AMD 보안취약점 인정, 패치는 현재 준비중

AMD downplays CPU flaw discovery, says hackers would need admin rights anyway

얼마 전, 인텔의 '스펙터'와 유사한 보안취약점이 AMD에서도 발견되었으며, 최근, AMD측은 해당 취약점을 인정하였습니다. 하지만 이번에 발견된 취약점들을 악용하려면 관리자 접근권한이 필요하기 때문에 취약점들이 쉽게 악용되지 않을 것이라고 밝혔습니다. 

AMD는 “이 연구에서 제기 된 모든 이슈는 시스템 관리자 접근 권한이 필요합니다. 권한을 얻으면 사용자가 아무런 제한 없이 시스템에 접근할 수 있기 때문에 모든 폴더나 파일을 삭제, 생성, 수정하거나 세팅을 변경할 수 있게 됩니다. 승인 되지 않은 관리자 권한을 가진 공격자는 이 연구에서 다룬 익스플로잇보다 훨씬 광범위한 공격을 실행할 수 있습니다.”고 밝혔습니다.

하지만 많은 연구원들이 기업의 서버에서 관리자 권한을 얻는 것은 매우 쉽다고 밝혀 AMD의 변명을 일축했습니다.

이 취약점이 공개 된 방식에 대한 논란이 불거진 후, 취약점의 심각성에 대한 분쟁이 시작 되었습니다. 

지난 3월 12일, CTS랩스의 연구원들은 일부 AMD 프로세서에 영향을 미치는 취약점 13개를 공개했습니다. 이 취약점들이 악용 될 경우 공격자들이 AMD 기반 시스템에서 중요 데이터를 훔치고, 악성 코드를 설치할 수 있으며 감염 된 시스템에 대한 전체 접근 권한을 얻을 수 있게 될 수 있습니다. 이 결점으로 인해 취약한 AMD Ryzen, Ryzen Pro, Ryzen Mobile, EPYC 프로세서들을 사용하는 서버, 워크스테이션, 랩탑 컴퓨터 들이 공격에 노출될 수 있습니다.

하지만 연구원들은 AMD측에 상황을 파악하고 패치를 개발할 시간 조차 주지 않았습니다. 연구원들은 AMD측에 취약점에 대해 제보하고 단 24시간 후 취약점을 공개해 사이버 보안 커뮤니티의 큰 반발을 불러일으켰습니다.

치명적인 하드웨어 취약점을 패치하는데는 QA 과정을 고려했을 때 몇 주, 또는 몇 개월이 소요될 수 있습니다. 따라서 연구원들이 급히 이 취약점을 대중에 공개한 행위는 다소 무모했다고 평가됩니다.

하지만 연구원들은 이에 대해 “취약점과 이 취약점이 미치는 영향을 공개하는 가장 좋은 방법은, 취약점 발견 당일 이를 제조사와 대중에 공개하는 것입니다. 그리고 취약점이 수정 되기 전까지는 기술적 상세 정보는 포함하지 않는 것이 좋습니다. 이로써 제조사에는 대중의 압박을 가할 수 있으나, 고객들을 위험에 빠트리지는 않기 때문입니다.”고 밝혔습니다.

AMD는 이번에 공개된 취약점에 대한 패치를 수 주 내로 발표할 것이라고 밝혔습니다.

참고 :

https://hotforsecurity.bitdefender.com/blog/amd-downplays-cpu-flaw-discovery-says-hackers-would-need-admin-rights-anyway-19697.html

http://securityaffairs.co/wordpress/70526/security/amd-flaws-update.html

https://community.amd.com/community/amd-corporate/blog/2018/03/21/initial-amd-technical-assessment-of-cts-labs-research