Serangan Mior dan Skyfall Bobol VM Rahasia AMD SEV-SNP, Data Bisa Dicuri

Dua serangan baru yang dipublikasikan pekan ini, Mior dan Skyfall, memungkinkan host cloud jahat membaca data di dalam virtual machine (VM) yang dilindungi AMD SEV-SNP. Mior bahkan dapat mengubah memori VM dan memalsukan laporan atestasi bertanda tangan. Keduanya memerlukan kendali atas hypervisor server, dan Mior juga memerlukan kendali atas BIOS server. Peneliti mendemonstrasikan kedua serangan dalam uji laboratorium pada prosesor server AMD EPYC.

Apa Itu SEV-SNP dan Mengapa Serangan Ini Penting

AMD SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) adalah teknologi confidential computing pada prosesor server AMD EPYC. Teknologi ini menggunakan enkripsi memori yang diberlakukan perangkat keras dan kontrol akses untuk melindungi VM, bahkan dari hypervisor host. Dengan kata lain, operator server seharusnya tidak dapat mengintip data yang berjalan di dalam VM pelanggan.

Serangan Mior dan Skyfall meruntuhkan jaminan itu. Tim dari ETH Zurich yang mengembangkan Mior menyerang SEV-SNP saat proses start-up. Pada fase itu, sebuah co-processor keamanan di chip, Platform Security Processor (PSP), mengisi tabel bernama Reverse Map Table (RMP). Tabel ini mencatat siapa pemilik setiap halaman memori dan apa yang boleh dilakukan terhadapnya.

Tim tersebut mengalihkan penulisan PSP ke memori kartu grafis yang mereka kendalikan, bukan ke memori utama. Mereka memakai kartu grafis karena menduga PSP membaca kembali nilai-nilai itu untuk memeriksanya, dan kartu tersebut dapat mengembalikan nilai yang diharapkan. Start-up kemudian selesai tanpa kesalahan, tetapi sebagian RMP asli, termasuk entri yang melindungi tabel itu sendiri, tetap tidak terinisialisasi.

Kondisi itu memungkinkan hypervisor menulis ulang proteksi RMP. Tim kemudian mengaktifkan debugging pada VM rahasia yang sebelumnya menonaktifkannya dan menggunakan perintah debug PSP sendiri untuk membaca dan menulis memori VM. Serangan ini berhasil dalam 1.000 percobaan pada dua sesi uji.

Mior Juga Memalsukan Laporan Atestasi VM

SEV-SNP mengukur citra perangkat lunak VM saat VM dimulai, dan PSP menandatangani laporan atestasi yang memuat pengukuran tersebut. Pada uji kedua, tim menyalin pengukuran VM jinak ke VM berbahaya, sehingga laporan atestasi VM berbahaya menggambarkan citra yang jinak. Ini berarti attestation report yang seharusnya menjamin integritas software justru bisa menyesatkan.

Serangan Mior membutuhkan kendali atas hypervisor dan BIOS (UEFI), ditambah perangkat PCIe seperti kartu grafis. Untuk pengujian, tim memodifikasi BIOS agar pengaturan routing memori chip tetap tidak terkunci. "Kami beroperasi dalam model ancaman AMD yang didefinisikan untuk SEV-SNP. AMD secara eksplisit tidak mempercayai UEFI, sehingga penyerang dapat memodifikasi UEFI," kata para peneliti.

VM biasa sudah mempercayai host dan firmware-nya, sehingga Mior tidak memberikan keuntungan baru bagi penyerang terhadap VM tersebut, menurut tim. Tim menjalankan Mior pada satu EPYC 9135, chip Zen 5. Mereka menganggap chip Zen 3 dan Zen 4 berpotensi terdampak tetapi tidak mengujinya karena tidak memiliki setup yang memungkinkan perubahan BIOS.

Uji debugging dan atestasi keduanya berhasil dengan ciphertext hiding diaktifkan. Fitur opsional SEV-SNP itu mencegah hypervisor bahkan membaca memori VM yang terenkripsi. Dua serangan sebelumnya oleh sebagian peneliti yang sama, Fabricked dan RMPocalypse, juga merusak RMP saat SEV-SNP mulai berjalan. Mior adalah cacat terpisah, tidak terkait Fabricked dan perbaikannya, dan juga berhasil pada firmware lama sebelum perbaikan tersebut.

Skyfall: Membocorkan Data Lewat Instruction Timing

Skyfall berasal dari tim ETH Zurich dan Google. Serangan ini dibangun di atas Transient Scheduler Attacks (TSA), sekelompok cacat pada prosesor AMD yang dapat membocorkan data melalui timing instruksi. TSA pertama kali diungkap pada 8 Juli 2025.

