Dois ataques divulgados nesta semana permitem que um servidor malicioso leia dados dentro de máquinas virtuais (VMs) protegidas pela tecnologia SEV-SNP (Secure Encrypted Virtualization com Secure Nested Paging, recurso de virtualização criptografada da AMD), desenvolvidas para impedir o acesso do operador do servidor.
Um deles, Mior, também pode modificar a memória de uma VM e forjar o relatório assinado que confirma qual software ela executa. Ambos exigem controle do hipervisor do servidor, e o Mior também precisa controlar a BIOS (também chamada UEFI, interface de firmware unificada extensível). Os pesquisadores demonstraram os dois ataques em testes de laboratório com processadores EPYC da AMD.
A AMD, fabricante dos processadores, lista atualizações de firmware SEV para o Mior e de microcódigo para o Skyfall, ambas datadas de 12 de agosto. A empresa planeja entregar às fabricantes de servidores o firmware da plataforma em novembro, para o Skyfall, e em dezembro, para o Mior, com correções para chips embarcados depois. Os clientes são orientados a obter a atualização da BIOS com o fabricante do servidor.
O SEV-SNP leva computação confidencial aos processadores EPYC. Ele usa criptografia de memória e controle de acesso aplicados pelo hardware para proteger uma VM, inclusive contra o hipervisor do servidor.
A equipe da ETH Zurich por trás do Mior atacou o SEV-SNP durante a inicialização. Nesse processo, um coprocessador de segurança do chip, o processador de segurança da plataforma (Platform Security Processor, PSP), preenche uma tabela chamada tabela de mapeamento reverso (Reverse Map Table, RMP). A RMP registra quem é dono de cada página de memória e o que ela pode fazer com ela.
A equipe redirecionou as gravações do PSP para a memória de uma placa de vídeo sob seu controle, em vez de para a memória principal. Os pesquisadores usaram uma placa porque acreditam que o PSP lê os valores de volta para verificá-los, e a placa poderia devolvê-los. A inicialização então terminou sem erros, mas parte da RMP real, incluindo a entrada que protege a própria tabela, permaneceu não inicializada.
Isso permitiu que o hipervisor reescrevesse as proteções da RMP. A equipe então ativou a depuração em uma VM confidencial que a tinha desativada e usou os próprios comandos de depuração do PSP para ler e gravar a memória da VM. O ataque funcionou em todas as 1.000 tentativas realizadas nas duas rodadas de teste.
O SEV-SNP também mede a imagem de software de uma VM quando ela é iniciada, e o PSP assina relatórios de atestação que incluem essa medição. Em um segundo teste, a equipe copiou a medição de uma VM inofensiva para uma VM maliciosa, de modo que os relatórios de atestação da VM maliciosa descreviam a imagem inofensiva.
O ataque exige controle do hipervisor e da BIOS, além de um dispositivo PCIe (PCI Express), como uma placa de vídeo, segundo o artigo sobre o Mior. Para os testes, a equipe modificou a BIOS para deixar desbloqueadas as configurações de roteamento de memória do chip.
“Operamos dentro do modelo de ameaças definido pela AMD para o SEV-SNP. A AMD desconfia explicitamente da UEFI, portanto um invasor pode modificar a UEFI”, afirmam os pesquisadores.
VMs comuns já confiam no servidor e em seu firmware, por isso o Mior não oferece nada de novo a um invasor contra elas, segundo a equipe.
A equipe executou o Mior em um EPYC 9135, um chip Zen 5. Ela considera que os chips Zen 3 e Zen 4 podem ser afetados, mas não os testou porque não tinha uma configuração que permitisse alterar a BIOS deles.
Os testes de depuração e de atestação funcionaram com a ocultação de texto cifrado (ciphertext hiding) ativada. Esse recurso opcional do SEV-SNP impede que o hipervisor sequer leia a memória criptografada da VM.
Dois ataques anteriores de alguns dos mesmos pesquisadores, o ataque Fabricked e o ataque RMPocalypse, também corromperam a RMP durante a inicialização do SEV-SNP. Segundo a equipe, o Mior é uma falha separada, sem relação com o Fabricked nem com a correção dele. Ele também funcionou em firmwares mais antigos, anteriores a essa correção.
O Skyfall vem de uma equipe da ETH Zurich e do Google. Ele se baseia nos Transient Scheduler Attacks (TSA, ataques ao escalonador transitório), um conjunto de falhas em processadores AMD que podem vazar dados por meio do tempo de execução de instruções. Os TSA foram divulgados pela primeira vez em 8 de julho de 2025.
A equipe descobriu que, quando um hipervisor faz intencionalmente uma VM falhar ao iniciar, o processador já colocou em cache parte do estado salvo da VM. Esses dados ficam para trás sem a limpeza habitual, e o hipervisor pode lê-los por meio dos TSA.
