CVE-2025-48517
ŚrednieStreszczenie
Podatność w oprogramowaniu SEV (Secure Encrypted Virtualization) wynika z niewystarczająco szczegółowej kontroli dostępu. Uprzywilejowany użytkownik ze złośliwym hypervisorem może utworzyć maszynę wirtualną SEV-ES z identyfikatorem ASID przeznaczonym dla gości SEV-SNP, co może prowadzić do częściowej utraty poufności danych.
Ocena ryzyka
Ryzyko polega na możliwym wycieku poufnych danych z maszyn wirtualnych SEV-SNP, które są chronione przed dostępem hypervisora. Atakujący może wykorzystać tę lukę do odczytu fragmentów pamięci innych gości, naruszając izolację zapewnianą przez AMD SEV.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez producenta platformy (AMD) dla oprogramowania SEV firmware. Należy również monitorować komunikaty bezpieczeństwa dotyczące aktualizacji mikrokodu i BIOS-u.
Oryginalny opis (angielski, źródło NVD)
Insufficient Granularity of Access Control in SEV firmware could allow a privileged user with a malicious hypervisor to create a SEV-ES guest with an ASID in the range meant for SEV-SNP guests potentially resulting in a partial loss of confidentiality.