Google Cloud แจ้งเตือน 3 ช่องโหว่บน CPU AMD Turin เสี่ยงรั่วไหลข้อมูลข้ามกระบวนการใน VM
ผมขอสรุปรายงานจาก Google Cloud ที่ได้แจ้งเตือนผู้ใช้งานว่า เครื่องเสมือน (VM) บนชิป AMD Turin จำเป็นต้องได้รับการแพตช์ระบบปฏิบัติการฝั่งแขก (Guest OS) พร้อมทั้งทำกระบวนการหยุดและเริ่มการทำงานใหม่ (Stop-and-Start) เพื่อป้องกันช่องโหว่ด้านข้าง (Side-Channel) จำนวน 3 จุดที่อาจทำให้ข้อมูลรั่วไหลครับ
ทาง Google ได้ดำเนินการป้องกันการโจมตีระหว่าง VM รวมไปถึงระหว่าง VM กับตัวโฮสต์เป็นที่เรียบร้อยแล้ว อย่างไรก็ตาม ภายในตัว VM เอง ช่องโหว่เหล่านี้อาจเปิดโอกาสให้ผู้โจมตีที่รันโค้ดอยู่บนหน่วยประมวลผล (Processor Core) เดียวกัน สามารถคาดเดาหรืออนุมานข้อมูลจากกระบวนการอื่น ๆ หรือจากเคอร์เนลได้ครับ
เครื่องที่ได้รับผลกระทบ
ตระกูลเครื่องที่ได้รับผลกระทบ ได้แก่ C4D, N4D, H4D, Z4D และ G4 รวมถึงอินสแตนซ์แบบ Bare-metal ของ C4D และ Z4D โดยคำว่า "Turin" คือชื่อรหัสของโปรเซสเซอร์ AMD EPYC รุ่นที่ 5
ช่องโหว่ทั้งสามรายการจัดอยู่ในประเภท Transient Scheduler Attacks (TSA) โดยสองจุดแรกคือ:
- TSA-SQ (CVE-2024-36350)
- TSA-L1 (CVE-2024-36357) ซึ่งเคยถูกเปิดเผยไปแล้วเมื่อวันที่ 8 กรกฎาคม 2025 สำหรับโปรเซสเซอร์ EPYC รุ่นก่อนหน้า
ทาง AMD ระบุว่าโปรเซสเซอร์ในสถาปัตยกรรม Zen 5 ซึ่งรวมถึง Turin นั้น ได้รับผลกระทบในรูปแบบที่แตกต่างจากรุ่นก่อนหน้า และมีช่องโหว่ใหม่เพิ่มเข้ามาอีกหนึ่งจุดคือ CVE-2026-0004 ซึ่งอาจช่วยให้ผู้โจมตีที่สามารถรันโค้ดบนระบบ สามารถอนุมานข้อมูลภายในแคชข้อมูล L1 ของโปรเซสเซอร์ได้
สิ่งที่ลูกค้า Google Cloud ต้องดำเนินการ
ทาง Google ได้ให้แนวทางปฏิบัติสำหรับแต่ละบริการดังนี้ครับ:
- สำหรับ VM: ให้ติดตั้งแพตช์จากผู้ให้บริการ OS ทันทีเมื่อพร้อม ทาง Google จะเริ่มทยอยอัปเดตข้อมูล CPU ที่ VM รายงาน เพื่อให้เคอร์เนลฝั่งแขกที่แพตช์แล้วสามารถเปิดใช้งานการป้องกันได้ โดยหลังจากอัปเดตส่งถึง VM แล้ว จะต้องทำการ Stop และ Start VM ใหม่ (การรีบูต Guest OS อย่างเดียวจะไม่เพียงพอ)
- สำหรับ Bare-metal: หากคุณใช้งาน OS หรือ Hypervisor บนอินสแตนซ์ C4D หรือ Z4D แบบ Bare-metal ให้รอและนำแพตช์ของผู้ให้บริการมาติดตั้งเมื่อพร้อม
- สำหรับ Hypervisor ภายใน VM: ใช้ขั้นตอนการอัปเดตข้อมูล CPU เช่นเดียวกัน และทำการ Stop และ Start VM หลังจากได้รับการอัปเดตเรียบร้อยแล้ว
- สำหรับ GKE: จะมีการออกอัปเดตโหนดสำหรับอินสแตนซ์ Bare-metal ที่ใช้ Turin ต่อไป
- สำหรับ Cloud Run: ไม่ต้องดำเนินการใด ๆ
สำหรับเซิร์ฟเวอร์ Turin ที่รันบนฮาร์ดแวร์ของท่านเอง ทั้ง AMD และโครงการ Xen แนะนำให้อัปเดตทั้งเฟิร์มแวร์แพลตฟอร์ม (Platform Firmware) และระบบปฏิบัติการควบคู่กันไป เนื่องจากมาตรการบรรเทาผลกระทบอาจส่งผลต่อประสิทธิภาพการทำงาน ผู้ดูแลระบบจึงควรประเมินความเสี่ยงให้เหมาะสมกับภาระงาน (Workload) ของตนเองครับ
#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก
