Hai tấn công Mior và Skyfall có thể đánh cắp dữ liệu từ máy ảo AMD SEV-SNP
"Two new attacks, Mior and Skyfall, allow malicious cloud hosts to potentially steal secrets from AMD SEV-SNP protected VMs. Mior (CVE-2026-0462) exploits vulnerabilities during VM startup to modify memory and forge attestation reports, requiring hypervisor and BIOS control. Skyfall (CVE-2026-40671) leverages Transient Scheduler Attacks to leak data from failed VM starts and potentially microcode updates. AMD has released firmware and microcode updates, with platform firmware planned for November/December."
Các lỗ hổng Mior và Skyfall cho phép kẻ tấn công có quyền truy cập vào dữ liệu nhạy cảm trong máy ảo được bảo vệ bằng SEV-SNP, làm suy yếu đáng kể tính bảo mật của hệ thống.
Các lỗ hổng này có thể gây ra thiệt hại về tài chính và uy tín cho các doanh nghiệp sử dụng dịch vụ cloud hoặc triển khai máy chủ ảo hóa dựa trên AMD EPYC. Việc cập nhật firmware và BIOS là rất quan trọng để giảm thiểu rủi ro.
AMD vừa công bố hai lỗ hổng mới, Mior (CVE-2026-0462) và Skyfall (CVE-2026-40671), cho phép kẻ tấn công có quyền truy cập vào máy ảo (VM) được bảo vệ bằng công nghệ SEV-SNP. SEV-SNP được thiết kế để bảo vệ VM ngay cả khi máy chủ bị xâm nhập.
Mior khai thác lỗ hổng trong quá trình khởi động VM để sửa đổi bộ nhớ và giả mạo báo cáo xác thực. Kẻ tấn công cần kiểm soát cả hypervisor và BIOS để thực hiện thành công. Skyfall lợi dụng các cuộc tấn công Transient Scheduler Attacks (TSA) để rò rỉ dữ liệu từ các VM khởi động thất bại và có thể cả các bản cập nhật microcode.
AMD đã phát hành bản cập nhật firmware cho Mior và microcode cho Skyfall từ ngày 12 tháng 8. Họ lên kế hoạch phát hành firmware nền tảng cho Skyfall vào tháng 11 và Mior vào tháng 12. Khách hàng nên cập nhật BIOS từ nhà cung cấp máy chủ của họ.
Mior tấn công SEV-SNP trong quá trình khởi động, cụ thể là bảng Reverse Map Table (RMP) ghi lại quyền sở hữu và quyền truy cập bộ nhớ. Nhóm nghiên cứu đã chuyển hướng ghi của Platform Security Processor (PSP) đến bộ nhớ card đồ họa, cho phép họ ghi đè các bảo vệ của RMP. Họ cũng có thể đọc và ghi bộ nhớ VM bằng các lệnh gỡ lỗi của PSP.
Skyfall tận dụng các cuộc tấn công TSA để đọc dữ liệu từ VM không khởi động thành công. Khi hypervisor cố tình khiến VM khởi động thất bại, bộ nhớ của VM vẫn được lưu trong bộ nhớ cache. Kẻ tấn công có thể đọc dữ liệu này thông qua TSA. Họ đã khôi phục được các giá trị thanh ghi và khóa mã hóa đĩa từ VM thử nghiệm.
Các cuộc tấn công này ảnh hưởng đến các bộ xử lý AMD EPYC. AMD đánh giá Mior ở mức 5.9 trên thang điểm CVSS 4.0 và Skyfall ở mức 4.9.
Câu hỏi thường gặp
SEV-SNP là gì?
SEV-SNP (Secure Encrypted Virtualization - Secure Nested Paging) là một công nghệ bảo mật của AMD sử dụng mã hóa phần cứng và kiểm soát truy cập để bảo vệ máy ảo, ngay cả khi hypervisor bị xâm nhập.
Mior và Skyfall khác nhau như thế nào?
Mior khai thác lỗ hổng trong quá trình khởi động VM để sửa đổi bộ nhớ và giả mạo báo cáo xác thực, trong khi Skyfall lợi dụng các cuộc tấn công TSA để rò rỉ dữ liệu từ các VM khởi động thất bại.
AMD đã làm gì để khắc phục các lỗ hổng này?
AMD đã phát hành bản cập nhật firmware cho Mior và microcode cho Skyfall. Họ cũng lên kế hoạch phát hành firmware nền tảng cho Skyfall vào tháng 11 và Mior vào tháng 12. Khách hàng nên cập nhật BIOS từ nhà cung cấp máy chủ của họ.
Góc nhìn của Orange Cloud
Theo chúng tôi, các lỗ hổng này đặc biệt đáng chú ý đối với các doanh nghiệp Việt Nam sử dụng dịch vụ cloud hoặc triển khai máy chủ ảo hóa dựa trên AMD EPYC. Việc cập nhật firmware và BIOS là cần thiết để giảm thiểu rủi ro. Điều đáng chú ý là Skyfall còn có thể đọc các bản cập nhật microcode, điều này có thể ảnh hưởng đến tính bảo mật của toàn hệ thống.