Quatre vulnérabilités nouvellement révélées dans les processeurs AMD, y compris les puces EPYC et Ryzen, exposent des systèmes d’entreprise aux attaques de canaux secondaires. Crowdsstrike met en garde contre les risques critiques malgré les notes de gravité plus faibles d’AMD.
AMD a divulgué quatre nouvelles vulnérabilités de processeur qui pourraient permettre aux attaquants de voler des données sensibles à des systèmes d’entreprise grâce à des attaques de canaux latéraux basés sur le timing. Les vulnérabilités, désignées AMD-SB-7029 et connues sous le nom d’attaques de planificateur transitoire, affectent une large gamme de processeurs AMD, y compris les puces EPYC de centre de données et les processeurs Ryzen d’entreprise.
La divulgation a immédiatement déclenché une controverse de l’évaluation de la gravité, la principale entreprise de cybersécurité, CrowdStrike classant les défauts clés comme menaces «critiques» malgré les propres notes de gravité moyenne et faible d’AMD. Ce désaccord met en évidence les défis croissants auxquels les entreprises sont confrontées lors de l’évaluation des risques de sécurité au niveau du processeur.
La société a commencé à publier des mises à jour du micrologiciel d’initialisation de la plate-forme aux fabricants d’équipements d’origine tout en coordonnant avec les fournisseurs de systèmes d’exploitation sur des atténuations complètes.
Les attaques de synchronisation exploitent les fonctionnalités d’optimisation du processeur
Les vulnérabilités ont émergé de l’étude d’AMD sur un rapport de recherche Microsoft intitulé «Entrer, sortir, défaut de page, fuite: tester les limites d’isolement pour les fuites microarchitecturales». AMD a découvert ce qu’il appelle «des attaques de planificateur transitoires liées au synchronisation d’exécution des instructions dans des conditions microarchitecturales spécifiques».
Ces attaques exploitent les «faux compléments» dans les opérations de processeur. Lorsque les CPU s’attendent à ce que les instructions de chargement se terminent rapidement mais que les conditions empêchent la réussite, les attaquants peuvent mesurer les différences de synchronisation pour extraire des informations sensibles.
« Dans certains cas, un attaquant peut être en mesure d’utiliser ces informations de synchronisation pour déduire les données d’autres contextes, entraînant une fuite d’informations », a déclaré AMD dans son bulletin de sécurité.
AMD a identifié deux variantes d’attaque distinctes que les entreprises doivent comprendre. TSA-L1 attaque les erreurs de cible dans la façon dont le cache L1 gère les recherches de microtag, provoquant potentiellement une charge de données incorrecte que les attaquants peuvent détecter. Les attaques TSA-SQ se produisent lorsque les instructions de chargement récupèrent à tort les données de la file d’attente du magasin lorsque les données requises ne sont pas disponibles, permettant potentiellement l’inférence des informations sensibles des opérations exécutées précédemment, a ajouté le bulletin.
La portée des systèmes affectés présente des défis importants pour les équipes de gestion des patchs d’entreprise. Les processeurs vulnérables incluent les processeurs EPYC de 3e et 4e génération alimentant l’infrastructure de centre de données cloud et local, les processeurs de la série Ryzen déployés dans les environnements de poste de travail d’entreprise et les processeurs mobiles d’entreprise prenant en charge les arrangements de travail à distance et hybride.
Crowdsstrike augmente la classification des menaces malgré les scores CVSS
Alors que la DMLA évalue les vulnérabilités comme une gravité moyenne et faible en fonction des exigences de complexité des attaques, Crowdstrike les a indépendamment classés comme menaces d’entreprise critiques. La société de sécurité a spécifiquement signalé CVE-2025-36350 et CVE-2025-36357 en tant que «vulnérabilités de divulgation d’informations critiques dans les processeurs AMD», malgré les deux scores CVSS de seulement 5,6.
Selon l’évaluation des menaces de Crowdsstrike, ces vulnérabilités «affectant respectivement la file d’attente des magasins et la file d’attente de données L1 permettent aux attaquants locaux authentifiés avec de faibles privilèges d’accéder aux informations sensibles par le biais d’attaques de planificateur transitoire sans nécessiter une interaction utilisateur.»
