[발표] AMD, 31개의 CPU 보안 취약점 공개

기사 원문 - https://www.tomshardware.com/news/amd-discloses-31-new-cpu-vulnerabilities

　AMD는 1월 업데이트에서 소비자용 Ryzen 칩과 EPYC 데이터 센터 프로세서에 걸쳐 31개의 새로운 CPU 취약점을 조용히 공개했습니다. 취약성 업데이트에는 영향을 받는 프로세서에 대한 완화와 함께 AGESA 버전 목록도 포함되어 있습니다. AMD는 Google, Apple 및 Oracle의 팀을 포함한 여러 연구자들과 공동으로 공개하여 취약점을 공개하여 회사가 공개 목록에 앞서 완화책을 개발할 시간을 주었습니다. 그러나 AMD는 보도 자료나 기타 지원을 통해 취약점을 발표하지 않았으므로(단지 목록을 게시했을 뿐임) 세부 정보를 파악하기 위해 노력하고 있으며 추가 정보가 있으면 업데이트할 예정입니다.

AMD는 취약성을 패치하기 위해 OEM에 발행한 다양한 AGESA 개정판을 나열했습니다(AGESA 코드는 BIOS/UEFI 코드를 빌드하는 데 사용됨). 그러나 새 AGESA 코드가 포함된 새 BIOS 패치의 가용성은 공급업체에 따라 다릅니다. 즉, 마더보드나 시스템 공급업체에 올바른 AGESA 코드가 포함된 새 BIOS 개정판을 게시했는지 확인해야 합니다.

AMD는 일반적으로 5월과 11월에 1년에 두 번 취약점 공개를 발표하지만 상대적으로 많은 수의 새로운 취약점과 완화 시기로 인해 일부를 1월에 공개하기로 결정했다고 밝혔습니다. 스펙터(Spectre) 및 멜트다운(Meltdown)과 같은 다른 완화 조치에서 보았듯이 성능 저하가 있는지 여부는 아직 명확하지 않습니다.

이전 시스템에서 때때로 보았듯이 일부는 업데이트되지 않을 수 있습니다. 또한 일부 영향을 받는 모델에는 아직 완화가 없는 것으로 보입니다.

이 취약점에는 소비자용 Ryzen 데스크톱 PC, HEDT, Pro 및 모바일 프로세서에 대한 세 가지 새로운 변형이 포함됩니다. 취약점 중 하나는 심각도 높음으로 나열되고 나머지 두 개는 심각도 보통 또는 낮음으로 지정됩니다. 이러한 취약점은 BIOS 해킹 또는 AMD ASP(Secure Processor) 부트로더에 대한 공격을 통해 악용될 수 있습니다.

이 취약점은 통합 그래픽(Raven Ridge, Cezanne)과 함께 제공되는 2000 및 5000 시리즈 APU 제품 라인과 함께 Ryzen 2000 시리즈 Pinnacle Ridge 데스크탑 칩에 걸쳐 있습니다. 또한 AMD의 Threadripper 2000 및 3000 시리즈 HEDT 및 Pro 프로세서와 수많은 Ryzen 2000, 3000, 5000, 6000 및 Athlon 3000 시리즈 모바일 프로세서도 영향을 받습니다.

AMD는 또한 EPYC 프로세서에 대한 28개의 취약점을 나열했으며 그 중 4개는 심각도가 높습니다. 심각도가 높은 변종 중 3개는 다양한 공격 벡터를 통해 임의 코드 실행을 가능하게 하는 반면, 하나는 데이터 무결성 및 가용성 손실로 이어질 수 있는 특정 영역에 데이터 쓰기를 허용합니다. 또한 연구원들은 중간 심각도로 분류된 15개의 다른 취약점과 9개의 낮은 심각도 취약점을 발견했습니다.

AMD의 칩은 Intel의 모델보다 알려진 취약점이 적은 것으로 오랫동안 알려져 왔습니다. 그러나 AMD 프로세서의 초기 제한적인 발견이 강화된 프로세서 설계에 대한 보안 우선 접근 방식 때문인지, 아니면 연구원과 공격자가 압도적인 시장 점유율로 인해 인텔 프로세서에만 집중했는지 확인하기는 어렵습니다. 가능한 가장 넓은 단면.

이와 같이 최근 AMD가 특히 보안 중심 데이터 센터 시장에서 Intel의 시장 점유율을 빼앗는 데 성공한 것은 연구자들이 잠재적인 보안 격차를 찾기 위해 AMD의 아키텍처에 더 눈을 돌리게 될 것입니다. AMD는 또한 Hertzbleed 및 Take A Way와 함께 소프트웨어 재코딩이 필요한 Meltdown-esque 변종을 포함하여 최근 몇 가지 다른 새로운 취약점을 공개했습니다.

일부 프로세서에는 아직 완화가 없는 것으로 나타나므로 여러 목록에 대해 AMD와 후속 ​​조치를 취하고 있습니다. 또한 가능한 성능 불이익에 대해 자세히 알아보고자 합니다.