Novas falhas em CPUs AMD permitem vazamento de dados sensíveis por side‑channel

A AMD alertou sobre um novo conjunto de vulnerabilidades chamado Transient Scheduler Attacks (TSA), que afeta várias CPUs — Ryzen, EPYC e Athlon. As falhas exploram canais laterais especulativos, permitindo que invasores inferir dados sensíveis mesmo sem acesso direto ao sistema 

— São quatro falhas (CVE‑2024‑36349, 36348, 36357 e 36350), que embora tenham pontuações moderadas (3.8 a 5.6), quando encadeadas, permitem ataques persistentes no estilo Meltdown/Spectre
— O ataque TSA explora variações de tempo causadas pela execução especulativa e agendamento de instruções, o que pode vazar dados do kernel, aplicativos ou máquinas virtuais 

— A AMD já liberou patches de microcódigo via OEMs e recomenda a aplicação imediata no BIOS/firmware, além da atualização do sistema operacional 
— A Microsoft incluiu as correções nas atualizações de julho de 2025, classificando os CVEs como críticos e reforça que não há indícios de exploração ativa 

Dica de prevenção 

1. Instale imediatamente os patches de firmware/BIOS fornecidos pelos fabricantes (OEM) conforme o boletim AMD-SB-7029 

2. Atualize o sistema operacional para a versão mais recente que contenha as correções, especialmente Windows e distribuições Linux .

3. Em servidores e ambientes críticos, atue com políticas de isolamento entre VMs e monitore padrões incomuns de execução especulativa.

4. Realize auditoria periódica de microcódigo e revisões de segurança para confirmar implantação dos patches.

As vulnerabilidades TSA reforçam que CPUs continuam sendo alvo de ataques sofisticados via canais laterais especulativos. A adoção de microcódigos atualizados, patches de sistema e controles reforçados é essencial. Na LC SEC, oferecemos suporte para avaliação de firmware, aplicação de atualizações críticas e monitoramento avançado para proteger sua infraestrutura. Proteja seus ativos: conheça nossos serviços em lcsec.io

Se voce quer reduzir riscos e ter mais visibilidade, conheca: Pentest, Threat Intelligence com IA, Conscientizacao, SGSI (politicas, processos e procedimentos), Plano Diretor de Seguranca e Auditoria Interna. lcsec.io