Résumé exécutif
Des chercheurs de l’ETH Zurich ont découvert une vulnérabilité critique baptisée RMPocalypse, affectant les garanties de confidentialité et d’intégrité fournies par la technologie AMD Secure Encrypted Virtualization with Secure Nested Paging (SEV-SNP). Cette faille permet à un attaquant de compromettre l’intégralité de la table RMP (Reverse Map Paging) par une simple écriture de 8 octets en mémoire, anéantissant ainsi toutes les protections du calcul confidentiel. AMD a publié des correctifs pour adresser cette vulnérabilité qui touche l’ensemble de ses processeurs EPYC modernes.
Identification de la vulnérabilité
Identifiant : CVE-2025-0033
Nom de recherche : RMPocalypse
Score CVSS v4 : 5.9 (Moyen)
Type : Condition de concurrence (Race Condition) dans l’initialisation RMP
Découvreurs : Benedict Schlüter et Shweta Shinde (ETH Zurich)
Date de divulgation : Octobre 2025
Site de recherche : https://rmpocalypse.github.io
Contexte technologique : AMD SEV-SNP
Secure Encrypted Virtualization with Secure Nested Paging
AMD SEV-SNP est une technologie de calcul confidentiel conçue pour protéger les machines virtuelles contre les attaques provenant de l’hyperviseur ou d’autres entités privilégiées. Elle vise à garantir :
- Confidentialité : Chiffrement de la mémoire des machines virtuelles
- Intégrité : Protection contre la modification non autorisée des données
- Isolation : Séparation cryptographique entre machines virtuelles et hyperviseur
Architecture de la table RMP
La Reverse Map Table (RMP) constitue un élément central de SEV-SNP :
Définition selon AMD : “La Reverse Map Table (RMP) est une structure résidant dans la DRAM qui mappe les adresses physiques système (sPAs) vers les adresses physiques invités (gPAs). Il n’existe qu’une seule RMP pour l’ensemble du système, configurée via des registres spécifiques au modèle x86 (MSRs).”
Fonctions critiques :
- Mappage des adresses physiques système vers adresses physiques invités
- Stockage des métadonnées de sécurité pour toutes les pages DRAM système
- Gestion des attributs de sécurité via contrôles médiés par matériel et firmware
Initialisation : Le Platform Security Processor (PSP) d’AMD est responsable de l’initialisation de la RMP, une étape cruciale pour activer SEV-SNP sur la plateforme.
Analyse technique de RMPocalypse
Mécanisme de la vulnérabilité
RMPocalypse exploite un défaut de gestion mémoire critique dans la phase d’initialisation de la RMP par le PSP. La vulnérabilité se manifeste par une condition de concurrence (race condition) durant cette initialisation sensible.
Problème fondamental : La paradoxe de sécurité
Le cœur du problème réside dans une situation de type catch-22 :
“Le problème central est un manque de protections adéquates pour le mécanisme de sécurité lui-même. La RMP n’est pas entièrement protégée lorsqu’une machine virtuelle est démarrée, ouvrant effectivement la porte à la corruption de la RMP.”
Fenêtre d’attaque : Durant l’initialisation SEV-SNP, une brève période existe pendant laquelle la RMP elle-même n’est pas protégée contre les accès malveillants, permettant à un attaquant d’écrire directement dans cette structure critique.
Impact d’une écriture de 8 octets
La conception de la RMP amplifie dramatiquement l’impact d’une seule corruption :
“En raison de la conception de la RMP, une seule écrasure de 8 octets au sein de la RMP provoque la compromission ultérieure de l’intégralité de la RMP.”
Effet cascade :
- Corruption initiale : Écriture malveillante de 8 octets durant l’initialisation
- Propagation : Cette corruption unique compromet l’ensemble de la table RMP
- Effondrement des garanties : Toutes les protections d’intégrité de SEV-SNP deviennent caduques
Vecteur d’attaque
Prérequis :
- Accès privilégié administrateur à l’hyperviseur
- Capacité d’exécution de code durant la phase d’initialisation SEV-SNP
- Timing précis pour exploiter la fenêtre de vulnérabilité
Cible : Environnements de cloud computing confidentiel où l’hyperviseur est considéré comme potentiellement hostile ou compromis.
