AMD 에픽 프로세서서 취약점 발견…구글 "문제 심각"
||2025.02.05
[디지털투데이 AI리포터] AMD의 서버 및 임베디드 시스템용 에픽(EPYC) 브랜드의 일부 CPU에서 보안 취약점이 발견됐다고 4일(이하 현지시간) 온라인 매체 기가진이 전했다.
구글 보안팀에 따르면, 해당 CPU는 마이크로코드 업데이트 시 디지털 서명을 검증할 때 안전하지 않은 해시 함수를 사용하고 있는 것으로 나타났다.
로컬 관리자 권한이 필요한 이 공격은 CPU의 마이크로코드를 변경해 모든 작업을 수행할 수 있게 한다. 특히 에픽 시리즈에는 보안 암호화 가상화(SEV)가 있지만, 이 취약점을 악용해 보호를 뚫고 가상 머신 정보를 유출할 수 있다. 취약점의 심각도는 '높음'으로 공통 취약점 평가 시스템(CVSS) 점수는 7.2다.
구글은 에픽 7003(Milan) 및 에픽 9004(Genoa) 시리즈용 개념 증명 코드를 마련했으며, 이를 실행하면 취약한 CPU는 난수 생성 명령인 RDRAND가 고정값 4를 반환하도록 변조된다. 이 코드를 실행하는 데에는 로컬 관리자 권한이 필요하다.
구글은 지난해 9월 AMD에 이 취약점을 통보했으며 AMD는 그 해 12월 수정 패치를 배포했다. 사용자는 인증 리포트 SNP의 TCB 값으로 취약한 호스트인지 확인할 수 있다.
구글 측은 "문제가 심각하며 재구축에 시간이 걸린다"며 3일 기준 일부 정보를 공개하지 않았으며, 다음 달 더 많은 정보와 도구를 공개할 예정이라고 설명했다.
