На этой неделе были обнародованы две атаки, позволяющие злонамеренному хосту читать данные внутри виртуальных машин (ВМ) под защитой AMD SEV-SNP, которые созданы для изоляции оператора сервера. Одна из них, Mior, также может изменять память ВМ и подделывать подписанный отчет, подтверждающий запускаемое программное обеспечение. Обе атаки требуют контроля над гипервизором сервера, а Mior также нуждается в контроле над BIOS сервера. Исследователи продемонстрировали обе атаки в лабораторных тестах на серверных процессорах AMD EPYC.
AMD, производитель процессоров, опубликовала прошивку SEV для Mior и микрокод для Skyfall, оба датированы 12 августа. Компания планирует предоставить производителям серверов прошивку платформы в ноябре для Skyfall и в декабре для Mior, а исправления для встраиваемых чипов — позже. Клиентам рекомендуется получать обновление BIOS от своего производителя серверов.
SEV-SNP обеспечивает конфиденциальные вычисления на серверных процессорах AMD EPYC. Он использует аппаратное шифрование памяти и контроль доступа для защиты ВМ, даже от гипервизора хоста.
Команда ETH Zurich, стоящая за Mior, атаковала SEV-SNP во время его запуска. Во время запуска сопроцессор безопасности на чипе, Platform Security Processor (PSP), заполняет таблицу под названием Reverse Map Table (RMP). RMP записывает, кто владеет каждой страницей памяти и что с ней можно делать.
Команда перенаправила записи PSP в память видеокарты, которую она контролировала, вместо основной памяти. Команда использовала карту, потому что считает, что PSP считывает значения обратно для их проверки, и карта могла их вернуть. Запуск завершился без ошибок, но часть реальной RMP, включая запись, защищающую саму таблицу, осталась неинициализированной.
Это позволило гипервизору переписать защиты RMP. Затем команда включила отладку на конфиденциальной ВМ, у которой она была отключена, и использовала собственные команды отладки PSP для чтения и записи памяти ВМ. Это сработало во всех 1000 попытках в ходе обоих тестовых запусков.
SEV-SNP также измеряет образ программного обеспечения ВМ при ее запуске, а PSP подписывает отчеты об аттестации, включающие это измерение. Во втором тесте команда скопировала измерение безвредной ВМ во вредоносную ВМ, так что отчеты об аттестации вредоносной ВМ описывали безвредный образ вместо него.
Атака требует контроля над гипервизором и BIOS (также называемым UEFI), а также устройства PCIe, такого как видеокарта, согласно документу Mior. Для тестов команда модифицировала BIOS, чтобы оставить настройки маршрутизации памяти чипа разблокированными. «Мы работаем в модели угроз AMD, определенной для SEV-SNP. AMD явно не доверяет UEFI, поэтому злоумышленник может модифицировать UEFI», — заявляют исследователи.
Обычные ВМ уже доверяют своему хосту и его прошивке, поэтому Mior не дает злоумышленнику ничего нового против них, говорит команда.
Команда запустила Mior на одном EPYC 9135, чипе Zen 5. Она считает, что чипы Zen 3 и Zen 4 потенциально затронуты, но не тестировала их, поскольку у нее не было установки, позволяющей изменять их BIOS.
Тесты отладки и аттестации оба работали с включенным шифрованием данных. Эта необязательная функция SEV-SNP не позволяет гипервизору даже читать зашифрованную память ВМ.
Две предыдущие атаки некоторых из тех же исследователей, атака Fabricked и атака RMPocalypse, также повредили RMP при запуске SEV-SNP. Mior — это отдельный недостаток, не связанный с Fabricked и его исправлением, говорит команда. Он также работал на старой прошивке до этого исправления.
Skyfall разработан командой из ETH Zurich и Google. Он основан на Transient Scheduler Attacks (TSA), группе недостатков в процессорах AMD, которые могут утекать данные через время выполнения инструкций. TSA впервые была раскрыта 8 июля 2025 года.
Команда обнаружила, что когда гипервизор намеренно вызывает сбой запуска ВМ, процессор уже закэшировал часть сохраненного состояния ВМ. Эти данные остаются без обычной очистки, и гипервизор может прочитать их через TSA.
