חברת אבטחה ישראלית צעירה ועלומה בשם CTS Labs טוענת כי הדור האחרון של מעבדי AMD מדגמי Ryzen לתחנות ולצרכנים פרטיים, ו-EPYC לשרתים, פגיעים להתקפות ועשויים להשפיע על ארגונים וצרכנים.
בממצאים שפרסמה החברה באתר שהקימה בשם AMDFLAWS, אחרי שקוראים הצהרה משפטית מוזרה המסייגת מראש כי זוהי דעתה של החברה ולא בהכרח ממצאים מלאים, החברה טוענת ל-13 פגיעויות שונות במעבדים, המתחלקות לארבעה סוגים: RYZENFALL, MASTERKEY, FALLOUT וכימרה.
לטענת החברה, הפגיעויות עשויות לסייע לתוקפים להרחיב מתקפות בתוך רשת ארגונית (בתנאי שהשיגו הרשאות מנהל), להריץ קוד זדוני (רלוונטי בעיקר לשוק השרתים, אבל גם לחברות המפעילות שירותי ענן) ועד כדי גישה מלאה למערכת – לזיכרון, לציוד ההיקפי ולמידע רגיש המצוי במחשב באזורי הזיכרון השמורים – בדומה לפגיעויות שנמצאו לאחרונה במעבדי אינטל ושזכו לשם Meltdown. עוד טוענת CTS LABS, כי ערכות השבבים של AMD שעוצבו על ידי חברה חיצונית ASMedia, חברת בת של ענקית המחשוב אזוס, מכילות "דלתות אחוריות", וכי ל-ASMedia יש מוניטין רע של אי טיפול בפרצות אבטחה.
עידו נאור, חוקר אבטחה בכיר בצוות המחקר העולמי של חברת קספרסקי שבחן את הממצאים, אומר בראיון לישראל היום כי "AMD עומדים בפני מצב דומה לזה של אינטל. CTS מצאו ארבע חולשות שונות בארבעה מעבדים שונים של AMD, וחלק מהחולשות נמצאו באזורים רגישים של המעבדים שאמורים להיות מוגנים. מדובר בחולשות שיכולות לספק לתוקף לפעול בחשאי בלי שהתקיפה מזוהה על ידי תוכנות אבטחה".
AMD מצדה מסרה בתגובה כי הם חוקרים את הדו"ח, אך גם העלו חששות על הצורה שבה CTS התל אביביים פעלו. "אנחנו חוקרים באופן פעיל ומנתחים את הממצאים שבדו"ח", אמרו ב-AMD. "חברה זו (CTS - .נ.ל.) לא הייתה מוכרת בעבר ל-AMD, ואנחנו סבורים שזה צעד בלתי שגרתי לחברת אבטחה לפרסם את המחקר שלה לתקשורת בלי לאפשר זמן סביר עבורנו לחקור ולהתייחס לממצאים".
נציין, שאכן הנוהל המקובל בקהילת אבטחת המידע הוא קודם לפנות לחברה המדווחת, ולאפשר לה שהות מספקת לתקן את הפרצות לפני פרסום הממצאים – לפי דיווח של WIRED, חברת CTS אפשרה ל-AMD רק 24 שעות כדי לעכל את הממצאים. בנוסף, המסמך הטכני שפרסמו דל בפרטים, ולא אפשר לחוקרים אחרים לשחזר את המתקפות המתוארות, מה שמעלה עוד סימני שאלה לגבי מידת החומרה של הפרצות. גם ההצהרה המשפטית הפותחת באתר שהקימו מעלה חשד למניעים זרים בפרסום. ברם, החברה גם פרסמה הבהרה (PDF) המנסה לתמוך באופן הפעולה הלא שגרתי.
CTS נוסדה ב-2017, על ידי ירון לוק-זילברמן, איליה לוק-זילברמן ועידו לי און. האחרון מכהן כמנכ"ל החברה, ואילו האחים לוק-זילברמן כך נראה, מכהנים כסמנכ"ל כספים וסמנכ"ל טכנולוגיה, בהתאמה. מהביוגרפיות שלהם באתר החברה עולה כי כולם יוצאי 8200 ויחידות עילית אחרות במודיעין.
במענה לשאלותינו ובקשת תגובה, קיבלנו מ-CTS Labs את התגובה הבאה מירון לוק-זילברמן:
"אני מאוד גאה בעבודה שהצוות שלנו עשה. זיהינו פגמים קריטיים במעבדים שעלולים לשים מיליוני צרכנים בסיכון. וידאנו את התוצאות שלנו בהקפדה, גם באופן פנימי, וגם עם אימות מצד שלישי, חברת Trail of Bits. סיפקנו תיאור טכני מלא, והוכחת היתכנות של הפרצות ל-AMD, מיקרוסופט, Dell, HP, סימנטק וחברות אבטחה אחרות. גילוי מלא של הפרטים הטכניים עלול לשים משתמשים בסכנה. אנחנו מצפים לתגובת AMD לממצאים שלנו".