Google Cloud: AMD Turin CPU-dakı üç qüsur VM-lərdə proseslərarası verilən sızmasına yol aça bilər

Google Cloud xəbərdar edir ki, üç Transient Scheduler Attack (TSA) AMD Turin əsaslı virtual maşınlarına təsir edir və VM daxilində işləyən kodun digər proseslərdən və ya nüvədən verilənləri çıxarış etməsinə imkan verə bilər. Şirkət VM-lər və hostlar arasındakı hücumları artıq yumşaltdığını bildirir, müştərilər isə qonaq ƏS düzəlişlərini tətbiq etməli və təsirlənmiş instansları dayandırıb yenidən başlatmalıdır. Təsirlənmiş maşın seriyalarına C4D, N4D, H4D, Z4D və G4, o cümlədən C4D və Z4D bare-metal instansları daxildir.

Nələr təsirlənir

Turin beşinci nəsil AMD EPYC prosessorlarının kod adıdır. Təsirlənmiş maşın seriyaları C4D, N4D, H4D, Z4D və G4-dür, o cümlədən C4D və Z4D bare-metal instansları. VM daxilində qüsurlar eyni prosessor nüvəsində kod işlədə bilən hücumçunun digər proseslərdən və ya nüvədən verilənləri çıxarış etməsinə imkan verə bilər.

Hər üç qüsur Transient Scheduler Attacks kateqoriyasına aiddir. İkisi, TSA-SQ (CVE-2024-36350) və TSA-L1 (CVE-2024-36357), daha əvvəlki EPYC prosessorları üçün ilk dəfə 2025-ci il iyulun 8-də açıqlanıb. AMD indi Zen 5 prosessorlarının, o cümlədən Turin-in, "əvvəlcə xarakterizə edilmiş AMD prosessorlarından fərqli şəkildə təsirləndiyini" bildirir. Üçüncü qüsur, CVE-2026-0004, yenidir və sistemdə kod işlədə bilən hücumçunun prosessorun L1 verilənlər keşindəki verilənləri çıxarış etməsinə imkan verə bilər. Xen Project yeni qüsura TSA-Fill adını verir və AMD-nin əvvəllər Zen5 CPU-ların TSA-SQ və TSA-L1 qarşısında həssas olmadığını bildirdiyini deyir.

Ciddilik və istismar

Google məsələni Orta (Medium) kimi qiymətləndirir. AMD hər üçünü yalnız aşağı imtiyazlar tələb edən, yüksək hücum mürəkkəbliyinə malik yerli hücumlar kimi təsnif edir. Bu günə qədər hər üçü CISA-nın saxladığı KEV kataloqunda deyil və heç bir şirkət bülletenlərində istismarı bildirmir.

Google Cloud müştərilərinin etməli olduqları

VM-lər üçün müştərilər əməliyyat sistemi satıcısının düzəlişini göndərilən kimi quraşdırmalıdır. Bu həftədən etibarən Google VM-lərin bildirdiyi CPU məlumatını yeniləyəcək ki, yamalanmış qonaq nüvəsi öz yumşaldıcılarını aktivləşdirə bilsin. Həmin yenilənmə VM-ə çatdıqdan sonra müştərilər onu dayandırıb yenidən başlatmalıdır; qonaq əməliyyat sisteminin yenidən başlatılması kifayət deyil.

Öz əməliyyat sistemi və ya hipervizorunu işlədən bare-metal C4D və Z4D müştəriləri satıcı düzəlişlərini mövcud olduqda tətbiq etməlidir. VM daxilindəki hipervizorlar eyni CPU məlumatı yenilənməsi və dayandırıb yenidən başlatma tələbinə əməl edir. GKE üçün Turin əsaslı bare-metal instanslar üçün yenilənmiş node image-ləri təqdim ediləcək və node-ların yenilənməsi CPU məlumatı yenilənməsini götürəcək; bu günə qədər bülleten onları hələ mövcud kimi qeyd etmir. Cloud Run üçün heç bir əməliyyat tələb olunmur. Daha köhnə Rome, Milan və Genoa prosessorlarında olan müştərilər 2025-ci il iyulun 8-dəki daha əvvəlki bülletendə eyni dayandırıb yenidən başlatma təlimatını almışdı. Google əməliyyat sistemi satıcısı hələ düzəliş göndərməyən VM-lər üçün bu arada ediləcək bir şey qeyd etmir və CPU məlumatı yenilənməsinin VM-ə çatdığını necə bilmək barədə məlumat vermir.

Daha geniş yumşaldılma statusu

Zen 5-də, o cümlədən yeni variantda TSA-nı yumşaldan kernel commit Linux kernel mənbə ağacındadır. Bu günə qədər Debian CVE-2026-0004-ü Linux kernelində yalnız unstable branch-də düzəldib, təhlükəsizlik izləyicisi isə bookworm, trixie və forky-dəki kernel-ləri hələ həssas kimi göstərir. Müştərinin öz avadanlığında olan Turin serverləri üçün AMD tam yumşaldılma üçün həm platform firmware, həm də əməliyyat sistemi yenilənmələrinin lazım olduğunu bildirir; yumşaldılma performansa təsir edə bilər və administratorlar iş yüklərinə olan riski qiymətləndirməlidir. Xen Project hipervizor yamaqlarını dərc edib və Zen 5-dəki bütün TSA qüsurları üçün mikrokodun 23 sentyabrdan linux-firmware-də olduğunu bildirir.

Mənbələr: The Hacker News