Une nouvelle vulnérabilité d'escalade des privilèges d'appel SMM affecte les plates-formes AMD.
AMD a révélé mercredi une nouvelle vulnérabilité de sécurité affectant certains processeurs clients et APU lancés entre 2016 et 2019. Appelée la vulnérabilité SMM Callout Privilege Escalation, découverte par Danny Odler, et décrite dans CVE-2020-12890, la vulnérabilité implique un attaquant avec une élévation privilèges système pour manipuler le microcode AGESA encapsulé dans le micrologiciel UEFI de la plate-forme pour exécuter du code arbitraire non détecté par le système d'exploitation. AMD prévoit de publier des mises à jour AGESA qui atténuent la vulnérabilité (sans impact apparent sur les performances), pour les fournisseurs de cartes mères et les OEM d'ici la fin juin 2020. Certaines des dernières plates-formes sont déjà à l'abri de la vulnérabilité.
La déclaration d'AMD est la suivante :
AMD est au courant de nouvelles recherches liées à une vulnérabilité potentielle dans la technologie logicielle AMD fournie aux fabricants de cartes mères pour une utilisation dans leur infrastructure UEFI (Unified Extensible Firmware Interface) et prévoit d'achever la livraison de versions mises à jour conçues pour atténuer le problème d'ici fin juin 2020.
L'attaque ciblée décrite dans la recherche nécessite un accès physique ou administratif privilégié à un système basé sur certains ordinateurs portables AMD ou processeurs intégrés. Si ce niveau d'accès est acquis, un attaquant pourrait potentiellement manipuler l'architecture logicielle encapsulée générique AMD (AGESA) pour exécuter du code arbitraire non détecté par le système d'exploitation.
AMD pense que cela n'affecte que certains processeurs clients et APU intégrés lancés entre 2016 et 2019. AMD a livré la majorité des versions mises à jour d'AGESA à nos partenaires de cartes mères et prévoit de livrer les versions restantes d'ici fin juin 2020.
AMD recommande de suivre les les meilleures pratiques de sécurité pour maintenir les appareils à jour avec les derniers correctifs. Les utilisateurs finaux qui souhaitent savoir si leur système fonctionne sur ces dernières versions doivent contacter leur fabricant de carte mère ou celui de l'équipement/système d'origine.
Nous remercions Danny Odler pour ses recherches en cours sur la sécurité.
AMD
