Los nuevos ataques Mior y Skyfall permiten a los hosts de nube maliciosos robar secretos de las máquinas virtuales AMD SEV-SNP.

Dos ataques revelados esta semana permiten a un host malicioso leer datos dentro de máquinas virtuales (VM) protegidas por AMD SEV-SNP, diseñadas para impedir el acceso del operador del servidor.

Uno de ellos, Mior, también puede modificar la memoria de una VM y falsificar el informe firmado que confirma el software que ejecuta. Ambos requieren el control del hipervisor del servidor, y Mior también necesita el control de la BIOS. Investigadores demostraron la vulnerabilidad de ambos en pruebas de laboratorio con procesadores de servidor AMD EPYC.

AMD, fabricante de los procesadores, ofrece firmware SEV para Mior y microcódigo para Skyfall, ambos con fecha del 12 de agosto. Planea proporcionar a los fabricantes de servidores el firmware de plataforma para Skyfall en noviembre y para Mior en diciembre, y correcciones para chips integrados posteriormente. Se recomienda a los clientes que obtengan la actualización de la BIOS del fabricante de su servidor.

SEV-SNP proporciona computación confidencial a los procesadores de servidor AMD EPYC. Utiliza cifrado de memoria y control de acceso por hardware para proteger una VM, incluso del hipervisor del host.

El equipo de ETH Zurich responsable de Mior atacó SEV-SNP durante su arranque. Durante este proceso, un coprocesador de seguridad del chip, el Procesador de Seguridad de Plataforma (PSP), rellena una tabla denominada Tabla de Mapeo Inverso (RMP). La RMP registra quién es el propietario de cada página de memoria y qué acciones puede realizar con ella.

El equipo redirigió las escrituras del PSP a la memoria de una tarjeta gráfica controlada por este, en lugar de a la memoria principal. Eligieron una tarjeta gráfica porque creían que el PSP leía los valores para verificarlos y que la tarjeta podía devolverlos. El arranque finalizó sin errores, pero parte de la RMP real, incluyendo la entrada que protege la tabla, permaneció sin inicializar.

Esto permitió al hipervisor sobrescribir las protecciones de la RMP. Posteriormente, el equipo habilitó la depuración en una máquina virtual confidencial que la tenía deshabilitada y utilizó los propios comandos de depuración del PSP para leer y escribir en la memoria de la máquina virtual. Esto funcionó en los 1000 intentos realizados en ambas ejecuciones de prueba.

SEV-SNP también mide la imagen del software de una máquina virtual al iniciarse, y el PSP firma informes de certificación que incluyen esta medición. En una segunda prueba, el equipo copió la medición de una máquina virtual inofensiva en una máquina virtual maliciosa, de modo que los informes de certificación de esta última describían la imagen de la máquina virtual inofensiva.