Hai lỗ hổng bảo mật mới Mior và Skyfall đe dọa các máy ảo AMD SEV-SNP

Các nhà nghiên cứu an ninh mạng vừa tiết lộ hai phương thức tấn công mới có khả năng vượt qua lớp bảo vệ của công nghệ AMD SEV-SNP (Secure Nested Paging). Đây là công nghệ được thiết kế để cô lập máy ảo (VM) khỏi sự can thiệp của chính hypervisor hoặc nhà vận hành server.

Mior: Tấn công vào quá trình khởi động

Được phát hiện bởi nhóm nghiên cứu từ ETH Zurich, Mior là lỗ hổng cho phép kẻ tấn công sửa đổi bộ nhớ của máy ảo và giả mạo báo cáo xác thực (attestation report). Để thực hiện, kẻ tấn công cần kiểm soát được hypervisor và BIOS (UEFI) của server. Bằng cách can thiệp vào quá trình khởi động, cụ thể là đánh lừa bộ xử lý bảo mật (PSP) trong việc thiết lập bảng ánh xạ bộ nhớ (RMP), kẻ tấn công có thể ghi đè lên các cơ chế bảo vệ của máy ảo.

Thử nghiệm cho thấy Mior có thể kích hoạt chế độ gỡ lỗi (debug) trên các máy ảo vốn đã bị vô hiệu hóa tính năng này, từ đó đọc và ghi dữ liệu trực tiếp vào bộ nhớ VM. Lỗ hổng này được định danh là CVE-2026-0462.

Skyfall: Rò rỉ dữ liệu qua bộ nhớ đệm

Trong khi đó, Skyfall là một kỹ thuật tấn công dựa trên các lỗ hổng Transient Scheduler Attacks (TSA). Khi hypervisor cố tình làm gián đoạn quá trình khởi động của máy ảo, bộ vi xử lý có thể để lại dữ liệu nhạy cảm trong bộ nhớ đệm (cache) mà không được xóa sạch. Kẻ tấn công có thể khai thác điều này để trích xuất các giá trị thanh ghi hoặc khóa mã hóa ổ đĩa.

Lỗ hổng này (định danh CVE-2026-40671) không yêu cầu can thiệp phần cứng mà chỉ cần quyền truy cập vào hypervisor. Ngoài ra, một biến thể khác của Skyfall còn cho phép đọc dữ liệu từ bộ nhớ SMM (System Management Mode), nơi lưu trữ các thông tin nhạy cảm của hệ thống.

Khuyến nghị và giải pháp

AMD đã xác nhận các lỗ hổng này ảnh hưởng đến nhiều dòng vi xử lý EPYC. Hãng đã phát hành các bản cập nhật microcode và firmware để khắc phục. Tuy nhiên, vì các bản vá này cần được tích hợp vào BIOS/UEFI, người dùng và các nhà cung cấp dịch vụ cloud cần chủ động cập nhật firmware từ nhà sản xuất server.

Các chuyên gia lưu ý rằng đối với người dùng thuê máy ảo trên cloud, việc bảo mật phụ thuộc hoàn toàn vào tốc độ cập nhật của nhà cung cấp dịch vụ. Người dùng nên kiểm tra các thông báo từ nhà cung cấp hạ tầng để đảm bảo các bản vá mới nhất đã được áp dụng cho môi trường của mình.

Nguồn tham khảo: The Hacker News