Google Cloud предупредува на три ранливости во AMD Turin процесорите кои можат да овозможат истекување податоци меѓу процесите во виртуелните машини

За заштита од три пропусти во процесорите AMD Turin, виртуелните машини (VM) на Google Cloud бараат безбедносно ажурирање на гостинскиот оперативен систем и целосно запирање и повторно стартување на виртуелната машина, соопшти Google оваа недела.

Компанијата веќе применила мерки за заштита од напади меѓу виртуелни машини, како и меѓу виртуелните машини и физичкиот хост. Меѓутоа, во рамките на една виртуелна машина, пропустите може да му овозможат на напаѓач кој може да извршува код на истото процесорско јадро да дојде до информации за други процеси или за кернелот на оперативниот систем.

Засегнати се сериите виртуелни машини C4D, N4D, H4D, Z4D и G4, вклучително и bare-metal инстанците од сериите C4D и Z4D. Turin е кодното име за петтата генерација процесори AMD EPYC.

Сите три пропусти припаѓаат на категоријата напади врз привремениот распоредувач на процесорот (Transient Scheduler Attacks – TSA). Два од нив, TSA-SQ (CVE-2024-36350) и TSA-L1 (CVE-2024-36357), првпат беа објавени на 8 јули 2025 година и се однесуваа на претходните генерации процесори EPYC.

AMD сега наведува дека нејзините Zen 5 процесори, во кои спаѓа и Turin, се „засегнати на поинаков начин од претходно анализираните AMD процесори“.

Третиот пропуст, CVE-2026-0004, е новооткриен и може да му овозможи на напаѓач кој може да извршува код на системот да дојде до податоци зачувани во L1 кеш-меморијата на процесорот.

Проектот Xen, кој е одговорен за развој и одржување на хипервизорот Xen, го означува новиот пропуст како TSA-Fill. Исто така, наведува дека е исправена претходна информација: „AMD претходно соопшти дека Zen 5 процесорите не се ранливи на TSA-SQ и TSA-L1“.

Google го оценува ризикот како среден (Medium). Според безбедносното известување на AMD за Zen 5 и известувањето за CVE-2026-0004, AMD ги класифицира сите три пропусти како напади што бараат локален пристап, висока сложеност на изведување и ниско ниво на привилегии.

Заклучно со денес, ниту една од трите ранливости не е вклучена во каталогот KEV на американската Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA), кој ги евидентира познатите активно искористувани ранливости. Ниту Google ниту AMD не пријавиле случаи на нивна злоупотреба во своите безбедносни известувања.

Што треба да преземат корисниците на Google Cloud

Во своето безбедносно известување, Google ги наведува следните чекори за секоја од засегнатите услуги:

– Виртуелни машини (VM): Инсталирајте ја безбедносната исправка штом ќе ја објави производителот на оперативниот систем. Почнувајќи од оваа недела, Google ќе ги ажурира информациите за процесорот што ги добиваат виртуелните машини, со што ажурираниот кернел на гостинскиот оперативен систем ќе може да ги активира заштитните механизми. Откако промената ќе стане достапна за виртуелната машина, потребно е таа целосно да се запре и повторно да се стартува. Како што нагласува Google: „Само рестартирање на гостинскиот оперативен систем не е доволно.“

– Bare-metal инстанци: Доколку користите сопствен оперативен систем или хипервизор на C4D или Z4D bare-metal инстанца, инсталирајте ги исправките од производителот веднаш штом ќе станат достапни.

– Хипервизори во виртуелни машини: Важи истото ажурирање на информациите за процесорот, со цел ажурираните кернели да ги активираат заштитните механизми. По пристигнувањето на ажурирањето, виртуелната машина треба целосно да се запре и повторно да се стартува.

– GKE: Ќе бидат достапни ажурирани системски слики за јазлите што користат bare-metal инстанци базирани на Turin. Со надградбата на јазлите ќе се применат и ажурираните информации за процесорот. Сепак, во моментот на објавување на известувањето, овие ажурирања сè уште не биле наведени како достапни.

– Cloud Run: Не се потребни никакви активности.

Корисниците на постарите генерации процесори Rome, Milan и Genoa добија иста препорака за целосно запирање и повторно стартување на виртуелните машини во претходното безбедносно известување, објавено при првичното откривање на пропустите на 8 јули 2025 година.

Google не наведува дополнителни активности што корисниците треба да ги преземат во меѓувреме доколку производителот на нивниот оперативен систем сè уште нема објавено безбедносна исправка. Исто така, компанијата не објаснува како корисниците можат да проверат дали ажурирањето на информациите за процесорот веќе пристигнало до нивната виртуелна машина.

Во изворниот код на Linux кернелот веќе е вклучена измена што ги ублажува нападите TSA врз Zen 5 процесорите, вклучително и новооткриената варијанта.

Заклучно со денес, Debian ја има вклучено исправката за CVE-2026-0004 во Linux кернелот само во нестабилната гранка на дистрибуцијата. Во нејзиниот безбедносен тракер, кернелите во верзиите bookworm, trixie и forky сè уште се означени како ранливи.

За серверите со Turin процесори што работат на сопствена хардверска инфраструктура, AMD наведува дека за целосно отстранување на пропустите се потребни ажурирања и на фирмверот на платформата и на оперативниот систем. Примената на заштитните мерки може да влијае врз перформансите, па администраторите треба да го проценат ризикот во однос на сопствените работни оптоварувања, според техничките препораки на AMD.

Проектот Xen објави исправки за хипервизорот во своето безбедносно известување. Оттаму наведуваат дека микрокодот за сите TSA пропусти кај Zen 5 процесорите е достапен во пакетот linux-firmware уште од 23 септември.

Извори:

• The Hacker News – Google Cloud Warns Three AMD Turin CPU Flaws Could Leak Data Across Processes in VMs The Hacker News