AMD waarschuwt voor een ernstige CPU-kwetsbaarheid genaamd SinkClose die meerdere generaties van zijn EPYC-, Ryzen- en Threadripper-processors beïnvloedt. De kwetsbaarheid stelt aanvallers met Kernel-niveau (Ring 0) privileges in staat om Ring -2 privileges te verkrijgen en malware te installeren die bijna ondetecteerbaar wordt.

Ring -2 is een van de hoogste privilege niveaus op een computer, boven Ring -1 (gebruikt voor hypervisors en CPU-virtualisatie) en Ring 0, het privilege niveau gebruikt door de Kernel van een besturingssysteem.

Het Ring -2 privilege niveau is geassocieerd met de System Management Mode (SMM) functie van moderne CPU’s. SMM beheert energiebeheer, hardwarecontrole, beveiliging en andere laag-niveau operaties die nodig zijn voor systeemstabiliteit.

Vanwege het hoge privilege niveau is SMM geïsoleerd van het besturingssysteem om te voorkomen dat het gemakkelijk wordt aangevallen door dreigingsactoren en malware.

SinkClose CPU fout

Gevolgd onder CVE-2023-31315 en met een hoge ernst beoordeeld (CVSS score: 7.5), werd de fout ontdekt door IOActive’s Enrique Nissim en Krzysztof Okupski, die de privilege escalatie aanval ‘Sinkclose’ noemden.

Volledige details over de aanval zullen morgen door de onderzoekers worden gepresenteerd in een DefCon-lezing getiteld “AMD Sinkclose: Universal Ring-2 Privilege Escalation.”

De onderzoekers rapporteren dat Sinkclose bijna 20 jaar onopgemerkt is gebleven en een breed scala aan AMD-chipmodellen beïnvloedt.

De SinkClose kwetsbaarheid stelt aanvallers met Kernel-niveau toegang (Ring 0) in staat om System Management Mode (SMM) instellingen te wijzigen, zelfs wanneer SMM Lock is ingeschakeld. Deze fout zou kunnen worden gebruikt om beveiligingsfuncties uit te schakelen en persistente, vrijwel ondetecteerbare malware op een apparaat te plaatsen.

Ring -2 is geïsoleerd en onzichtbaar voor het OS en hypervisor, dus eventuele kwaadaardige wijzigingen op dit niveau kunnen niet worden gedetecteerd of verholpen door beveiligingstools die op het OS draaien.

Okupski vertelde Wired dat de enige manier om malware geïnstalleerd met SinkClose te detecteren en te verwijderen, zou zijn om fysiek verbinding te maken met de CPU’s met behulp van een tool genaamd een SPI Flash programmer en het geheugen te scannen op malware.

Volgens het advies van AMD zijn de volgende modellen getroffen:

• EPYC 1e, 2e, 3e, en 4e generaties
• EPYC Embedded 3000, 7002, 7003, en 9003, R1000, R2000, 5000, en 7000
• Ryzen Embedded V1000, V2000, en V3000
• Ryzen 3000, 5000, 4000, 7000, en 8000 series
• Ryzen 3000 Mobile, 5000 Mobile, 4000 Mobile, en 7000 Mobile series
• Ryzen Threadripper 3000 en 7000 series
• AMD Threadripper PRO (Castle Peak WS SP3, Chagall WS)
• AMD Athlon 3000 series Mobile (Dali, Pollock)
• AMD Instinct MI300A

AMD verklaarde in zijn advies dat het al mitigaties heeft uitgebracht voor zijn EPYC en AMD Ryzen desktop en mobiele CPU’s, met verdere oplossingen voor embedded CPU’s die later komen.

Werkelijke implicaties en reactie

Kernel-niveau toegang is een vereiste voor het uitvoeren van de Sinkclose aanval. AMD merkte dit op in een verklaring aan Wired, waarbij werd benadrukt hoe moeilijk het is om CVE-2023-31315 in echte scenario’s te exploiteren.

IOActive reageerde echter door te zeggen dat kernel-niveau kwetsbaarheden, hoewel niet wijdverspreid, zeker niet ongebruikelijk zijn in geavanceerde aanvallen, wat waar is op basis van eerdere aanvallen die zijn gedekt door BleepingComputer.

Advanced Persistent Threat (APT) actoren, zoals de Noord-Koreaanse Lazarus groep, gebruiken BYOVD (Bring Your Own Vulnerable Driver) technieken of zelfs zero-day Windows fouten om hun privileges te escaleren en kernel-niveau toegang te verkrijgen.

Ransomwarebendes gebruiken ook BYOVD-tactieken en maken gebruik van aangepaste EDR-killing tools die ze aan andere cybercriminelen verkopen voor extra winst.

De beruchte social engineering specialisten Scattered Spider zijn ook gezien bij het gebruik van BYOVD om beveiligingsproducten uit te schakelen.

Deze aanvallen zijn mogelijk via verschillende tools, van door Microsoft ondertekende drivers, antivirusdrivers, MSI grafische drivers, gebugde OEM drivers en zelfs game anti-cheat tools die kernel-niveau toegang hebben.

Alles bij elkaar genomen, zou Sinkclose een significant bedreiging kunnen vormen voor organisaties die AMD-gebaseerde systemen gebruiken, vooral van door staten gesponsorde en geavanceerde dreigingsactoren, en mag niet worden genegeerd.