Google Cloud, AMD Turin işlemcilerindeki üç yanal kanal açığını açıkladı

Google Cloud, beşinci nesil AMD EPYC (Turin) işlemcilerini kullanan sanal makine serilerinde üç farklı yanal kanal açığı tespit edildiğini ve bu açıkların veri sızdırmasına yol açabileceğini açıkladı. Şirket, sanal makine arası ve host ile sanal makine arasındaki olası saldırılara karşı korumaların hâlihazırda uygulandığını, ancak sanal makine içindeki farklı süreçler veya çekirdek arasında veri çıkarımlarının engellenmesi için ek adımlar gerektiğini bildirdi.
Etkilenen makine serileri arasında C4D, N4D, H4D, Z4D ve G4 yer alıyor; C4D ve Z4D'nin bare-metal (çıplak metal) örnekleri de bu kapsamda. Sorumluluk sahiplerinin bu açıklar nedeniyle bir istismar tespit edip etmediğine dair resmi bir veri bulunmuyor, ancak açığın niteliği ve etki alanı üzerine çalışılıyor.

Tespit Edilen Yanal Kanal Açıkları ve Teknik Kökenleri​

Google Cloud'un raporu, söz konusu üç açığın da "Geçici Zamanlayıcı Saldırıları" (Transient Scheduler Attacks - TSA) sınıfına girdiğini ortaya koyuyor. Bunlardan ikisi olan CVE-2024-36350 (TSA-SQ) ve CVE-2024-36357 (TSA-L1), daha önce duyurulan ve önceki nesil EPYC işlemcilerinde de gözlemlenen açıklardır. AMD'nin açıklamasına göre yeni Zen 5 mimarisi, bu iki açığa karşı "önceki AMD işlemcilerden farklı şekilde" etkilenebiliyor.
Üçüncü ve en güncel açığın ise CVE-2026-0004 olarak bilinen TSA-Fill (TSA-Fill) açığı olduğu ve bu açığın, aynı işlemciye erişimi olan bir saldırganın işlemcinin L1 veri önbelleğindeki diğer süreçlere ait verileri çıkarabilmesine izin verebileceği belirtiliyor. Xen Project'in de dikkat çektiği üzere, AMD'nin daha önceki "Zen 5'in bu açığa duyarlı olmadığı" yönündeki ifadesi düzeltilmiş durumda.

Google Cloud Müşterilerinin Uygulaması Gereken Adımlar​

Şirketin güvenlik bültenine göre, standart sanal makine kullanan müşteriler, işletim sistemlerini yayan tedarikçilerin yayımladığı yamaları kurmalı ve ardından sanal makineyi "stop-start" döngüsüne tabi tutmalıdır. Bu adım kritik önem taşıyor, çünkü yalnızca guest işletim sistemini yeniden başlatmak yamanın etkinleşmesi için yeterli değil. Sanal makine raporlama mekanizması güncellendikten sonra bu işlem gerçekleştirilebilmekte. Bare-metal (çıplak metal) sanal makine kullanan işletmeler ise kendi işletim sistemleri veya sanallaştırma katmanlarının üzerine tedarikçi yamalarını uygulamalı. GKE platformu için Turin tabanlı bare-metal düğümlerin güncellenmiş nod imajlarının kullanılması, Cloud Run kullanıcısı olan işletmelerin ise herhangi bir ek işlem yapmaya ihtiyacı bulunmuyor.
Dijital altyapı tarafında, ilgili soruna bir çare olarak Linux çekirdeğinde yayımlanan TSA yamalarının varlığı ve Xen Project'in yayımladığı sanallaştırma katmanı yamaları gibi çözümler de bu sorunun teknik olarak ele alındığını gösteriyor.

Açığın Tehdit Düzeyi ve İstismar Durumu​

Açığın teknik derecelendirmesine binaen, Google'ın riski "Orta" (Medium) olarak sınıflandırdığı görülüyor. Buna karşın AMD, üç açığın tamamının yüksek saldırı karmaşıklığı gerektiren, sınırlı ayrıcalıkla gerçekleştirilebilen yerel saldırı sınıflamasına tabi olduğunu ortaya koyuyor. ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı'nın (CISA) kritik açıkların istismar edildiğine dair tuttuğu "Bilinen İstismar Edilen Kırılganlıklar" (KEV) kataloğunda ise bu üç açığın hâlâ yer almadığı belirtiliyor. Her iki şirket de ilgili bültenlerinde bu açıkların fiilen istismar edildiğine dair kanıt sunmadı.