Google Cloud-მა გააფრთხილა, რომ AMD Turin-ის CPU-ის სამი ხარვეზით VM-ებში პროცესებს შორის მონაცემების გაჟონვა შეიძლება

Google Cloud-მა გააფრთხილა, რომ სამი Transient Scheduler Attack (TSA) AMD Turin-ზე დაფუძნებულ VM-ებს აზიანებს და VM-ის შიგნით კოდს სხვა პროცესების ან kernel-ის მონაცემების გამოტანის საშუალება შეიძლება მისცეს. კომპანიამ VM-ებს შორის და VM-ებსა და ჰოსტებს შორის შეტევები უკვე შეამსუბუქა; მომხმარებლებმა კი guest OS-ის გამოსწორებები უნდა დააყენონ და დაზარალებული ინსტანციები გააჩერონ და ხელახლა გაუშვან. დაზარალებული სერიებია C4D, N4D, H4D, Z4D და G4, მათ შორის bare-metal C4D და Z4D.

რაზე ვრცელდება

Turin AMD-ის მეხუთე თაობის EPYC პროცესორების კოდური სახელია. დაზარალებული სერიებია C4D, N4D, H4D, Z4D და G4, მათ შორის C4D და Z4D bare-metal ინსტანციები. VM-ში ხარვეზებმა შეიძლება იმავე პროცესორის ბირთვზე კოდის მქონე თავდამსხმელს სხვა პროცესების ან kernel-ის მონაცემების გამოტანის საშუალება მისცეს.

სამივე ხარვეზი Transient Scheduler Attack-ია. TSA-SQ (CVE-2024-36350) და TSA-L1 (CVE-2024-36357) პირველად 2025 წლის 8 ივლისს, უფრო ადრეული EPYC პროცესორებისთვის გამჟღავნდა. AMD-ის თქმით, Zen 5-ის პროცესორები, მათ შორის Turin, „ადრე დახასიათებული AMD-ის პროცესორებისგან განსხვავებულად არიან დაზარალებული“. მესამე ხარვეზი, CVE-2026-0004, ახალია და შეიძლება საშუალება მისცეს თავდამსხმელს, რომელსაც სისტემაზე კოდის გაშვება შეუძლია, პროცესორის L1 მონაცემთა cache-იდან მონაცემები გამოიტანოს. Xen Project-მა მას TSA-Fill უწოდა და აღნიშნა, რომ AMD-მ ადრე თქვა: Zen5 CPU-ები TSA-SQ-სა და TSA-L1-ის მიმართ მოწყვლადი არ იყო.

სიმძიმე და ექსპლუატაცია

Google-ი პრობლემას საშუალო დონეს ანიჭებს. AMD-ი სამივეს ახასიათებს როგორც ლოკალურ შეტევას მაღალი სირთულით, რომელიც მხოლოდ დაბალ პრივილეგიებს მოითხოვს. დღეისათვის სამივე CISA-ს KEV კატალოგში არ არის და არც ერთი კომპანია ბიულეტენებში ექსპლუატაციას არ იუწყება.

რა უნდა გააკეთონ Google Cloud-ის მომხმარებლებმა

VM-ებისთვის მომხმარებლებმა OS-ის მწარმოებლის გამოსწორება უნდა დააყენონ, როცა გამოვა. ამ კვირიდან Google-ი განაახლებს იმ CPU-ის ინფორმაციას, რომელსაც VM-ები აცხადებენ, რათა განახლებულმა guest kernel-მა შემამსუბუქებელი ზომები ჩართოს. ამ განახლების VM-ამდე მისვლის შემდეგ მომხმარებლებმა ის უნდა გააჩერონ და ხელახლა გაუშვან; guest OS-ის გადატვირთვა საკმარისი არ არის.

Bare-metal C4D და Z4D მომხმარებლებმა, რომლებიც საკუთარ OS-ს ან ჰიპერვიზორს იყენებენ, მწარმოებლის გამოსწორებები ხელმისაწვდომობისას უნდა გამოიყენონ. VM-ის შიგნით ჰიპერვიზორებზეც იგივე CPU-ის ინფორმაციის განახლება და გაჩერება-გაშვება ვრცელდება. GKE-სთვის Turin-ზე დაფუძნებული bare-metal ინსტანციების განახლებული node-ის იმიჯები ხელმისაწვდომი გახდება; node-ების განახლება CPU-ის ინფორმაციის განახლებას მიიღებს, თუმცა ბიულეტენში ისინი ჯერ ხელმისაწვდომად არ არის მითითებული. Cloud Run-ს ქმედება არ სჭირდება. ძველ Rome, Milan და Genoa პროცესორებზე მომხმარებლებმა იგივე ინსტრუქცია 2025 წლის 8 ივლისის ადრინდელ ბიულეტენში მიიღეს. Google-ი მანამდე არაფერს ჩამოთვლის იმ VM-ებისთვის, რომელთა OS-ის მწარმოებელს გამოსწორება ჯერ არ გამოუშვია, და არ ამბობს, როგორ უნდა გაიგოს მომხმარებელმა, როდის მიაღწია CPU-ის ინფორმაციის განახლებამ VM-ს.

შემამსუბუქებელი ზომების ზოგადი სტატუსი

Linux kernel-ის წყაროს ხეში უკვე არის commit, რომელიც TSA-ს Zen 5-ზე, მათ შორის ახალ ვარიანტზე, ამსუბუქებს. დღეისათვის Debian-ს CVE-2026-0004 Linux kernel-ში მხოლოდ unstable ტოტში აქვს გამოსწორებული, ხოლო უსაფრთხოების ტრეკერი bookworm-ის, trixie-ისა და forky-ის kernel-ებს ჯერ მოწყვლადად ჩამოთვლის. საკუთარ აპარატურაზე Turin სერვერებისთვის AMD-ი ამბობს, რომ სრული შემსუბუქებისთვის პლატფორმის firmware-ის და OS-ის განახლებები საჭიროა; შემსუბუქებამ შეიძლება წარმადობა შეამციროს, ამიტომ ადმინისტრატორებმა დატვირთვების რისკი უნდა აწონ-დაწონონ. Xen Project-მა ჰიპერვიზორის პატჩები გამოაქვეყნა და აცხადებს, რომ Zen 5-ის ყველა TSA ხარვეზის microcode linux-firmware-ში 23 სექტემბრიდან არის.

წყაროები: The Hacker News