Таким образом, команда восстановила значения регистров ВМ и ключ шифрования диска из тестовой ВМ. Для ключа она изменила ядро ВМ, чтобы оно приостановилось в момент, когда ключ находился в регистрах. В реальной атаке, говорит команда, гипервизор может вместо этого использовать технику под названием SEV-Step для пошагового выполнения ВМ, пока ключ не попадет в регистры.
Skyfall также может читать память ВМ, но только три фиксированные строки кэша на целевой странице, со смещениями 0x0c0, 0x380 и 0x3c0. Остальная часть страницы остается недоступной.
Атака требует вредоносного хоста или гипервизора, но без вмешательства в оборудование. Команда протестировала ее на EPYC 7313, чипе Zen 3, а также на чипах EPYC 9124 и 9334, которые являются Zen 4. Утечка на чипах Zen 5 не была продемонстрирована.
Помимо ВМ, команда Skyfall прочитала расшифрованные обновления микрокода на всех трех тестовых чипах. Она также восстановила значения регистров, хранящиеся в памяти System Management Mode (SMM), которую обычно не может прочитать даже ядро операционной системы. Обе эти атаки требуют привилегированного программного обеспечения на машине.
Программный комитет IEEE Symposium on Security and Privacy, принявший документ Skyfall, заявил, что он игнорирует требования реалистичной атаки на ВМ. К ним относятся свободное от другой активности ядро процессора, сбои при запуске ВМ и высокоскоростное чтение счетчиков производительности, а также ВМ, которая не выходит из строя или не превышает время ожидания во время атаки.
AMD отслеживает Mior как CVE-2026-0462 и оценивает его в 5,9 по шкале CVSS 4.0 в бюллетене безопасности. Skyfall отслеживается как CVE-2026-40671, оценка 4,9, во втором бюллетене, который описывает недостаток как раскрытие данных регистров ВМ.
Для Mior компания указывает только SEV-SNP как затронутый, а не более ранние версии SEV и SEV-ES.
Она перечисляет те же пять серверных линеек EPYC для обоих недостатков с этими исправлениями:
Два бюллетеня дают одному и тому же пакету TurinPI_1.0.0.C разные целевые месяцы. Микрокод для Skyfall датирован 12 августа для каждой из этих линеек. Ускоритель Instinct MI300A имеет исправление Skyfall от 21 сентября, а исправления для встраиваемых моделей EPYC ожидаются между январем и апрелем 2027 года.
Команда Mior заявляет, что обновленная прошивка, смягчающая недостаток, уже доступна, а команда Skyfall говорит, что выпущен новый микрокод. В бюллетенях не указано, работают ли эти обновления самостоятельно или только как часть обновлений BIOS, и не указаны обходные пути.
Supermicro, производитель серверов, опубликовал список исправлений BIOS, охватывающий недостатки в десятках своих материнских плат H12, H13 и H14. Те же страницы указывают, что платам также требуется обновление прошивки BMC, и компания все еще тестирует затронутые продукты.
Поскольку исправления реализованы в прошивке хоста, клиенты, арендующие конфиденциальные ВМ, зависят от своего облачного провайдера в плане их установки. Бюллетень, охватывающий Mior, также перечисляет значения TCB (trusted computing base) для аттестации SNP рядом с каждой исправленной версией прошивки. В нем не указано, как владельцы ВМ должны их проверять.
Ни один из бюллетеней не сообщает, использовались ли недостатки в атаках. Обе команды опубликовали код, а код доказательства концепции Mior требует патча BIOS, оставляющего настройки маршрутизации памяти разблокированными.
Проект EDK II присвоил утечке SMM Skyfall CVE-2026-18448 и оценивает ее в 5,6. Бюллетень EDK II от AMD связывает это с отсутствием смягчения последствий TSA в коде прошивки EDK II.
Бюллетень перечисляет чипы EPYC и Ryzen, включая встраиваемые модели, и рекомендует предыдущие смягчения TSA компании плюс патч EDK II, когда он будет доступен.
Для пяти вышеупомянутых серверных линеек EPYC бюллетень перечисляет только этот патч, который ожидается в ноябре. Прошивка платформы с исправлением уже доступна для других чипов, включая модели EPYC 4004 и 4005. Собственный бюллетень проекта EDK II не содержит исправленной версии на сегодняшний день.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