Capacités offensives de l’attaquant
Violations de confidentialité
Avec une RMP compromise, un attaquant peut :
Exfiltration de secrets :
- Taux de réussite : 100% (selon les chercheurs)
- Extraction de toutes les données sensibles des machines virtuelles confidentielles
- Contournement complet du chiffrement mémoire SEV-SNP
Accès aux données protégées :
- Clés cryptographiques
- Données d’authentification
- Informations propriétaires sensibles
- Secrets d’application
Violations d’intégrité
Manipulation de l’exécution :
- Altération arbitraire de l’exécution des machines virtuelles confidentielles (CVMs)
- Injection de code malveillant dans l’espace protégé
- Modification de l’état mémoire des applications sensibles
Activation de fonctions cachées :
- Activation de modes de débogage non autorisés
- Contournement des mécanismes de protection
- Escalade de privilèges au sein des CVMs
Attaques sur les mécanismes de confiance
Falsification d’attestation :
- Simulation de vérifications de sécurité
- Génération de rapports d’attestation frauduleux
- Tromperie des mécanismes de validation de confiance
Attaques par rejeu :
- Restauration d’états précédents de machines virtuelles
- Manipulation de la chronologie d’exécution
- Contournement des mécanismes anti-rejeu
Produits affectés
Processeurs AMD EPYC concernés
Série 7003 :
- AMD EPYC™ 7003 Series Processors
- AMD EPYC™ Embedded 7003 Series Processors (correctif prévu novembre 2025)
Série 8004 :
- AMD EPYC™ 8004 Series Processors
- AMD EPYC™ Embedded 8004 Series Processors
Série 9004 :
- AMD EPYC™ 9004 Series Processors
- AMD EPYC™ Embedded 9004 Series Processors
Série 9005 :
- AMD EPYC™ 9005 Series Processors
- AMD EPYC™ Embedded 9005 Series Processors (correctif prévu novembre 2025)
Étendue du déploiement
Secteurs affectés :
- Fournisseurs de services cloud publics
- Clouds privés d’entreprise
- Infrastructures de calcul haute performance
- Environnements de calcul confidentiel
- Plateformes d’intelligence artificielle cloud
Cas d’usage critiques :
- Traitement de données sensibles réglementées (RGPD, HIPAA)
- Calcul multi-tenant sécurisé
- Environnements de développement cloud sensibles
- Traitements financiers et bancaires cloud
Réponses des acteurs de l’écosystème
AMD
Bulletin de sécurité : AMD-SB-3020
Description officielle :
“Un contrôle d’accès inapproprié au sein d’AMD SEV-SNP pourrait permettre à un attaquant avec privilèges administrateur d’écrire dans la RMP durant l’initialisation SNP, résultant potentiellement en une perte d’intégrité de la mémoire invité SEV-SNP.”
Correctifs publiés :
- Mises à jour microcode pour toutes les séries EPYC affectées
- Correctifs firmware du Platform Security Processor
- Documentation technique mise à jour
Calendrier :
- Correctifs disponibles immédiatement pour la plupart des produits
- Correctifs planifiés pour novembre 2025 pour séries Embedded 7003 et 9005
Microsoft Azure
Reconnaissance : Microsoft a publié un avis de sécurité reconnaissant CVE-2025-0033
Mesures correctives :
- Remédiation en cours dans Azure Confidential Computing (ACC)
- Déploiement de correctifs sur les clusters basés AMD
- Coordination avec AMD pour déploiement des mises à jour firmware
Communication : Notification active aux clients utilisant des machines virtuelles confidentielles AMD
Supermicro
Bulletin de sécurité : Référence AMD-SB-3020
Action requise :
- Mise à jour BIOS nécessaire pour les SKUs de cartes mères affectés
- Publication de nouvelles versions BIOS incorporant les correctifs AMD
- Documentation des procédures de mise à jour par référence matérielle
Implications pour le calcul confidentiel
Remise en question des fondamentaux
RMPocalypse expose une faiblesse architecturale fondamentale dans l’approche de protection du calcul confidentiel :
Paradoxe de l’amorçage sécurisé : Comment protéger les mécanismes de protection eux-mêmes durant leur initialisation ? Cette question philosophique devient critique lorsque les structures de données de sécurité doivent être établies avant que les protections complètes ne soient opérationnelles.
