Fabricked: un fallo en AMD permite robar datos de máquinas virtuales cifradas

Un error de configuración en el Infinity Fabric de AMD permite a un atacante con acceso físico o privilegiado leer la memoria de máquinas virtuales protegidas por SEV-SNP. La vulnerabilidad, bautizada Fabricked, anula de un plumazo la promesa de cifrado hardware que AMD vendía como impenetrable.

Por qué importa

AMD SEV-SNP es la tecnología que usan proveedores de nube como Google Cloud o Microsoft Azure para aislar cargas de trabajo sensibles: datos financieros, secretos industriales, información médica. Si un atacante puede romperlo, el modelo de confianza en el hardware de la nube se desmorona. No es un bug teórico: los investigadores demostraron el ataque en hardware real.

Para el usuario final, la consecuencia es inmediata: cualquier servicio que dependa de AMD para cifrado de VM (máquinas virtuales) podría estar expuesto. No es momento de pánico, pero sí de revisar dónde y cómo se almacenan los datos críticos.

Qué dice el contexto

• El ataque explota una mala configuración del Infinity Fabric, el bus que conecta los núcleos y la memoria en los procesadores AMD.
• No requiere modificar el hardware: basta con acceso al sistema hipervisor o capacidad de ejecutar código privilegiado en la máquina host.
• Afecta a todas las generaciones de EPYC que soportan SEV-SNP, según los investigadores.
• AMD ya ha sido notificada y está trabajando en un parche de microcódigo, pero no hay fecha de publicación.
• El ataque es reproducible: el equipo publicó el código y la descripción técnica completa.

Lo que puedes hacer

1. Si usas servicios cloud con AMD EPYC, contacta a tu proveedor para saber si ya aplicaron mitigaciones temporales (como deshabilitar SEV-SNP hasta el parche).
2. Para cargas críticas, considera migrar temporalmente a instancias con Intel TDX o a entornos sin cifrado hardware mientras se soluciona.
3. No asumas que el cifrado hardware es suficiente: combínalo con cifrado a nivel de aplicación (como TLS para datos en tránsito y cifrado de archivos en reposo).