Tim menemukan bahwa ketika hypervisor sengaja membuat VM gagal start, prosesor sudah menyimpan sebagian status VM yang tersimpan. Data itu tertinggal tanpa pembersihan biasa, dan hypervisor dapat membacanya melalui TSA. Dengan cara ini, tim memulihkan nilai register VM yang tersimpan dan kunci enkripsi disk dari VM uji. Untuk kunci tersebut, mereka mengubah kernel VM agar berhenti pada saat kunci berada di register. Dalam serangan nyata, menurut tim, hypervisor dapat menggunakan teknik bernama SEV-Step untuk melangkah melalui VM sampai kunci mencapai register.

Skyfall juga dapat membaca memori VM, tetapi hanya tiga cache line tetap dalam satu halaman yang ditargetkan, pada offset 0x0c0, 0x380, dan 0x3c0. Sisa halaman tetap di luar jangkauan. Serangan ini membutuhkan host atau hypervisor jahat, tetapi tidak perlu manipulasi perangkat keras. Tim mengujinya pada EPYC 7313 (Zen 3) serta EPYC 9124 dan 9334 (Zen 4). Mereka tidak menunjukkan kebocoran pada chip Zen 5.

Di luar VM, tim Skyfall membaca update microcode yang didekripsi pada ketiga chip uji. Mereka juga memulihkan nilai register yang tersimpan di memori System Management Mode (SMM), yang bahkan kernel sistem operasi normalnya tidak dapat membaca. Kedua serangan ini membutuhkan perangkat lunak istimewa di mesin.

Komite program IEEE Symposium on Security and Privacy, yang menerima makalah Skyfall, menilai makalah itu mengabaikan apa yang dibutuhkan serangan realistis terhadap VM. Itu termasuk inti prosesor yang bebas dari aktivitas lain, kegagalan start VM, dan pembacaan performance counter dalam kecepatan tinggi, serta VM yang tidak crash atau timeout selama serangan.

Daftar Prosesor Terdampak dan Jadwal Perbaikan

AMD mencatat Mior sebagai CVE-2026-0462 dengan skor 5,9 pada skala CVSS 4.0 dalam sebuah advisory keamanan. Skyfall dilacak sebagai CVE-2026-40671, dengan skor 4,9, dalam advisory kedua yang menyebut cacat itu mengekspos data register VM. Untuk Mior, perusahaan hanya mencantumkan SEV-SNP sebagai terdampak, bukan versi SEV dan SEV-ES sebelumnya.

AMD mencantumkan lima lini server EPYC yang sama untuk kedua cacat, dengan perbaikan berikut:

• EPYC 7003 (Milan): firmware platform MilanPI-SP3_1.0.0.L ditargetkan Desember; firmware SEV 1.3A.03 (12 Agustus); firmware platform Skyfall MilanPI-SP3_1.0.0.L ditargetkan November.
• EPYC 8004 (Genoa): GenoaPI_1.0.0.K (Desember); SEV 1.3A.4; Skyfall Genoa_100J Patch 3 (November).
• EPYC 8005 (Turin): TurinPI_1.0.0.C (Desember); SEV 1.3A.0A; Skyfall TurinPI_1.0.0.C (November).
• EPYC 9004 (Genoa): GenoaPI_1.0.0.K (Desember); SEV 1.3A.4; Skyfall Genoa_100J Patch 3 (November).
• EPYC 9005 (Turin): TurinPI_1.0.0.C (Desember); SEV 1.3A.0A; Skyfall TurinPI_1.0.0.C (November).

Kedua advisory memberikan paket TurinPI_1.0.0.C bulan target yang berbeda. Microcode untuk Skyfall bertanggal 12 Agustus untuk setiap lini tersebut. Akselelator Instinct MI300A memiliki patch Skyfall bertanggal 21 September, dan perbaikan untuk model EPYC embedded dijadwalkan antara Januari dan April 2027.

Tim Mior menyatakan firmware terbaru yang memitigasi cacat sudah keluar, dan tim Skyfall menyatakan microcode baru telah dirilis. Advisory tidak menyebut apakah pembaruan itu berfungsi sendiri atau hanya sebagai bagian dari pembaruan BIOS, dan tidak mencantumkan workaround. Supermicro, produsen server, telah menerbitkan daftar perbaikan BIOS untuk puluhan motherboard H12, H13, dan H14. Halaman yang sama menyebut board tersebut juga memerlukan pembaruan firmware BMC dan perusahaan masih menguji produk terdampak.

Karena perbaikan diterapkan pada firmware host, pelanggan yang menyewa VM rahasia bergantung pada penyedia cloud untuk memasangnya. Advisory yang mencakup Mior juga mencantumkan nilai TCB (trusted computing base) untuk atestasi SNP di samping setiap versi firmware yang diperbaiki. Tidak dijelaskan bagaimana pemilik VM harus memeriksanya. Kedua advisory tidak menyebut apakah cacat ini telah digunakan dalam serangan. Kedua tim telah mempublikasikan kode, dan kode proof-of-concept Mior membutuhkan BIOS yang ditambal agar pengaturan routing memori tetap tidak terkunci.

