AMD é avisada com 24 horas de antecedência sobre falhas no Ryzen e Epyc

Em quanto tempo uma empresa deveria corrigir falhas de segurança antes que elas sejam divulgadas publicamente? Por exemplo, Intel, AMD e ARM sabiam sobre o Meltdown e Spectre desde junho de 2017 — e ainda estão distribuindo patches.

Desta vez, a AMD teve um prazo ainda menor. A empresa de segurança CTS Labs divulgou 13 vulnerabilidades em processadores Ryzen e Epic nesta terça-feira (13), no site amdflaws.com — mas só avisou a fabricante com 24 horas de antecedência.

Dan Guido, da empresa de segurança Trail of Bits, testou as 13 vulnerabilidades — e elas de fato podem ser exploradas. No entanto, ele diz ao Motherboard que isso será um problema para serviços de nuvem e grandes empresas; usuários comuns provavelmente não deveriam se preocupar.

Essas falhas não são fáceis de explorar, porque exigem que o hacker tenha privilégios administrativos. Isso é possível, por exemplo, através de um ataque de phishing para fazer a vítima rodar um programa mal-intencionado.

Dessa forma, o invasor poderia acessar outros computadores na mesma rede, ou instalar malware diretamente no processador — que pode espionar alvos sem ser descoberto, porque não pode ser detectado por antivírus.

A CTS Labs também alega que uma parceira da AMD colocou backdoors em seus processadores. Ela acusa a fabricante taiwanesa ASMedia, subsidiária da ASUSTeK, que recentemente foi multada nos EUA por ignorar vulnerabilidades de hardware em roteadores.

Fonte: Tecnoblog