichten das Werkzeug in die Hand. Lücken werden nicht weniger wenn man danach sucht, es werden mehr.

Wow. Mit diesem kurzen Beitrag hast Du bewiesen, dass Du überhaupt nichts von IT-Sicherheit verstehst.

Das wichtigste Prinzip ist es, Sicherheit nicht durch Verschleierung ("Security through obscurity") zu erlangen, sondern Fehler bei Erkennung verantwortungsvoll offenzulegen (responsible disclosure), damit diese nicht im Hintergrund munter von findigen Kriminellen genutzt werden.

Das ist das kerckhoffs'sche Prinzip, dass bereits 1883 veröffentlicht wurde und in Kryptographie und IT-Sicherheit quasi Gesetz ist.

 

[mkl1]

Der Patch ist doch schon da, AMD kann ja keine BIOS-Updates für Asus, MSI etc. rausbringen…

Nein er ist nicht da. Es gibt nur für die EPYC Serie einen entsprechenden Fix. Für alles andere existiert kein Update. Das wurde bereits mehrfach verlinkt: https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html

Und die Links mit dem angeblichen Fix ist nur für die Epyc.

 

[dev/random]

Gentoouser haben das schon längst gefixt!

https://bugs.gentoo.org/show_bug.cgi?id=CVE-2023-20593

Es kommt auf die Details drauf an.
Diese AMD microcode update haben Arch, Debian und andere ebenfalls schon veröffentlicht, aber darin ist nur der Epyc Server microcode gefixed.
Nachtrag: Bei Debian ist das auch entsprechend dokumentiert https://security-tracker.debian.org/tracker/CVE-2023-20593

Auf einer Kiste mit Zen2 5700U CPU (family: 0x17, model: 0x68, stepping: 0x1) funktioniert der zenbleed PoC bei mir aber auch mit neuestem microcode noch (amd-microcode version 3.20230719.1~deb12u1, CPU patch_level=0x08608102). Schutz bietet hier wohl erst das Linux Kernel update, auf das ich bei Debian Bookworm noch warte

Auf meinem Spiele-Rechner mit Arch läuft schon der aktualisierte Linux kernel. Allerdings habe ich da eine Zen3 5600X CPU, die nicht betroffen ist, was sich mit dem PoC auch leicht testen lässt.

 

[RAMSoße]

Bin gespannt ob das ein paar Personen für das Jailbreaken der PS4 und PS5 brauchen können.

 

[Weyoun]

Ich habe noch nie was von Sprungvorhersagen und ähnlichen "spekulativen" Berechnungen gehalten. Nach und nach zeigt sich, was für Auswirkungen das hat. Das erinnert mich irgendwie an Goethes Zauberlehrling.

 

[Miuwa]

Ohne diese "Sicherheitsexperten" hätten wir weniger Probleme, die geben den Bösewichten das Werkzeug in die Hand. Lücken werden nicht weniger wenn man danach sucht, es werden mehr.

Ironie oder ernst gemeint?

 

[Herdware]

Nach und nach zeigt sich, was für Auswirkungen das hat.

Das Debakel von P4/Netburst (und Pentium Pro?) hat aber auch gezeigt, was fehlende, oder zu schlechte, spekulative Befehlsausführung bedeuten kann.

Abseits von den simpelsten Low-Power-CPUs, kommt man um solche Features wohl einfach nicht herum. Trotz der Sicherheitsrisiken, die sie mitbringen.

Vielleicht könnte man spezielle Hochsicherheits-CPUs ohne Sprungvorhersage für kritische Anwendungen (Cloud-Server usw.) entwickeln. Aber halt auf Kosten von Leistung und Effizienz.

 

[Ripcord]

Wie war das noch mit dem "Wasser kochen" ?

Ich kann mich noch genau daran erinnern wie hier bestimmt 70% der AMD Boys sich gefeiert haben, dass sie AMD gekauft haben, weil Intel ja so typisch inkompetent ist.

Das hier ein Patch Monate auf sich warten lassen wird, ist gerade bei dieser Schwere; absolut inakzeptabel.

Scheint alles nicht so wild zu sein. Noch hat Lisa Su keine ihrer Aktien verkauft

Immerhin hat es lange genug gedauert bis die Intel Boys nun endlich auch mal Luftsprünge machen dürfen. Ich vermute aber mal, sie sollten sicht daran gewöhnen und können daher weiterhin nur von den strammen Waden der AMD Boys träumen.

 

[HierGibtsNichts]

Warum benutzen Leute so ein Frickelbetriebsystem wie Windows?

Weil Linux trotz viele Verbesserungen und Veränderungen für Gaming immernoch nicht Alltagstauglich für sämtliche Spiele.