Proyek EDK II menetapkan CVE-2026-18448 untuk kebocoran SMM Skyfall dan menilainya 5,6. Buletin EDK II AMD melacaknya ke mitigasi TSA yang hilang dalam kode firmware EDK II. Buletin itu mencantumkan chip EPYC dan Ryzen, termasuk model embedded, dan merekomendasikan mitigasi TSA sebelumnya plus patch EDK II saat tersedia. Untuk lima lini server EPYC di atas, buletin hanya mencantumkan patch tersebut, yang jatuh tempo November. Firmware platform dengan perbaikan sudah tersedia untuk chip lain, termasuk EPYC 4004 dan 4005. Advisory proyek EDK II sendiri tidak mencantumkan versi yang ditambal per hari ini.

Dampak bagi Penyedia Cloud dan Pelanggan VM Rahasia

Serangan ini menyoroti risiko yang melekat pada model confidential computing: jaminan keamanan bergantung pada rantai firmware dan hypervisor yang dikendalikan penyedia cloud. Pelanggan tidak dapat menambal sendiri firmware host. Mereka hanya bisa memeriksa laporan atestasi, itu pun jika tahu nilai TCB yang benar.

Bagi penyedia cloud, prioritasnya adalah memasang firmware platform dan microcode yang tepat. Namun jadwal AMD yang terpisah antara November untuk Skyfall dan Desember untuk Mior berarti akan ada periode di mana sebagian pelanggan masih rentan. Belum lagi ketidakpastian apakah pembaruan SEV firmware dan microcode cukup tanpa pembaruan BIOS dari produsen server.

Peneliti Mior menegaskan serangan mereka beroperasi dalam model ancaman AMD yang menganggap UEFI tidak tepercaya. Artinya, AMD telah mengakui bahwa penyerang dapat memodifikasi UEFI. Pertanyaannya, apakah desain SEV-SNP cukup tangguh menghadapi asumsi itu. Temuan Mior menunjukkan bahwa pada fase start-up, ada celah yang bisa dieksploitasi ketika PSP mengisi RMP.

Skyfall menambah dimensi lain: kebocoran data melalui timing instruksi yang sudah dikenal sejak TSA. Meski komite IEEE menilai serangan ini kurang realistis, fakta bahwa kunci enkripsi disk dan nilai register SMM dapat dipulihkan tetap menjadi peringatan. Serangan ini membutuhkan perangkat lunak istimewa, tetapi hypervisor jahat memang memiliki hak istimewa tersebut.

Langkah berikutnya ada di tangan produsen server dan penyedia cloud. Mereka harus memastikan pembaruan firmware terpasang, dan pelanggan perlu menanyakan status patch. Sementara itu, tim peneliti telah mempublikasikan kode, sehingga risiko eksploitasi meningkat jika patch tertunda.

Analisis Redaksi

Kepercayaan pada confidential computing bertumpu pada asumsi bahwa hypervisor tidak dapat membaca memori VM. Mior dan Skyfall menunjukkan bahwa asumsi itu bisa runtuh, setidaknya di laboratorium. Yang menarik, Mior tidak memerlukan keajaiban fisik; cukup kendali atas hypervisor dan BIOS, ditambah kartu grafis. AMD sendiri telah menyatakan UEFI tidak tepercaya, jadi seharusnya desain SEV-SNP sudah memperhitungkan skenario ini. Fakta bahwa serangan berhasil dalam 1.000 percobaan menunjukkan ada yang salah dalam proses inisialisasi RMP.

Skyfall memang dinilai kurang realistis oleh komite IEEE, tetapi penilaian itu tidak boleh menjadi alasan untuk menunda perbaikan. Kebocoran kunci enkripsi disk dan register SMM adalah jenis data yang paling sensitif. Jika penyerang dapat memicu kegagalan start VM dan membaca sisa status, maka model ancaman perlu diperluas. AMD telah merilis microcode dan firmware, tetapi jadwal yang terpisah dan ketidakjelasan apakah patch bekerja mandiri menciptakan jendela kerentanan.

Bagi pelanggan cloud, pesan utamanya jelas: tanyakan kepada penyedia Anda kapan patch Mior dan Skyfall akan diterapkan. Jangan hanya mengandalkan klaim "confidential computing" di brosur. Keamanan adalah proses, bukan fitur. Peneliti telah melakukan tugas mereka dengan mempublikasikan temuan dan kode. Sekarang giliran industri untuk merespons dengan cepat dan transparan.

Sumber: thehackernews.com, amd.com