Google Cloud informó que las máquinas virtuales con chips AMD Turin presentan tres fallos de seguridad que podrían permitir la filtración de datos. Para solucionarlo, los usuarios deben instalar el parche del sistema operativo y reiniciar la instancia mediante un proceso de detener y volver a iniciar. Afecta a series como C4D, N4D y G4, aunque no se han reportado explotaciones activas hasta el momento.





Google afirmó esta semana que las VM de Google Cloud en chips AMD Turin necesitan un parche del sistema operativo invitado y un proceso de detener y reiniciar para protegerse contra tres fallos de canal lateral de la CPU.

La empresa ya ha aplicado mitigaciones contra ataques entre máquinas virtuales (VM), y entre las VM y el host. Dentro de una VM, los fallos podrían permitir que un atacante con código en el mismo núcleo del procesador infiera datos de otros procesos o del kernel.

Las series de máquinas afectadas son C4D, N4D, H4D, Z4D y G4, incluidas las instancias bare-metal de C4D y Z4D. Turin es el nombre en clave de los procesadores AMD EPYC de quinta generación.

Los tres fallos son Ataques de Planificador Transitorio (TSA). Dos de ellos, TSA-SQ (CVE-2024-36350) y TSA-L1 (CVE-2024-36357), fueron revelados por primera vez el 8 de julio de 2025 para procesadores EPYC anteriores.

AMD indica ahora que sus procesadores Zen 5, que incluyen Turin, están "afectados de manera diferente a los procesadores AMD caracterizados anteriormente". El tercer fallo, CVE-2026-0004, es nuevo. Podría permitir que un atacante que pueda ejecutar código en un sistema infiera datos en la caché de datos L1 del procesador.

El Proyecto Xen, que mantiene el hipervisor Xen, llama al nuevo fallo TSA-Fill. También señala que una declaración anterior ha sido corregida: "AMD había dicho previamente que las CPU Zen5 no eran vulnerables a TSA-SQ y TSA-L1".

Google califica el problema como Medio. AMD clasifica los tres como ataques locales con alta complejidad de ataque que requieren solo privilegios bajos, según su boletín de Zen 5 y el aviso de CVE-2026-0004.

A día de hoy, ninguno de los tres se encuentra en el catálogo KEV de fallos explotados mantenido por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. Ninguna de las dos empresas informa de ninguna explotación en sus boletines.

Qué deben hacer los clientes de google cloud

El boletín de seguridad de Google detalla estos pasos para cada servicio:

* VM: Instala el arreglo de tu proveedor de SO cuando se publique. A partir de esta semana, la empresa actualizará la información de la CPU que reportan las VM, para que un kernel invitado parcheado pueda activar sus mitigaciones. Después de que esa actualización llegue a una VM, detenla y reiníciala. Como indica la empresa: "Reiniciar el SO invitado no es suficiente".
* Instancias bare metal: Si ejecutas tu propio SO o hipervisor en una instancia bare metal C4D o Z4D, aplica los arreglos de tu proveedor cuando estén disponibles.
* Hipervisores dentro de una VM: Se aplica la misma actualización de información de la CPU, para que los kernels invitados parcheados puedan activar sus mitigaciones. Detén y reinicia la VM una vez que llegue la actualización.
* GKE: Se pondrán a disposición imágenes de nodos actualizadas para instancias bare metal basadas en Turin, y la actualización de los nodos incluirá la actualización de la información de la CPU. A fecha de hoy, el boletín aún no las enumera como disponibles.
* Cloud Run: No es necesario realizar ninguna acción.

Los clientes con procesadores más antiguos Rome, Milan y Genoa recibieron la misma instrucción de detener y reiniciar en un boletín anterior en el momento de la revelación original el 8 de julio de 2025.

La empresa no indica nada que debas hacer mientras tanto para las VM cuyo proveedor de SO aún no ha publicado un arreglo. Tampoco explica cómo saber cuándo la actualización de la información de la CPU ha llegado a una VM.

Un commit del kernel que mitiga TSA en Zen 5, incluida la nueva variante, se encuentra en el árbol de fuentes del kernel de Linux. A día de hoy, Debian ha corregido el CVE-2026-0004 en su kernel de Linux solo en su rama inestable. Su seguimiento de seguridad todavía enumera los kernels en bookworm, trixie y forky como vulnerables.

Para servidores Turin en tu propio hardware, AMD dice que son necesarias tanto las actualizaciones del firmware de la plataforma como las del SO para mitigar los fallos por completo. La mitigación puede afectar al rendimiento, y los administradores deben sopesar el riesgo para sus propias cargas de trabajo, según su guía técnica.

El Proyecto Xen ha publicado parches del hipervisor en su aviso de Xen. Indica que el microcódigo para todos los fallos TSA en Zen 5 ha estado en linux-firmware desde el 23 de septiembre.

Fuente:
THN