Boletines de seguridad

A continuación, se describen todos los boletines de seguridad relacionados con las VMs confidenciales.

GCP-2025-058

Publicación: 20/10/2025

Descripción

Descripción Gravedad Notas

Se ha descubierto un fallo en la instrucción RDSEED en los procesadores AMD Zen 5 (Turín). Esta instrucción se usa para generar números aleatorios criptográficos. En determinadas condiciones de carga del sistema, las versiones de 16 y 32 bits de RDSEED pueden fallar de forma silenciosa, lo que podría poner en peligro las aplicaciones que dependen de la generación de números aleatorios. Los clientes que usen la versión de 64 bits de RDSEED no se verán afectados.

¿Qué debo hacer?

AMD está investigando la vulnerabilidad.

Es importante tener en cuenta que el kernel de Linux de 64 bits usa la versión segura de 64 bits de la instrucción RDSEED, que proporciona los números aleatorios obtenidos de /dev/[u]random. Esta vulnerabilidad no afecta a esos números aleatorios.

Si tienes código de aplicación que sintetiza números aleatorios por sí mismo mediante la instrucción RDSEED, ten en cuenta que las versiones de 16 y 32 bits de la instrucción no son seguras. La versión de 64 bits de la instrucción es segura.

¿Qué vulnerabilidades se están abordando?

Esta vulnerabilidad permite que un atacante provoque un error silencioso en RDSEED, lo que podría poner en peligro la generación de números aleatorios en las aplicaciones.

Alta

GCP-2025-007

Publicación: 03/02/2025

Descripción Gravedad Notas

Google ha descubierto una vulnerabilidad en las CPUs basadas en AMD Zen que afecta a las instancias de Confidential VM con AMD SEV-SNP habilitado. Esta vulnerabilidad permite que los atacantes con acceso de superusuario en una máquina física pongan en peligro la confidencialidad y la integridad de la instancia de máquina virtual confidencial.

Google ha aplicado correcciones a los recursos afectados, incluido Google Cloud, para proteger a los clientes. Por el momento, no se han encontrado ni se han comunicado a Google pruebas de que se haya explotado la vulnerabilidad.

¿Qué debo hacer?

No hace falta que el cliente realice ninguna acción. Los clientes que quieran verificar la corrección pueden consultar la versión de la base de computación confiable (TCB) en el informe de certificación de su instancia de máquina virtual confidencial con AMD SEV-SNP. Las versiones mínimas que mitigan esta vulnerabilidad son las siguientes:

SNP TCB SVN: 0x18 0d24
tcb_version {
  psp_bootloader_version: 4
  snp_firmware_version: 24 (0x18)
  microcode_version: 219
}

Para obtener más información, consulta el boletín de seguridad de AMD AMD-SB-3019.

Alta

CVE-2024-56161

GCP-2024-046

Publicación: 05/08/2024

Descripción Gravedad Notas

AMD ha notificado a Google 3 nuevas vulnerabilidades de firmware (2 de riesgo medio y 1 de riesgo alto) que afectan a SEV-SNP en las CPUs AMD EPYC de 3.ª generación (Milan) y 4.ª generación (Genoa).

Google ha aplicado correcciones a los recursos afectados, incluido Google Cloud, para proteger a los clientes. Por el momento, no se han encontrado ni se han comunicado a Google pruebas de que se haya explotado la vulnerabilidad.

¿Qué debo hacer?

No hace falta que el cliente realice ninguna acción. Ya se han aplicado correcciones a la flota de servidores de Google.

Para obtener más información, consulta el aviso de seguridad de AMD AMD-SN-3011.

Medio-alto

CVE-2023-31355

CVE-2024-21978

CVE-2024-21980

GCP-2024-009

Publicación: 13/02/2024

Descripción Gravedad Notas

El 13 de febrero del 2024, AMD informó de dos vulnerabilidades que afectaban a SEV-SNP en las CPUs EPYC basadas en los núcleos Zen de tercera generación ("Milan") y de cuarta generación ("Genoa"). Las vulnerabilidades permiten que los atacantes con privilegios accedan a datos obsoletos de los invitados o provoquen una pérdida de integridad de los invitados.

Google ha aplicado correcciones a los recursos afectados, incluido Google Cloud, para proteger a los clientes. Por el momento, no se han encontrado ni se han comunicado a Google pruebas de que se haya explotado la vulnerabilidad.

¿Qué debo hacer?

No hace falta que el cliente realice ninguna acción. Ya se han aplicado correcciones a la flota de servidores de Google para Google Cloud, incluido Compute Engine.

Para obtener más información, consulta el aviso de seguridad de AMD AMD-SN-3007.

Medio

CVE-2023-31346

CVE-2023-31347