Dessa forma, a equipe recuperou valores de registradores salvos de uma VM e uma chave de criptografia de disco de uma VM de teste. Para obter a chave, a equipe alterou o kernel da VM para pausar no momento em que a chave estava nos registradores. Em um ataque real, segundo os pesquisadores, um hipervisor poderia usar uma técnica chamada SEV-Step para avançar pela VM até que a chave chegue aos registradores.
O Skyfall também consegue ler a memória da VM, mas apenas três linhas de cache fixas em uma página-alvo, nos deslocamentos 0x0c0, 0x380 e 0x3c0. O restante da página continua fora de alcance.
O ataque exige um servidor malicioso ou um hipervisor, mas nenhuma adulteração de hardware. A equipe o testou em um EPYC 7313, um chip Zen 3, e nos chips EPYC 9124 e 9334, que são Zen 4. Não demonstrou o vazamento em chips Zen 5.
Além das VMs, a equipe do Skyfall leu atualizações de microcódigo descriptografadas nos três chips de teste. Também recuperou valores de registradores armazenados na memória do modo de gerenciamento do sistema (System Management Mode, SMM), que nem mesmo o kernel do sistema operacional normalmente consegue ler. Ambos os ataques exigem software privilegiado na máquina.
O comitê de programa do IEEE Symposium on Security and Privacy, que aceitou o artigo sobre o Skyfall, afirmou que o estudo deixa de lado o que um ataque realista contra VMs exigiria. Isso inclui um núcleo de processador livre de outras atividades, falhas repetidas na inicialização de VMs, leituras rápidas de contadores de desempenho e uma VM que não trave nem expire durante o ataque.
Processadores afetados e correções
A AMD cadastra o Mior como CVE-2026-0462 (Common Vulnerabilities and Exposures, identificador padronizado de vulnerabilidades) e lhe atribui nota 5,9 na escala CVSS 4.0 (Common Vulnerability Scoring System, sistema de pontuação de vulnerabilidades) em um comunicado de segurança. Para o vazamento de VMs do Skyfall, a empresa registra CVE-2026-40671, com nota 4,9, em um segundo comunicado que descreve a falha como exposição de dados de registradores de VMs.
No caso do Mior, a empresa lista apenas o SEV-SNP como afetado, e não as versões anteriores SEV e SEV-ES (Secure Encrypted Virtualization e Encrypted State, respectivamente).
Ela lista as mesmas cinco linhas de servidores EPYC para as duas falhas, com as seguintes correções:
Os dois comunicados atribuem ao pacote TurinPI_1.0.0.C datas-alvo diferentes. O microcódigo do Skyfall está datado de 12 de agosto para cada uma dessas linhas. O acelerador Instinct MI300A tem uma correção do Skyfall datada de 21 de setembro, e as correções para modelos EPYC embarcados estão previstas entre janeiro e abril de 2027.
A equipe do Mior afirma que um firmware atualizado que mitiga a falha já está disponível, e a equipe do Skyfall diz que um novo microcódigo foi lançado. Os comunicados não informam se essas atualizações funcionam isoladamente ou apenas como parte das atualizações de BIOS, e não indicam nenhuma solução alternativa.
A Supermicro, fabricante de servidores, publicou uma lista de correções de BIOS que cobre falhas em dezenas de placas-mãe das linhas H12, H13 e H14. As mesmas páginas dizem que essas placas também precisam de uma atualização do firmware do controlador de gerenciamento da placa (Baseboard Management Controller, BMC) e que a empresa ainda testa os produtos afetados.
Como as correções são implementadas no firmware do host, os clientes que alugam VMs confidenciais dependem do provedor de nuvem para instalá-las. O comunicado sobre o Mior também lista, ao lado de cada versão de firmware corrigida, os valores de TCB (base de computação confiável, ou trusted computing base) para a atestação SNP. Ele não diz como os donos das VMs devem verificá-los.
Nenhum dos comunicados informa se as falhas já foram usadas em ataques. As duas equipes publicaram código, e a prova de conceito do Mior exige uma BIOS corrigida que deixe desbloqueadas as configurações de roteamento de memória.
O projeto EDK II atribuiu ao vazamento de SMM do Skyfall o identificador CVE-2026-18448 e lhe deu nota 5,6. O boletim da AMD sobre o EDK II atribui a falha à ausência de mitigações de TSA no código de firmware do EDK II.
O boletim lista chips EPYC e Ryzen, incluindo modelos embarcados, e recomenda as mitigações de TSA que a empresa já havia lançado, além de um patch do EDK II quando estiver disponível.
Para as cinco linhas de servidores EPYC citadas acima, o boletim lista apenas esse patch, previsto para novembro. Firmware de plataforma com a correção já está disponível para outros chips, incluindo os modelos EPYC 4004 e 4005. O comunicado próprio do projeto EDK II não lista nenhuma versão corrigida até o momento.
