AMD bestätigt durch CTS-Labs gefundene Sicherheitslücken

[HWL News Bot]

AMD hat die durch die CTS-Labs veröffentlichten Sicherheitslücken bestätigt. Im gleichen Zuge relativiert man diese aber und spricht davon, dass immer ein Admin-Zugriff auf die Hardware selbst notwendig ist, um die Lücken zu nutzen. Alle Sicherheitslücken sollen innerhalb von Wochen geschlossen werden. Dazu reichen Firmware- und BIOS-Updates aus. Einen Leistungsverlust gibt es laut AMD nicht.Zudem sind offenbar keine der gefundenen Sicherheitslücken spezifisch für die Zen-Architektur. Vielmehr sind der Secure Processor und die im Chipsatz integrierten Komponenten von ASMedia betroffen. Die Sicherheitslücken haben keinerlei Schnittmenge mit Spectre und Meltdown.On March...

... weiterlesen

 

[NasaGTR]

Wie die können innerhalb von wenigen Wochen (vermutlich unter 90 Tagen) gefixt werden? Wie, dann ist die Aktie ja also doch mehr Wert als 0,00 $ und die müssen keine Insolvenz anmelden? Hmmmm das verwundert mich doch jetzt schon ganz schön über Viceroy Research und die davon komplett unabhängigen CTS Labs...


Jetzt mal im ernst, ich hoffe die SEC rückt Viceroy Research auf die Pelle (dann sind die auf einmal 0,00$ Wert und müssen Insolvenz beantragen...)

CTS Labs und deren 3 Mitglieder dürften jetzt auch nicht mehr ernst genommen werden.


Es ist natürlich wichtig das Lücken geschlossen werden egal wie klein sie sind, aber die paar Tausend die AMD für das finden gezahlt hätte waren wohl nicht so viel wie Viceroy Research gezahlt hat...

 

[RAZ0RLIGHT]

Gut wie AMD damit umgegangen ist.

Viceroy sollte man am besten ne dicke Strafe aufbrummen, denn deren Intention war finanziell geprägt.

CTS Labs ist sowieso schon Geschichte, da sie dank ihrer Vorgehensweise sowieso nicht mehr ernst genommen werden.

Außerdem, wie NasaGTR schon angemerkt hat, Lücken sind Lücken und müssen gefixt werden.

 

[Holzmann]

Damit ist auch das Argument von CTS implodiert warum sie AMD nicht vorab informiert haben. Sie sagten ja sie sind der Meinung AMD könne das nicht fixen. Nun passiert das noch bevor eine CVE-Nummer vergeben wurde.

Edit: Die gute und wichtige Nachricht ist, dass die Lücken geschlossen werden können.

 

[fortunes]

So wird aus "Ryzenfall" ein "CTSfail".

Was für Trottel. Ein simples BIOS-Update genügt und fertig. Aber erstmal das Problem an die ganz große Glocke hängen und auf Leerverkäufe warten. Ich hoffe, die bekommen so richtig eins vor's Brett.

 

[iceman84]

Damit ist auch das Argument von CTS implodiert warum sie AMD nicht vorab informiert haben. Sie sagten ja sie sind der Meinung AMD könne das nicht fixen. Nun passiert das noch bevor eine CVE-Nummer vergeben wurde.

Edit: Die gute und wichtige Nachricht ist, dass die Lücken geschlossen werden können.

Ich dachte das hätten Sie, aber nur 24h vorher.

 

[fortunes]

Hier noch ein paar Infos über die "Faker" von CTSLabs:

On AMD Flaws from CTS Labs – DoublePulsar

 

[towa]

Wieso wird eigentlich immer von Sicherheitslücken gesprochen?
Eine Lücke ist etwas, wenn ungewollt Zugriff ermöglicht werden kann. Wenn nun also bereits "Admin-Zugriff" bestehen muss, um diese "Sicherheitslücken" zu nutzen, dann haben wir hier einen Bug oder eine s.g. Lücke die in ihrer nutzbaren Umgebung unnötig zu erwähnen ist; denn wer Admin-Zugriff hat, der kann so viel Dramatischeres anrichten.

 

[iceman84]

Wieso wird eigentlich immer von Sicherheitslücken gesprochen?
Eine Lücke ist etwas, wenn ungewollt Zugriff ermöglicht werden kann. Wenn nun also bereits "Admin-Zugriff" bestehen muss, um diese "Sicherheitslücken" zu nutzen, dann haben wir hier einen Bug oder eine s.g. Lücke die in ihrer nutzbaren Umgebung unnötig zu erwähnen ist; denn wer Admin-Zugriff hat, der kann so viel Dramatischeres anrichten.

