Dalam sebuah keterangan latar belakang kepada WIRED, AMD menekankan kesulitan dalam mengeksploitasi Sinkclose: Untuk memanfaatkan kerentanannya, seorang peretas harus sudah memiliki akses ke kernel komputer, inti dari sistem operasinya. AMD membandingkan teknik Sinkclose dengan metode untuk mengakses kotak penyimpanan aman bank setelah melewati alarm, penjaga, dan pintu brankas. Nissim dan Okupski menjawab bahwa meskipun mengeksploitasi Sinkclose memerlukan akses tingkat kernel ke mesin, kerentanan seperti itu terungkap di Windows dan Linux hampir setiap bulan. Mereka berpendapat bahwa peretas berstatus negara yang canggih seperti yang mungkin memanfaatkan Sinkclose kemungkinan sudah memiliki teknik untuk mengeksploitasi kerentanan tersebut, yang diketahui atau tidak diketahui. “Orang memiliki eksploitasi kernel sekarang untuk semua sistem ini,” kata Nissim. “Mereka ada dan tersedia untuk penyerang. Ini langkah selanjutnya.” Peneliti IOActive Krzysztof Okupski (kiri) dan Enrique Nissim. Fotografi: Roger Kisby. Teknik Sinkclose Nissim dan Okupski bekerja dengan mengeksploitasi fitur yang tidak jelas dari chip AMD yang dikenal sebagai TClose. (Nama Sinkclose, sebenarnya berasal dari menggabungkan istilah TClose itu dengan Sinkhole, nama eksploitasi Mode Manajemen Sistem sebelumnya yang ditemukan di chip Intel pada tahun 2015.) Pada mesin berbasis AMD, pengaman yang dikenal sebagai TSeg mencegah sistem operasi komputer menulis ke bagian memori yang dilindungi yang seharusnya dicadangkan untuk Mode Manajemen Sistem yang dikenal sebagai Memori Akses Acak Mode Manajemen Sistem atau SMRAM. Namun, fitur TClose AMD, dirancang untuk memungkinkan komputer tetap kompatibel dengan perangkat lama yang menggunakan alamat memori yang sama dengan SMRAM, memetakan ulang memori lain ke alamat-alamat SMRAM tersebut ketika diaktifkan. Nissim dan Okupski menemukan bahwa, hanya dengan tingkat hak istimewa sistem operasi, mereka dapat menggunakan fitur pemetaan ulang TClose itu untuk menipu kode SMM agar mengambil data yang sudah mereka modifikasi, dengan cara yang memungkinkan mereka untuk mengalihkan prosesor dan menyebabkannya menjalankan kode mereka sendiri pada level SMM yang sangat dijaga. “Saya pikir ini adalah bug yang paling kompleks yang pernah saya eksploitasi,” kata Okupski. Nissim dan Okupski, keduanya mengkhususkan diri dalam keamanan kode tingkat rendah seperti firmware prosesor, mengatakan bahwa mereka pertama kali memutuskan untuk menyelidiki arsitektur AMD dua tahun yang lalu, hanya karena mereka merasa itu belum mendapat cukup perhatian dibandingkan dengan Intel, meskipun pangsa pasarnya meningkat. Mereka menemukan kasus tepi TClose kritis yang memungkinkan Sinkclose, kata mereka, hanya dengan membaca dan membaca ulang dokumentasi AMD. “Saya pikir saya membaca halaman di mana kerentanan itu sekitar seribu kali,” kata Nissim. “Dan kemudian pada yang seribu satu, saya menyadarinya.” Mereka memberi tahu AMD tentang kekurangan tersebut pada bulan Oktober tahun lalu, kata mereka, tetapi telah menunggu hampir 10 bulan untuk memberikan AMD lebih banyak waktu untuk mempersiapkan perbaikan. Bagi pengguna yang ingin melindungi diri, Nissim dan Okupski mengatakan bahwa untuk mesin Windows – kemungkinan sebagian besar sistem yang terpengaruh – mereka mengharapkan perbaikan untuk Sinkclose akan diintegrasikan ke dalam pembaruan yang dibagikan oleh pembuat komputer dengan Microsoft, yang akan menyatukannya ke dalam pembaruan sistem operasi masa depan. Perbaikan untuk server, sistem tersemat, dan mesin Linux mungkin lebih fragmentaris dan manual; untuk mesin Linux, itu akan tergantung juga pada distribusi Linux yang diinstal di komputer. Nissim dan Okupski mengatakan bahwa mereka setuju dengan AMD untuk tidak mempublikasikan kode konsep bukti eksploitasi Sinkclose mereka selama beberapa bulan ke depan, untuk memberikan lebih banyak waktu bagi masalah tersebut diperbaiki. Tetapi mereka berpendapat bahwa, terlepas dari upaya oleh AMD atau orang lain untuk meremehkan Sinkclose sebagai terlalu sulit untuk dieksploitasi, itu tidak seharusnya mencegah pengguna untuk segera memperbaiki. Peretas yang canggih mungkin sudah menemukan teknik mereka – atau mungkin menemukan cara untuk melakukannya setelah Nissim dan Okupski menyajikan temuan mereka di Defcon. Bahkan jika Sinkclose memerlukan akses relatif dalam, peringatan peneliti IOActive, tingkat kontrol yang jauh lebih dalam yang ditawarkannya berarti bahwa target potensial tidak boleh menunggu untuk menerapkan perbaikan yang tersedia. “Jika fondasi rusak,” kata Nissim, “maka keamanan untuk seluruh sistem rusak.” Diperbarui jam 9 pagi ET, 9/8/2024: Setelah publikasi artikel ini, AMD memperbarui halaman buletin keamanannya untuk mencantumkan daftar chip yang terpengaruh oleh Sinkclose.
