• Ejecute Stop-Zenbleed.ps1 en PowerShell 5.x con permisos de administrador
• El script espera ejecutarse solo en CPUs AMD Zen2 afectadas por Zenbleed. Podría causar problemas inesperados en otros sistemas, tenga cuidado.

Advertencias

• Debe deshabilitar Hyper-V. De lo contrario, el propio sistema operativo Windows se ejecuta en el ring 1 de la CPU y el controlador a nivel de kernel no puede obtener acceso de escritura al MSR. Deshabilitar Hyper-V implica desafortunadamente deshabilitar Credential Guard y Device Guard, dos medidas de seguridad recomendadas. En nuestra opinión, evitar un posible ataque de robo de información a través de JavaScript (la explotación de Zenbleed a través de JavaScript se considera al menos posible según tom's Hardware: https://www.tomshardware.com/news/zenbleed-bug-allows-data-theft-from-amds-zen-2-processors-patches-released) al detener la vulnerabilidad Zenbleed (CVE-2023-20593) supera el riesgo de deshabilitar dos medidas de defensa en profundidad.
• El controlador a nivel de kernel WinRing0 sufre de CVE-2020–14979, una vulnerabilidad de escalada de privilegios local. Ver https://posts.specterops.io/cve-2020-14979-local-privilege-escalation-in-evga-precisionx1-cf63c6b95896 y https://github.com/openhardwaremonitor/openhardwaremonitor/issues/1557. WinRing0 es un controlador a nivel de kernel de código abierto que también es utilizado por otros programas de código abierto como la librería OpenHardwareMonitor. El problema es que el controlador crea un objeto de dispositivo sin una lista de control de acceso, permitiendo así que todos los usuarios locales de Windows se comuniquen con el controlador. Dado que el controlador permite el acceso directo al hardware, es posible una escalada de privilegios a derechos de NT AUTHORITY\SYSTEM. Una solución real requeriría un cambio en el controlador WinRing0 y por lo tanto una nueva firma, lo cual es complicado. La librería OpenHardwareMonitor, como solución alternativa, corrige los derechos de acceso inmediatamente después de cargar el controlador (https://github.com/openhardwaremonitor/openhardwaremonitor/commit/0e435cafc61fe84d429e8a9500d666e34e3de67b). Nuestro script de PowerShell sortea CVE-2020–14979 descargando inmediatamente el controlador después de establecer el chicken bit. Sin embargo, existe una pequeña ventana de oportunidad cada vez que se ejecuta el script. Dado que establecer el chicken bit no es persistente, el script debe ejecutarse en cada reinicio. En nuestro análisis de riesgos, los beneficios de una protección contra Zenbleed (que puede ocurrir de forma remota) nuevamente superan los riesgos de una escalada de privilegios local. Además, recomendamos ejecutar el script lo más temprano posible en el proceso de arranque para limitar la explotabilidad por parte de los procesos de usuario. Realice un análisis de riesgos para su entorno específico antes de implementar el script de PowerShell.
• Esta solución alternativa de software tiene como objetivo ser una solución temporal hasta que AMD corrija el error en sus CPUs.

¿Cómo sé que funciona?

Después de ejecutar nuestro script de PowerShell, el exploit de prueba de concepto (POC) no debería producir más salida.

Derechos de autor

• Stop-Zenbleed.ps1 se proporciona bajo la licencia GNU GPL v3.0: LICENSE
• WinRing0 es © 2007-2009 OpenLibSys.org y se proporciona bajo los siguientes términos: WinRing0/LICENSE