Cette évaluation reflète l’évaluation des risques axée sur l’entreprise qui examine les réalités opérationnelles au-delà de la complexité technique. La combinaison de faibles exigences de privilèges et aucune interaction utilisateur rend ces vulnérabilités particulièrement concernant les environnements où les attaquants peuvent déjà avoir acquis un accès initial au système via des logiciels malveillants, des compromis de la chaîne d’approvisionnement ou des menaces d’initiés.
La méthodologie de classification de Crowdsstrike semble peser le potentiel d’escalade des privilèges et de contournement des mécanismes de sécurité plus fortement que les conditions techniques. Dans les environnements d’entreprise où les acteurs de menace sophistiqués atteignent régulièrement l’accès au système local, la capacité d’extraire des informations au niveau du noyau sans interaction utilisateur représente un risque opérationnel significatif quelle que soit la complexité initiale de l’attaque.
Microsoft coordonne la réponse de la vendeur croisée
Selon CrowdStrike, «Microsoft a inclus ces vulnérabilités AMD dans le guide de mise à jour de sécurité car leur atténuation nécessite des mises à jour Windows. Les dernières constructions Windows permettent des protections contre ces vulnérabilités.»
La réponse coordonnée reflète la complexité de la sécurité des processeurs moderne, où les vulnérabilités nécessitent souvent des mises à jour simultanées entre le micrologiciel, les systèmes d’exploitation et les couches potentiellement hyperviseurs. L’implication de Microsoft démontre comment les défauts de sécurité au niveau du processeur nécessitent de plus en plus de coordination à l’échelle de l’écosystème plutôt que des solutions à vendeur unique.
Microsoft et AMD évaluent l’exploitation comme «moins probable», avec Crowdstrike notant «il n’y a aucune preuve de divulgation publique ou d’exploitation active pour le moment». L’entreprise de sécurité a comparé ces défauts aux «vulnérabilités de contournement de magasin spéculatives» précédentes qui ont affecté les processeurs, suggérant que les modèles d’atténuation établis peuvent être adaptés aux nouveaux vecteurs d’attaque.
La stratégie d’atténuation d’AMD implique ce que l’entreprise décrit comme des versions du micrologiciel d’initialisation de la plate-forme qui abordent les vulnérabilités de synchronisation au niveau du processeur. Cependant, la protection complète nécessite des mises à jour correspondantes du système d’exploitation qui peuvent introduire des considérations de performances pour les déploiements d’entreprise.
Implications de l’entreprise au-delà du score traditionnel
L’évaluation Crowdsstrike fournit un contexte supplémentaire pour les équipes de sécurité des entreprises qui naviguent dans la complexité des vulnérabilités au niveau du processeur. Bien que le score CVSS traditionnel se concentre sur les vecteurs d’attaque technique, les entreprises de sécurité des entreprises comme Crowdstrike considèrent souvent des risques opérationnels plus larges lors de la classification des menaces.
Le fait que ces attaques ne nécessitent que des «faibles privilèges» et du travail «sans nécessiter d’interaction utilisateur» les rend particulièrement concernant les environnements d’entreprise où les attaquants peuvent déjà avoir acquis un accès initial par d’autres moyens. La classification critique de Crowdstrike reflète la réalité selon laquelle les acteurs de menace sophistiqués réalisent régulièrement les conditions locales d’accès dont ces vulnérabilités ont besoin.
L’évaluation de Microsoft selon laquelle «il n’existe aucun code d’exploitation connu non disponible» assure une réconfort temporaire, mais l’historique de la sécurité de l’entreprise démontre que le code de preuve de concept émerge souvent rapidement après des divulgations de vulnérabilité.
Les vulnérabilités de la TSA coïncident également avec des problèmes de sécurité des processeurs plus larges. Semblables aux attaques précédentes des canaux latéraux comme Spectre et Meltdown, ces défauts exploitent les caractéristiques fondamentales d’optimisation du processeur, ce qui les rend particulièrement difficiles à résoudre sans compromis de performance.
