Google Cloud cảnh báo ba lỗ hổng CPU AMD Turin có thể rò rỉ dữ liệu giữa các VM
"Google Cloud alerted users to three CPU side-channel flaws (TSA-SQ - CVE-2024-36350, TSA-L1 - CVE-2024-36357, and CVE-2026-0004) affecting AMD Turin processors in their VMs. These flaws could allow data leakage between processes within a VM. Mitigation requires a guest OS patch and a VM stop-and-start, with Google updating CPU information to enable patched kernels."
Ba lỗ hổng side-channel trên CPU AMD Turin có thể cho phép rò rỉ dữ liệu giữa các tiến trình trong cùng một VM. Việc khai thác thành công có thể dẫn đến mất tính bảo mật của dữ liệu.
Việc vá các lỗ hổng này đòi hỏi thời gian dừng hoạt động của VM, có thể gây gián đoạn dịch vụ. Các doanh nghiệp cần cân nhắc chi phí khắc phục so với rủi ro tiềm ẩn.
Google Cloud vừa thông báo về ba lỗ hổng bảo mật (TSA-SQ - CVE-2024-36350, TSA-L1 - CVE-2024-36357, và CVE-2026-0004) trên CPU AMD Turin trong các máy ảo (VM) của họ. Các lỗ hổng này có thể cho phép rò rỉ dữ liệu giữa các tiến trình trong cùng một VM.
Với các doanh nghiệp Việt Nam sử dụng máy ảo trên Google Cloud, việc hiểu rõ và vá các lỗ hổng này là quan trọng để bảo vệ dữ liệu. Google đã áp dụng biện pháp giảm thiểu tấn công giữa các VM và giữa VM với máy chủ. Tuy nhiên, bên trong một VM, kẻ tấn công có thể suy luận dữ liệu từ các tiến trình khác hoặc kernel nếu có quyền thực thi mã trên cùng một nhân CPU.
Các dòng máy bị ảnh hưởng bao gồm C4D, N4D, H4D, Z4D, và G4, bao gồm cả các phiên bản bare-metal của C4D và Z4D. Turin là tên mã của bộ xử lý AMD EPYC thế hệ thứ năm.
AMD cho biết các bộ xử lý Zen 5 (bao gồm Turin) bị ảnh hưởng khác với các bộ xử lý EPYC trước đó. Lỗ hổng CVE-2026-0004 là lỗ hổng mới, cho phép kẻ tấn công suy luận dữ liệu trong bộ nhớ cache L1 của CPU. Dự án Xen đánh giá lỗ hổng mới này là TSA-Fill. Họ cũng sửa lại thông báo trước đó: "AMD trước đây cho rằng CPU Zen5 không bị ảnh hưởng bởi TSA-SQ và TSA-L1."
Google đánh giá mức độ nghiêm trọng của vấn đề là Trung bình. AMD phân loại tất cả ba lỗ hổng là các cuộc tấn công cục bộ với độ phức tạp cao, chỉ yêu cầu quyền hạn thấp, theo thông báo kỹ thuật của họ: https://www.amd.com/en/support/kb/faq/gpu-798 và https://www.amd.com/en/support/kb/faq/gpu-799.
Để khắc phục, khách hàng Google Cloud cần cài đặt bản vá từ nhà cung cấp hệ điều hành. Google sẽ cập nhật thông tin CPU của VM để kích hoạt kernel đã vá. Sau khi cập nhật, cần dừng và khởi động lại VM. Google nhấn mạnh việc chỉ khởi động lại hệ điều hành là không đủ.
Câu hỏi thường gặp
Các lỗ hổng này ảnh hưởng đến những dòng máy nào?
Các dòng máy bị ảnh hưởng bao gồm C4D, N4D, H4D, Z4D, và G4, bao gồm cả các phiên bản bare-metal của C4D và Z4D. Đây là các máy ảo sử dụng CPU AMD Turin.
Khách hàng Google Cloud cần làm gì để khắc phục?
Khách hàng cần cài đặt bản vá từ nhà cung cấp hệ điều hành và dừng, sau đó khởi động lại VM. Google sẽ cập nhật thông tin CPU để kích hoạt kernel đã vá.
Mức độ nghiêm trọng của các lỗ hổng này là gì?
Google đánh giá mức độ nghiêm trọng của vấn đề là Trung bình. AMD phân loại đây là các cuộc tấn công cục bộ với độ phức tạp cao, chỉ yêu cầu quyền hạn thấp.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng Google Cloud nên ưu tiên kiểm tra và áp dụng bản vá cho các VM sử dụng CPU AMD Turin. Điều đáng chú ý là việc dừng và khởi động lại VM là bắt buộc sau khi cập nhật kernel để đảm bảo các biện pháp giảm thiểu được kích hoạt. Các doanh nghiệp nên theo dõi thông báo từ Google Cloud và nhà cung cấp hệ điều hành để có thông tin cập nhật.