Categories: Cloud

AMD will 13 CPU-Sicherheitslücken beheben

AMD wird in den kommenden Wochen Updates für die 13 Sicherheitslücken in seinen Ryzen- und Epyc-Prozessoren bereitstellen, die die Sicherheitsfirma CTS Labs kürzlich offengelegt hat. Laut AMDs Chief Technology Officer Mark Papermaster sollen die Patches die Leistung der Prozessoren nicht negativ beeinflussen – ein Problem, dass bei den Fixes für die Prozessor-Lücken Meltdown und Spectre auftrat.

AMD Ryzen-CPU mit integrierter VGA-GPU.
(Bild: AMD)

“Jeder der genannten Fehler kann durch einen Firmware-Patch oder ein Standard-BIOS-Update behoben werden, welche wir in den kommenden Wochen veröffentlichen werden”, erklärte die AMD-Sprecherin Sarah Youngbauer. “Wir glauben, dass das ein gutes Beispiel dafür ist, warum es ein 90-Tage-Fenster für solche Offenlegungen gibt.”

Youngbauer spielt damit auf die Umstände an, unter denen die 13 Lücken bekannt wurden. CTS Labs ging nämlich weniger als 24 Stunden, nachdem es AMD über seine Forschungsergebnisse informiert hatte, mit den Schwachstellen an die Öffentlichkeit – ohne jedoch irgendwelche technischen Details zu nennen, die zu einer Gefährdung von Nutzern führen könnten.

Ausgewähltes Whitepaper

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Das Vorgehen löste kontroverse Diskussionen in der Sicherheits-Community aus. CTS Labs wurde zwischenzeitlich sogar vorgeworfen, es habe die Anfälligkeiten nur veröffentlicht, um Einfluss auf den AMD-Aktienkurs zu nehmen. Auch das von den Lücken ausgehende Risiko wurde in Frage gestellt.

Der namhafte Forscher Alex Ionescu betonte jedoch in der vergangenen Woche, dass die “Design- und Implementierungsfehler” echt seien. Sie ließen sich zwar nur von Nutzern missbrauchen, die bereits über Administratorrechte verfügten, allerdings gäben sie Angreifern Zugriff auf den sicheren Bereich der CPU, der normalerweise auch für Administratoren unzugänglich sei. Ähnlich ernsthafte Folgen bestätigte auch Papermaster. “Jedem Angreifer mit nicht autorisierten Administratorrechten würde eine Vielzahl an Angriffen zur Verfügung stehen, die weit über die in diesem Forschungsbericht beschriebenen Exploits hinausgehen.”

AMD betonte indes, dass es sich nicht um Hardwarefehler handelt, sondern um Fehler in der Software, die in der Hardware implementiert sei. Somit sei es möglich, sie mit BIOS-Updates zu patchen. Die Forscher von CTS Labs waren jedoch davon ausgegangen, dass die Entwicklung von Patches mehrere Monate in Anspruch nehme und einige Hardware-Bugs nicht zu beseitigen seien.

Gerüchte um mögliche Aktienkursmanipulationen im Zusammenhang mit der Offenlegung der 13 Anfälligkeiten erhielten zuletzt durch einen Bericht von Motherboard neue Nahrung. Demnach lag der Investmentfirma Viceroy Research schon eine Woche vor der Offenlegung gegenüber AMD eine Kopie der Forschungsergebnisse von CTS Labs vor. Viceroy soll sogar Versuche eingeräumt haben, mit dem Bericht den Kurs der AMD-Aktie zu drücken. CTS Labs bestreitet indes jegliche Verbindungen zu Viceroy. Allerdings ist Yaron Luk-Zilberman, CFO und Mitgründer von CTS Labs, ein ehemaliger Hedge-Fonds-Manager.

Tipp: Wie gut kennen Sie sich mit Prozessoren aus? Überprüfen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

Ausgewähltes Whitepaper

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Martin Schindler

Martin Schindler schreibt nicht nur über die SAPs und IBMs dieser Welt, sondern hat auch eine Schwäche für ungewöhnliche und unterhaltsame Themen aus der Welt der IT.

Recent Posts

Echte Security-KI für den OnPrem-Betrieb

Sie heißt LARA. Sie ist eine Security-KI, die sich auf die individuellen Anforderungen von Kunden…

12 Stunden ago

CISA warnt US-Bundesbehörden VMware-Produkte zu patchen oder offline zu nehmen

Im April haben Angreifer VMware-Patches in kürzester Zeit nachgebaut, um RCE-Angriffe zu starten.

1 Tag ago

Hacker können Tesla Model 3, Y mit Bluetooth-Angriff stehlen

Sicherheitsforscher der NCC Group haben ein Tool entwickelt, mit dem ein Bluetooth Low Energy (BLE)-Relay-Angriff…

1 Tag ago

Die 10 häufigsten Angriffsvektoren für das Eindringen in Netzwerke

Gemeinsam von den USA, Kanada, Neuseeland, Niederlande und Großbritannien herausgegebene Empfehlung enthält Anleitungen zur Eindämmung…

1 Tag ago

Silicon DE Podcast: Frauen in der IT

Frauen sind in der Technologiebranche immer noch unterrepräsentiert. Warum und wie sich das ändern lässt,…

2 Tagen ago

Eternity-Malware-Kit bietet Stealer, Miner, Wurm und Ransomware-Tools

Cyberkriminelle können den neuen Malware-as-a-Service je nach Angriff mit verschiedenen Modulen anpassen.

2 Tagen ago