Impact sur les modèles de menace
Hypothèse de l’hyperviseur malveillant :
- SEV-SNP est conçu pour protéger contre un hyperviseur compromis
- RMPocalypse démontre que cette protection peut être contournée durant l’initialisation
- Nécessite une réévaluation des garanties de sécurité effectivement fournies
Fenêtre d’attaque temporelle :
- Même des protections robustes peuvent être vulnérables durant les transitions d’état
- Les phases d’initialisation représentent des surfaces d’attaque critiques
- Importance de protections atomiques ou de mécanismes de vérification post-initialisation
Conséquences pour l’adoption du cloud confidentiel
Confiance des clients :
- Questionnements sur la fiabilité des garanties de calcul confidentiel
- Nécessité de transparence accrue sur les limitations de sécurité
- Impact potentiel sur l’adoption de workloads sensibles en cloud
Conformité réglementaire :
- Implications pour les certifications de sécurité existantes
- Réévaluation des attestations de conformité
- Potentielles obligations de notification de violation
Analyse comparative : Battering RAM
Contexte de vulnérabilités multiples
RMPocalypse s’inscrit dans une série de découvertes récentes visant les technologies de calcul confidentiel. Quelques semaines avant sa divulgation, des chercheurs de KU Leuven et de l’Université de Birmingham ont démontré une vulnérabilité distincte baptisée Battering RAM, ciblant les dernières défenses des processeurs cloud Intel et AMD.
Tendance préoccupante : L’émergence de multiples vulnérabilités affectant les technologies de calcul confidentiel suggère que cette surface d’attaque demeure insuffisamment comprise et protégée par l’industrie.
Recommandations techniques
Actions immédiates pour les organisations
Priorité critique :
- Inventaire des systèmes :
- Identification de tous les processeurs AMD EPYC déployés
- Recensement des machines virtuelles confidentielles actives
- Cartographie des workloads sensibles utilisant SEV-SNP
- Application des correctifs :
- Déploiement immédiat des mises à jour microcode AMD
- Mise à jour firmware PSP sur tous les systèmes affectés
- Mise à jour BIOS pour les systèmes Supermicro concernés
- Planification des mises à jour novembre 2025 pour séries Embedded
- Validation post-patch :
- Vérification de l’application effective des correctifs
- Tests de non-régression sur workloads critiques
- Confirmation des versions firmware déployées
Mesures de surveillance et détection
Surveillance de l’intégrité :
Bien que RMPocalypse soit difficile à détecter post-exploitation, certaines mesures peuvent réduire les risques :
- Audit des accès hyperviseur :
- Surveillance des accès privilégiés durant les initialisations VM
- Détection d’activités inhabituelles durant le démarrage SEV-SNP
- Journalisation exhaustive des opérations hyperviseur sensibles
- Attestation continue :
- Vérifications régulières de l’intégrité des CVMs
- Détection d’anomalies dans les rapports d’attestation
- Comparaison avec lignes de base connues
- Monitoring comportemental :
- Détection d’exfiltrations de données anormales
- Surveillance des patterns d’accès mémoire inhabituels
- Alertes sur comportements d’applications déviants
Architecture de défense en profondeur
Stratégies de mitigation :
- Réduction de la surface d’attaque :
- Minimisation du code hyperviseur avec privilèges
- Séparation des fonctions administratives
- Principe du moindre privilège strictement appliqué
- Segmentation et isolation :
- Isolation réseau des CVMs critiques
- Séparation physique pour workloads hautement sensibles
- Environnements dédiés pour traitement de données réglementées
- Cryptographie additionnelle :
- Chiffrement applicatif en complément de SEV-SNP
- Gestion de clés externe à l’environnement cloud
- Protection des données au repos indépendante de SEV-SNP
Considérations pour fournisseurs cloud
Responsabilités opérationnelles :
- Communication transparente :
- Notification proactive des clients concernés
- Publication de calendriers de mise à jour clairs
- Documentation des mesures de remédiation mises en œuvre
- Gestion de la continuité :
