Google Cloud-ը զգուշացնում է՝ AMD Turin CPU-ի երեք թերություն կարող է տվյալներ արտահոսեցնել VM-ներում

Google Cloud-ը զգուշացրել է, որ երեք Transient Scheduler Attack (TSA) ազդում են AMD Turin-ի վրա հիմնված վիրտուալ մեքենաների վրա և կարող են թույլ տալ, որ VM-ի ներսում աշխատող կոդը եզրակացնի տվյալներ այլ պրոցեսներից կամ միջուկից։ Ընկերությունը նշում է, որ արդեն մեղմել է VM-ների միջև և VM-ների ու հոսթերի միջև հարձակումները, մինչդեռ հաճախորդները պետք է կիրառեն հյուր OS-ի շտկումները և կանգնեցնեն ու վերսկսեն ազդված նմուշները։ Ազդված մեքենաների շարքերն են՝ C4D, N4D, H4D, Z4D և G4, այդ թվում՝ C4D և Z4D bare-metal նմուշները։

Ինչն է ազդված

Turin-ը հինգերորդ սերնդի AMD EPYC պրոցեսորների ծածկանունն է։ Ազդված մեքենաների շարքերն են՝ C4D, N4D, H4D, Z4D և G4, այդ թվում՝ C4D և Z4D bare-metal նմուշները։ VM-ի ներսում թերությունները կարող են թույլ տալ, որ նույն պրոցեսորային միջուկում կոդ ունեցող հարձակվողը եզրակացնի տվյալներ այլ պրոցեսներից կամ միջուկից։

Բոլոր երեք թերությունները Transient Scheduler Attacks են։ Դրանցից երկուսը՝ TSA-SQ (CVE-2024-36350) և TSA-L1 (CVE-2024-36357), առաջին անգամ բացահայտվել են 2025 թվականի հուլիսի 8-ին՝ ավելի վաղ EPYC պրոցեսորների համար։ AMD-ն այժմ ասում է, որ իր Zen 5 պրոցեսորները, որոնց մեջ է մտնում Turin-ը, «ազդվում են տարբեր կերպ, քան նախկինում բնութագրված AMD պրոցեսորները»։ Երրորդ թերությունը՝ CVE-2026-0004, նոր է և կարող է թույլ տալ, որ համակարգում կոդ աշխատացնել կարող հարձակվողը եզրակացնի տվյալներ պրոցեսորի L1 տվյալների քեշում։ Xen Project-ը նոր թերությունը կոչում է TSA-Fill և ասում է, որ AMD-ն նախկինում ասել էր, թե Zen5 CPU-ները խոցելի չեն TSA-SQ և TSA-L1 թերությունների նկատմամբ։

Ծանրություն և շահագործում

Google-ը խնդիրը գնահատում է միջին մակարդակի։ AMD-ն բոլոր երեքը դասակարգում է որպես տեղական հարձակումներ՝ բարձր հարձակման բարդությամբ, որոնք պահանջում են միայն ցածր արտոնություններ։ Այսօրվա դրությամբ երեքից ոչ մեկը չկա CISA-ի վարած KEV կատալոգում, և ոչ Google-ը, ոչ AMD-ն իրենց բյուլետեններում շահագործման մասին չեն հայտնում։

Ինչ պետք է անեն Google Cloud-ի հաճախորդները

VM-ների համար հաճախորդները պետք է տեղադրեն իրենց OS մատակարարի շտկումը, երբ այն թողարկվի։ Այս շաբաթվանից Google-ը կթարմացնի CPU-ի այն տեղեկությունը, որը VM-ները հայտնում են, որպեսզի շտկված հյուր միջուկը կարողանա միացնել իր մեղմացումները։ Երբ այդ թարմացումը հասնի VM-ին, հաճախորդները պետք է կանգնեցնեն և վերսկսեն այն. հյուր OS-ի վերաբեռնումը բավարար չէ։

Սեփական OS կամ հիպերվիզոր աշխատացնող bare-metal C4D և Z4D հաճախորդները պետք է կիրառեն մատակարարի շտկումները, երբ դրանք հասանելի լինեն։ VM-ի ներսում գտնվող հիպերվիզորները ենթարկվում են նույն CPU տեղեկության թարմացման և կանգնեցնելու ու վերսկսելու պահանջին։ GKE-ի համար Turin-ի վրա հիմնված bare-metal նմուշների համար թարմացված նոդերի պատկերներ կհասանելի դառնան, և նոդերի թարմացումը կընդունի CPU տեղեկության թարմացումը. այսօրվա դրությամբ բյուլետենը դրանք դեռ հասանելի չի նշում։ Cloud Run-ը գործողություն չի պահանջում։ Rome, Milan և Genoa ավելի հին պրոցեսորներով հաճախորդները նույն կանգնեցնելու և վերսկսելու հրահանգը ստացել են 2025 թվականի հուլիսի 8-ի ավելի վաղ բյուլետենում։ Google-ը VM-ների համար, որոնց OS մատակարարը դեռ շտկում չի թողարկել, միջանկյալ ոչինչ անել չի նշում և չի ասում, թե ինչպես իմանալ, որ CPU տեղեկության թարմացումը հասել է VM-ին։

Ավելի լայն մեղմացման կարգավիճակ

Zen 5-ի վրա TSA-ն մեղմող, այդ թվում նոր տարբերակը, միջուկային կոմիտը գտնվում է Linux միջուկի սկզբնական ծառում։ Այսօրվա դրությամբ Debian-ը CVE-2026-0004-ը շտկել է իր Linux միջուկում միայն unstable ճյուղում, մինչդեռ իր անվտանգության հետևորդը bookworm, trixie և forky միջուկները դեռ խոցելի է նշում։ Հաճախորդի սեփական սարքավորումների վրա գտնվող Turin սերվերների համար AMD-ն ասում է, որ լիարժեք մեղմացման համար անհրաժեշտ են ինչպես պլատֆորմի ֆիրմվերի, այնպես էլ OS-ի թարմացումները. մեղմացումը կարող է ազդել կատարողականի վրա, և ադմինիստրատորները պետք է կշռադատեն իրենց աշխատաբեռների ռիսկը։ Xen Project-ը հրապարակել է հիպերվիզորի կարկատաններ և ասում է, որ Zen 5-ի բոլոր TSA թերությունների միկրոկոդը linux-firmware-ում է սեպտեմբերի 23-ից։

Աղբյուրներ՝ The Hacker News