Ist halt "ähnlich" wie bei spectre, das Programme mit Admin rechten auf den Speicher von anderen/anderen VM´s zugreifen können was sie normal nicht dürften.
Soweit ich es sehe wird das auch wieder eher Hoster / VM Hostings betreffen als den normalen Nutzer (kann hier aber auch falsch liegen).

 

[Squall2010]

Ist doch schon seit Tagen bekannt, dass man dafür nen Admin-zugriff braucht.

 

[Tazmal29]

Wieso wird eigentlich immer von Sicherheitslücken gesprochen?

weil das für aktivität in Foren sorgt. Bei AMD jetzt vielleicht nicht sooo extrem, aber bei Intel oder gar Nvidia gehts da erstmal richtig ab. Und Aktivität ist das was ein Forum brauch

 

[Holzmann]

weil das für aktivität in Foren sorgt. Bei AMD jetzt vielleicht nicht sooo extrem, aber bei Intel oder gar Nvidia gehts da erstmal richtig ab. Und Aktivität ist das was ein Forum brauch

Du meinst weil der Marktanteil bei AMD so gering?

 

[fortunes]

Ist halt "ähnlich" wie bei spectre, das Programme mit Admin rechten auf den Speicher von anderen/anderen VM´s zugreifen können

Aber das ist nur eine Spectre-Variante - die 2te. In Variante 1 und 3 (Meltdown) braucht man nur User-Rechte:
Sicherheitsrisiko CPU: Was man über Meltdown Spectre wissen muss

Spectre und Meltdown gehen weit über das hinaus, was die jetzigen Lücken "anrichten".

Und Spectre & Meltdown haben ein ganz anderes Ziel.

Bei Spectre & Meltdown kannst du eine VM auf einem fremden Server mieten, einrichten und fremde VMs auslesen.

Bei dem jetzigen Problem musst du Admin des PCs sein, nicht Admin der VM.

 

[Marfy]

Das einzige "sinnreiche" Angriffsszenario welches diese "Sicherheitslücken" gewährleisten, beträfe aus meiner Sicht den Gebraucht-Mainboardhandel:
Ein User flash't mit Admin Rechten ein korrumpiertes BIOS, was dann wieder Wer-Weiss-Was tut.

Dann verkauft er dieses Mainboard auf EBay günstig und der neue Besitzer freut sich, über ein gehacktes Board und merkt es nicht einmal.

Ich bin leider nicht 100%ig im Thema, aber ich denke selbst mit einem korrumpierten BIOS sollte man mit einer Firmware aus sicher Quelle das Problem fixen können. Falls nicht... dann sollte man einfach keine gebrauchten AM4 X370 oder B350 Bretter kaufen (A320 Bretter kauft man ja eh nicht ;-) ). Mehr Gefahren fallen mir da nicht ein.

Die Bedrohungssituation von Innen ist in jeder Firma präsent und wesentlich realer als diese "Sicherheitslücken" welche CTS-Labs gefunden hat.
Wenn man einen Admin in der Firma hat, der einen Malware auf die Platine flasht, dann hat man ein viel größeres Problem, als all die heiße Luft die CTS-Labs verströmt.

Eine Lösung seitens AMD via Firmware Update, habe ich von Anfang an erwartet. Die ganze Angelegenheit wurde viel zu sehr aufgebauscht, um ein möglichst großes Medienecho zu erzeugen. Nur damit eine handvoll "Sicherheitsforscher" bekannt werden.

Traurig... Ich schließe mich den Worten von meinem Vorbild Linus Torvalds an ;-)

Liebe Grüße
Marfy

 

[unl34shed]

Ist halt "ähnlich" wie bei spectre, das Programme mit Admin rechten auf den Speicher von anderen/anderen VM´s zugreifen können was sie normal nicht dürften.
Soweit ich es sehe wird das auch wieder eher Hoster / VM Hostings betreffen als den normalen Nutzer (kann hier aber auch falsch liegen).

Nein, es ist gerade für Server eher uninteressant, da die VM's nicht das BIOS Flashen können und demnach keine Angriffsfläche geboten ist.
Und auch hier wenn der VM Host angegriffen wird und man da Admin rechte erhält, kann man viel mehr scheiß anstellen.