Los fallos de AMD no representan un riesgo inmediato de explotación, afirma un investigador independiente

Una compañía externa a la que se le pagó para revisar la validez de los recientes fallos de AMD RyzenFall, MasterKey, Fallout y Chimera confirmó que estas vulnerabilidades son reales, pero que los usuarios habituales no deberían entrar en pánico por el momento.

El autor de esta revisión es Trail of Bits, una compañía de ciberseguridad con sede en Nueva York que CTS Labs, la compañía que descubrió los fallos de AMD, contrató y pagó para revisar sus hallazgos.

Los defectos de AMD no son fáciles de explotar

"No existe un riesgo inmediato de explotación de estas vulnerabilidades para la mayoría de los usuarios", dijo Dan Guido, CEO de Trail of Bits.

"Incluso si se publicaran todos los detalles hoy, los atacantes tendrían que invertir importantes esfuerzos de desarrollo para construir herramientas de ataque que utilicen estas vulnerabilidades. Este nivel de esfuerzo está más allá del alcance de la mayoría de los atacantes", agregó.

Guido publicó su evaluación en un informe de ayer, después de la revelación pública polémica y polarizadora de CTS Labs notificando a AMD solo un día antes de hacer públicas sus conclusiones.

Algunos investigadores de seguridad cuestionaron que los fallos de AMD fueran incluso reales, la mayoría sigue creyendo que se trataba de un truco de marketing en un intento por reducir las acciones de AMD.

Las vulnerabilidades son el resultado de fallos de programación simples

Pero Guido ahora ha confirmado que los errores son reales, funcionan según lo anunciado y pudieron replicarlos durante el proceso de auditoría y verificación.

Él dice que las vulnerabilidades "son el resultado de errores de programación simples, límites de seguridad poco claros y pruebas de seguridad insuficientes", y en el nivel teórico son inferiores a los errores Meltdown y Spect que "requirieron técnicas previamente desconocidas y nuevos avances de investigación para descubrir y explotar "

Una explicación simple de los defectos de AMD

Guido también publicó una explicación mucho más simple de los defectos de AMD que cualquier usuario de computadora puede entender, que reproduciremos aquí.

Tres de los errores MasterKey, Fallout y RyzenFall afectan al procesador de seguridad de la plataforma AMD (PSP), un procesador de chip en chip seguro, similar al Intel Managment Engine (ME), que está separado del resto del procesador AMD. A ivel de hardware y generalmente trata con datos seguros como contraseñas, claves de encriptación, etc.

El AMD PSP solo se puede actualizar a través de una actualización de BIOS que está criptográficamente firmada por una clave AMD. La vulnerabilidad MasterKey permite a un atacante eludir el requisito de firma de clave e instalar actualizaciones de BIOS contaminadas que ejecutan código malicioso.

Las vulnerabilidades de RyzenFall y Fallout permiten a los atacantes interactuar con una API dentro de AMD PSP que les da a los hackers el control total de un PC.

La vulnerabilidad de Chimera afecta al conjunto de chips de AMD (componente de la placa base) que gestiona la comunicación entre el procesador, la memoria y los periféricos, lo que permite a los atacantes ejecutar código y transmitir información falsa a otros componentes.

Los defectos no necesitan acceso físico, pero requieren derechos de administrador

Un atacante no necesita estar delante del ordenador de la víctima para explotar ninguno de estos fallos. Un atacante puede aprovechar todos estos fallos si engaña a un usuario para que ejecute un archivo EXE como administrador.

En algunas redes corporativas esto podría ser un problema, ya que los usuarios no tienen acceso a cuentas de administrador. Pero si un atacante puede engañar a un usuario para que ejecute un archivo malicioso, también puede aprovechar uno de los muchos errores de Windows Elevation of Privilege (EoP) disponibles actualmente para obtener derechos de administrador antes de explotar una de las vulnerabilidades de AMD.

Además, hemos visto anteriormente que la mayoría de los usuarios de Windows a menudo utilizan cuentas de administrador como su perfil principal.

No obstante, es debido a esta compleja rutina de explotación en múltiples etapas que Guido no ve ninguno de estos fallos como un peligro, incluso si el código de prueba de concepto se hiciera público en los días o semanas siguientes. Encadenar exploits no es tan fácil como algunas personas piensan, y solo un estado con tiempo y recursos financieros podría usar tales hacks regularmente.

CTS Labs publica "aclaraciones" adicionales

Sin embargo, estos errores son peligrosos cuando se explotan, ya que permiten a los atacantes mantener una presencia en los sistemas infectados incluso después de las instalaciones o las actualizaciones de la BIOS.

"Imagínense una conversación entre un CISO que descubrió que las herramientas que explotan estas vulnerabilidades se usaron en su organización y el CTO/ EO. Como no puede reformatear, limpiar, instalar y deshacerse del malware, ¿qué recomienda? Tirar todos los equipos de AMD?, "Yaron Luk-Zilberman, CTO de CTS Labs público un documento adicional de tres páginas explicando los requisitos de explotación y el impacto de cada uno de los defectos en el sitio web AMDflaws.com.

Por el momento AMD aún no ha respondido a ninguna otra organización de noticias. La única declaración de AMD sobre estos errores se publicó en línea hace dos días cuando la compañía dijo que aún estaba investigando el informe de CTS Labs.

Todavía no está claro si los parches para estas vulnerabilidades requerirán actualizaciones de software o nuevas protecciones a nivel de hardware. Intel dijo que desplegará nuevas CPU con protecciones a nivel de hardware en la segunda mitad de 2018 para los parches Meltdown y Spectre.

Como nota al margen, Guido también dijo que aconsejó a CTS Labs coordinar la divulgación pública de estos errores a través de una organización CERT, consejo que CTS Labs parece haber ignorado y publicado como lo hizo, sin dar tiempo a AMD para prepararse parches.