- Planification de fenêtres de maintenance coordonnées
- Minimisation de l’impact sur disponibilité des services
- Procédures de rollback en cas de problèmes
- Validation de conformité :
- Réévaluation des certifications de sécurité
- Mise à jour des documentations de conformité
- Communication avec autorités réglementaires si nécessaire
Perspectives de recherche future
Domaines nécessitant investigation
- Sécurité des phases d’initialisation :
- Recherche sur mécanismes d’amorçage sécurisé pour structures de sécurité
- Développement de protections atomiques durant transitions d’état
- Vérification formelle des séquences d’initialisation
- Architecture de tables de sécurité :
- Conception de structures résistantes à la corruption partielle
- Mécanismes de détection d’intégrité en temps réel
- Architectures de tables compartimentées limitant la propagation
- Attestation continue :
- Protocoles de vérification post-initialisation
- Mécanismes de re-validation périodique
- Détection de corruptions rétrospectives
Enseignements stratégiques
Pour l’industrie du calcul confidentiel
Maturité technologique : RMPocalypse démontre que le calcul confidentiel matériel, malgré des années de développement, demeure sujet à des vulnérabilités architecturales fondamentales. L’industrie doit reconnaître que ces technologies sont encore en évolution et nécessitent une vigilance continue.
Transparence et responsabilité : La divulgation responsable de vulnérabilités comme RMPocalypse par la communauté académique est essentielle pour améliorer la sécurité globale. Les fabricants doivent maintenir une posture collaborative et réactive face à ces découvertes.
Défense en profondeur : Aucune technologie de sécurité unique ne devrait être considérée comme suffisante. Les organisations traitant des données sensibles doivent superposer multiples couches de protection et ne pas se reposer uniquement sur les garanties matérielles.
Pour les utilisateurs de cloud confidentiel
Évaluation réaliste des risques : Les technologies de calcul confidentiel offrent des protections significatives, mais ne sont pas infaillibles. Les modèles de menace doivent intégrer la possibilité de contournement de ces protections.
Due diligence continue :
- Surveillance active des vulnérabilités affectant les technologies de sécurité matérielle
- Évaluation régulière de l’adéquation des protections aux exigences de sécurité
- Réévaluation périodique des décisions d’architecture cloud
Contractualisation des garanties :
- Clauses contractuelles claires sur les engagements de sécurité fournisseurs
- SLAs incluant délais de remédiation pour vulnérabilités critiques
- Obligations de transparence en cas de compromission potentielle
Conclusion
RMPocalypse représente une vulnérabilité particulièrement insidieuse car elle mine les fondations mêmes du calcul confidentiel AMD SEV-SNP. La capacité de compromettre l’intégralité d’une table de sécurité critique via une simple écriture de 8 octets illustre comment des défauts architecturaux apparemment mineurs peuvent avoir des conséquences catastrophiques sur les garanties de sécurité.
Le paradoxe révélé par cette recherche — la difficulté de protéger les mécanismes de protection durant leur propre initialisation — soulève des questions fondamentales sur la conception des systèmes de sécurité matériels. Cette problématique transcende AMD et concerne l’ensemble de l’industrie du calcul confidentiel.
Pour les organisations déployant ou envisageant d’adopter des technologies de calcul confidentiel, RMPocalypse constitue un rappel que ces protections, bien que puissantes, ne sont pas absolues. Une approche de défense en profondeur combinant protections matérielles, chiffrement applicatif, segmentation réseau et surveillance continue demeure essentielle pour sécuriser véritablement les workloads sensibles.
L’application rapide des correctifs AMD est impérative pour toutes les organisations opérant des environnements SEV-SNP. Parallèlement, une réévaluation des modèles de menace et des hypothèses de sécurité s’impose pour s’assurer que les décisions architecturales demeurent appropriées face aux vulnérabilités découvertes.