AMD va patcher les failles pointées par CTS-Labs

Nous vous parlions la semaine dernière des failles de sécurité pointées par la firme israélienne CTS-Labs concernant les Ryzen et les chipsets ASMedia, une annonce réalisée dans des conditions et circonstances assez discutables.

Depuis cette date, nous attendions (impatiemment !) une réponse d'AMD. Le constructeur à (enfin !) communiqué de manière fort brève sur le sujet :

"At AMD, security and the protection of users' data is of the utmost importance. We believe that each of the issues cited can be mitigated through firmware patches and a standard BIOS update, which we plan to release in the coming weeks. These patches and updates are not expected to impact performance."

Pour faire court, le constructeur estime que ces failles (qui requérait pour rappel un accès administrateur) sont corrigeables via des mises à jour de firmware et de BIOS (ce que réfutait CTS-Labs sans explication) qui seront publiés dans les semaines à venir, sans impact de performance.

Une version (à peine) plus détaillée est disponible dans ce billet de blog du constructeur . Les attaques "Masterkey, Ryzelfall et Fallout" qui s'attaquent au PSP (voir le lien tout en haut de cette news pour plus de détails) sont toutes corrigeables d'après AMD via une mise à jour de firmware du PSP. En ce qui concerne la quatrième "famille" de faille, "Chimera", qui s'attaque aux chipsets USB 3.1 ASMedia (utilisés par AMD sur leur southbridge, mais également sur un grand nombre de cartes mères Intel et AMD sous la forme des ASM1042 et ASM1142), AMD dit travailler avec ASMedia pour proposer un correctif adéquat qui sera déployé là aussi via des mises à jour de firmware (par l'intermédiaire d'une MAJ de BIOS).

Aucun mot n'est donné sur d'éventuelles mises à jour des pilotes, on se souvient qu'une grande partie de ces failles reposaient sur l'exploitation de pilotes chipsets/USB, à partir des firmwares, pour compromettre les barrières de protection mémoire (le PSP pour rappel est relativement isolé contrairement à l'Intel ME et ne peut accéder à la mémoire centrale). Il semblerait que, selon le constructeur, le problème puisse être corrigé directement au niveau des firmwares de ces puces, ce qui dans l'absolu est largement préférable (cela évite qu'un système compromis au niveau administrateur puisse l'être plus fortement via l'installation d'un pilote plus ancien).

On attendra donc impatiemment ces mises à jour, annoncées "dans les semaines à venir". En ce qui concerne la faille Chimera qui s'attaque aux puces ASMedia, on espère que ces firmwares seront également déployés pour toutes les cartes mères utilisant ces puces (une écrasante majorité des modèles sur le marché). Cela risque d'être techniquement plus compliqué, et pourrait réclamer une mise à jour de pilotes dans ce cas précis (en général, un BIOS ne met pas à jour les firmwares de puces additionnelles présentes sur la carte mère, à l'inverse du cas des chipsets Ryzen ou le firmware est, on le suppose, capable d'être mis à jour par le BIOS).