AMD ha alertado sobre una vulnerabilidad crítica en sus procesadores, denominada SinkClose, que afecta a varias generaciones de chips EPYC, Ryzen y Threadripper. Esta vulnerabilidad permite a los atacantes con privilegios de nivel de kernel (Ring 0) obtener acceso a un nivel de privilegio aún más alto: Ring -2.
Privilegios elevados y el modo de administración del sistema
El nivel de privilegio Ring -2 se encuentra por encima de Ring 1 (usado para hipervisores) y Ring 0, que corresponde al kernel del sistema operativo. Este nivel está asociado con la función System Management Mode (SMM), responsable de gestionar aspectos como el control de hardware, la seguridad y la administración de energía.
El SMM está aislado del sistema operativo para evitar que los atacantes lo modifiquen fácilmente. Sin embargo, la vulnerabilidad SinkClose permite alterar esta configuración incluso cuando el bloqueo de SMM está activado, lo que facilita la instalación de malware prácticamente indetectable.
Detalles sobre la vulnerabilidad
Identificada como CVE-2023-31315 y calificada como de alta gravedad (puntuación CVSS: 7,5), SinkClose fue descubierta por Enrique Nissim y Krzysztof Okupski de IOActive. Los investigadores informaron que esta vulnerabilidad ha estado presente durante casi 20 años y afecta a una amplia gama de modelos de chips AMD.
Los atacantes pueden aprovechar SinkClose para desactivar funciones de seguridad e instalar malware persistente en el dispositivo. Dado que el nivel Ring -2 es invisible para el sistema operativo, las herramientas de seguridad no pueden detectar ni remediar modificaciones realizadas en este nivel.
Modelos afectados
Según el aviso publicado por AMD, los siguientes modelos están afectados:
- EPYC 1.ª, 2.ª, 3.ª y 4.ª generación
- EPYC Embedded 3000, 7002, 7003 y 9003, R1000, R2000, 5000 y 7000
- Ryzen Embedded V1000, V2000 y V3000
- Ryzen series 3000, 5000, 4000, 7000 y 8000
- Ryzen series 3000 Mobile, 5000 Mobile, 4000 Mobile y 7000 Mobile
- Ryzen Threadripper series 3000 y 7000
- AMD Threadripper PRO (Castle Peak WS SP3, Chagall WS)
- AMD Athlon serie 3000 Mobile (Dali, Pollock)
- AMD Instinct MI300A
AMD ha publicado mitigaciones para sus CPU de escritorio y móviles EPYC y Ryzen. Más correcciones se aplicarán posteriormente a las CPU integradas.
Implicaciones reales y respuesta
El acceso a nivel de kernel es un requisito previo para explotar SinkClose, lo que dificulta su uso en escenarios del mundo real. Sin embargo, IOActive ha señalado que las vulnerabilidades a nivel de kernel no son poco comunes en ataques sofisticados.
Los actores de amenazas avanzados, como el grupo norcoreano Lazarus, han utilizado técnicas como BYOVD (traiga su propio controlador vulnerable) o aprovechado fallas de Zero-Day para escalar sus privilegios. También se ha observado que grupos de ransomware emplean herramientas personalizadas para desactivar productos de seguridad.
Estos ataques pueden realizarse mediante diversos medios, incluyendo drivers firmados por Microsoft, drivers anti-virus, drivers gráficos MSI o incluso herramientas anti-cheat en juegos. Aunque el acceso a nivel de kernel no es fácil de obtener, su existencia representa una amenaza potencial para sistemas basados en AMD.
El aviso de AMD subraya la importancia de estar atento a esta vulnerabilidad, especialmente para organizaciones que utilizan hardware AMD y enfrentan amenazas sofisticadas o patrocinadas por el estado.