Kedden több tucat biztonsági közleményt adott ki az Intel, az AMD és az Nvidia, melyek a közelmúltban azonosított biztonsági hibákról tájékoztatták az ügyfeleket.
2025 nyarán két népszerű fájlarchiváló szoftver, a WinRAR és a 7-Zip is komoly biztonsági problémák miatt került reflektorfénybe. A feltárt sérülékenységek lehetővé teszik, hogy a támadók rosszindulatú archívumokkal tetszőleges fájlokat írjanak a célrendszerre, vagy akár kódot futtassanaka felhasználó tudta nélkül.
WinRAR: VE-2025-8088 és CVE-2025-6218
A WinRAR esetében két egymáshoz kapcsolódó, de különálló biztonsági hiba került nyilvánosságra:
Kevés olyan technológiai úttörő akad a történelemben, aki nemcsak a tudományos hozzájárulásával, hanem a személyiségével is maradandót alkotott. Grace Murray Hopper, az informatika egyik legendás alakja, ilyen volt. Az amerikai haditengerészet „szoftveres nagyasszonya” (angolul: The Grand Old Lady of Software) 61 évesen tért vissza az aktív szolgálatba, hogy vezető szerepet vállaljon a COBOL nyelv egységesítésében – és ezzel ismét történelmet írt.
Hat évnyi viszonylagos nyugalom után ismét támadhatóvá váltak az Intel modern processzorai egy új, kritikus biztonsági rés révén. A Branch Privilege Injection (BPI) névre keresztelt sebezhetőséget (CVE-2024-45332 és CVE-2024-43420) a kutatók a Spectre-BTI (Branch Target Injection) típusú oldalsávos támadások új generációjaként azonosították – és ezzel gyakorlatilag visszatértek a 2018-ban felfedezett Spectre sebezhetőségek legsúlyosabb formái.
A Google biztonsági kutatói részletes információkat tettek közzé az "EntrySign" nevű sérülékenységről, amely az összes AMD Zen processzort érinti egészen a Zen 4 generációig.
A Google kutatói jelentést küldtek az AMD-nek, melyben leírták az „AMD mikrokód aláírási ellenőrzés sérülékenységét” (AMD ID: AMD-SB-7033). A sérülékenység lehetővé teszi egy támadó számára, hogy rendszergazdai jogosultsággal aláírás nélküli mikrokód-patcheket töltsön be a CPU-ba. A kutatók demonstrálták, hogy hogyan hamisíthattak aláírásokat tetszőleges mikrokód-patchekhez.
Az AMD nem kapott bejelentést ilyen támadásról működő rendszerekben.
Az Intel kiadta legújabb CPU-mikrokód frissítését, amely több generációra kiterjed, beleértve az Alder Lake, Emerald Rapids, Ice Lake, Raptor Lake, Sapphire Rapids és Sierra Forest platformokat, egészen a Coffee Lake H sorozatig visszamenőleg. A frissítés öt új biztonsági problémát orvosol, valamint számos funkcionális hibát javít.
Az AMD mérnökei újabb javítással frissítik a Linux rendszert a Speculative Return Stack Overflow (SRSO, más néven "Inception") sebezhetőség kezelésére. Ez a javítás a sérülékeny AMD processzorokat érinti, és segít jobb kontrollt biztosítani a SRSO elleni védekezésben.
Az AMD processzorokat érintő SinkClose nevű sebezhetőség közel két évtizeden át rejtve maradt, és lehetőséget biztosít a támadók számára, hogy a legmagasabb jogosultsági szinten, az úgynevezett Ring -2 szinten hajtsanak végre kártékony műveleteket. Ez a cikk részletesen bemutatja a problémát, annak technikai hátterét, valamint a védekezési lehetőségeket.
Manapság nem csak az Intel-nek kell biztonsági szivárgást betömnie. A CacheWarp egy az AMD Epyc első, második és harmadik generációs processzorokban felfedezett biztonsági rés, amely ehetővé teszi a támadók számára, hogy eltérítsék a vezérlést, betörjenek a titkosított VM-ekbe, és jogosultságnövelést hajtsanak végre a VM-en belül. Ez a most fellelt szoftveres hiba az AMD SEV-ES és SEV-SNP alrendszerek ellen irányuló sikeres támadás.
Az elmúlt napokban megismert CPU hibáit (Intel CPU hiba: Downfall és AMD CPU hiba: Inception) javítandó a Linux kernelen dolgozó mérnökök biztonsági frissítéseket tettek közzé az összes támogatott Linux kernel verzióhoz. Ezek a frissítések már valószínűleg elérhetőek a legtöbb GNU + Linux terjesztésben, így érdemes frissíteni. A hibajavítást tartalmazó új kernelverziók:
Az AMD processzorokat nem érinti a Downfall sebezhetőség, bár a nemrég bejelentett INCEPTION sebezhetőséggel (CVE-2023-20569) kell megküzdenie a gyártónak és a felhasználóinak. Az új spekulatív oldalcsatornás támadás minden Zen alapú processzort érint.
A Downfall támadással egy kritikus gyengeséget céloznak meg, amely a személyi és felhőalapú számítógépekben használt modern processzorok milliárdjaiban található. Ez a CVE-2022-40982 néven azonosított sebezhetőség lehetővé teszi, hogy egy felhasználó hozzáférjen és adatokat lopjon más, ugyanazon a számítógépen osztozó további felhasználóktól.
Intel a héten 38 új biztonsági figyelmeztetést tett közzé február óta az első Patch Tuesday keretében. A ma közzétett új hibabejelentések között szerepel a CVE-2023-28410, amely egy i915 Linux kernel grafikus illesztőprogram sebezhetőségét jelenti, és helyi privilégium emelkedéséhez vezethet. Az Intel péntek délután CPU mikrokód-frissítéseket tett közzé az összes támogatott processzorcsalád számára, visszamenőleg a Coffee Lake „Gen 8”-ig, biztonsági frissítésekkel.