Az elmúlt néhány évben vasárol valamennyi AMD Ryzen processzorral rendelkező felhasználónak azonnal ellenőriznie és frissítenie kell az alaplap firmware-jét, különösen akkor, ha 2023 előtt nem tette ezt meg utoljára. Az AMD részletes táblázatot tett közzé, amely négy súlyos biztonsági problémát ír le, és érinti a szervereket, asztali gépeket, munkaállomásokat, HEDT-ket (High-End Desktop), mobil és beágyazott Zen processzorokat. A legújabb BIOS-frissítések már orvosolták a legtöbb, de még nem az összes hibát.
Az AMD elismerte, hogy mind a négy sebezhetőség magas súlyosságú. Az alábbi táblázat felsorolja a minimális AGESA verziót, amely szükséges az összes probléma enyhítéséhez az egyes processzorgenerációk esetében. A részletesebb leírást arról, hogy melyik problémát és megoldást melyik CPU érinti, az AMD biztonsági közleményében található.
Az egyik sebezhetőség, a CVE-2023-20576, lehetővé teszi a támadóknak, hogy a BIOS-ban elégtelen adat-hitelesítési ellenőrzés miatt megtagadják a szolgáltatást vagy növeljék a jogosultságokat.
Két másik, a CVE-2023-20577 és CVE-2023-20587, lehetővé teszi a tetszőleges kód végrehajtását, mivel hozzáférést biztosít a SPI flash-hez a System Management Mode-on keresztül. Végül a CVE-2023-20579, veszélyeztetheti az integritást és az elérhetőséget az AMD SPI-védelmi funkciójában alkalmazott helytelen hozzáférés-ellenőrzés miatt.
A Ryzen 3000 sorozatú asztali gépek, a 4000 sorozatú mobil APU-k, a beágyazott V2000 chip-ek vagy V3000 rendszerek tulajdonosainak az elkövetkező hónapokban különösen figyelniük kell, mivel ezeket a generációkat érintő problémákat még nem javították ki teljesen. Egy frissítés, amely várhatóan még ebben a hónapban megjelenik, orvosolja majd a sebezhetőségeket a 4000 sorozatú APU-k esetében, míg egy 2024. márciusi BIOS-frissítés megoldja majd a 3000 sorozatú CPU-k problémáit. Az érintett beágyazott termékek a tervek szerint áprilisban kapják meg a javításokat.
Az összes többi Zen processzor megkapta a releváns javításokat a 2023 közepétől kezdve a febuári hónap elejéig megjelnt frissítések során. A 2. generációs Epyc processzorok esetében az a frissítés, amely enyhítette a tavalyi Zenbleed támadást, védelmet nyújt az új sebezhetőségek ellen is.
Számos módja van annak, hogy ellenőrizze és frissítse a BIOS verzióját. A legtöbb modern PC-n mindkettő lehetséges közvetlenül a BIOS-ból is elvégezni. Miután belépett a BIOS-ba az indításkor megjelenő gomb megnyomásával, a verziószám megjelenik a főmenüben. Az automatikus frissítési funkciók a gyártótól függően változnak.
A BIOS verziójának ellenőrzéséhez Windows újraindítása nélkül, indítsa el a Rendszerinformáció alkalmazást, az „msinfo” beírásával a feladatsáv keresőjébe. A verzió és a dátum megjelenik a jobb oldali ablakban. A legfrissebb BIOS verzió általában az alaplapgyártó weboldalának támogatási részében található. Az összes nagy alaplapgyártó opcionális kezelési szoftvereken keresztül automatikus frissítéseket is kínál.
| CVE | Súlyosság | Leírás |
|---|---|---|
| CVE-2023-20576 | Magas | Az AGESA™-ban elégtelen adathitelesítés lehetővé teheti egy támadónak, hogy frissítse az SPI ROM adatokat, aminek következtében esetleg szolgáltatás megtagadás vagy jogosultságnövelés következhet be. |
| CVE-2023-20577 | Magas | Egy heap overflow a SMM (System Management Mode) modulban lehetővé teheti egy támadónak, hogy hozzáférjen egy második sebezhetőséghez, amely lehetővé teszi az írást az SPI flash-be. |
| CVE-2023-20579 | Magas | Az AMD SPI védelmi funkcióban alkalmazott helytelen hozzáférés-ellenőrzés lehetővé teheti egy felhasználónak Ring0 (kernel mód) privilégiumú hozzáféréssel, hogy megkerülje a védelmet. |
| CVE-2023-20587 | Magas | A System Management Mode (SMM)-ben alkalmazott helytelen hozzáférés-ellenőrzés lehetővé teheti egy támadónak a SPI flash-hoz való hozzáférést, ami potenciálisan tetszőleges kód végrehajtásához vezethet. |
Termékkategóriák szerinti érintettség
ADATKÖZPONT
| CVE | 1. Generációs AMD EPYC™ Processzorok | 2. Generációs AMD EPYC™ Processzorok | 3. Generációs AMD EPYC™ Processzorok | 4. Generációs AMD EPYC™ Processzorok |
|---|---|---|---|---|
| CVE-2023-20576 | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett |
| CVE-2023-20577 | Nem Érintett | RomePI 1.0.0.H (2023-11-07) | MilanPI 1.0.0.C (2023-12-18) | GenoaPI 1.0.0.8 (2023-06-09) |
| CVE-2023-20579 | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett |
| CVE-2023-20587 | NaplesPI 1.0.0.K (2023-04-27) | RomePI 1.0.0.G (2023-05-05) | MilanPI 1.0.0.B (2023-06-14) | GenoaPI 1.0.0.2 (2022-10-04) |
ASZTALI SZÁMÍTÓGÉP
| CVE | AMD Ryzen™ 3000 Sorozatú Asztali Processzorok | AMD Ryzen™ 5000 Sorozatú Asztali Processzorok | AMD Ryzen™ 5000 Sorozatú Asztali Processzorok Radeon™ Grafikával | AMD Ryzen™ 7000 Sorozatú Processzorok | AMD Athlon™ 3000 Sorozatú Asztali Processzorok Radeon™ Grafikával | AMD Ryzen™ 4000 Sorozatú Asztali Processzorok Radeon™ Grafikával |
|---|---|---|---|---|---|---|
| CVE-2023-20576 | ComboAM4v2 1.2.0.B (2023-08-25) | ComboAM4v2v 1.2.0.B (2023-08-25) | ComboAM4v2 1.2.0.B (2023-08-25) | ComboAM5 1.0.0.7b (2023-07-21) | Nem Érintett | ComboAM4v2 1.2.0.B (2023-08-25) |
| CVE-2023-20577 | ComboAM4v2 1.2.0.B (2023-08-25) | ComboAM4 1.0.0.B (Cél 2024. március) | ComboAM4v2 1.2.0.B (2023-08-25) | ComboAM4v2 1.2.0.B (2023-08-25) | ComboAM5 1.0.0.7b (2023-07-21) | ComboAM4v2 1.2.0.B (2023-08-25) |
| CVE-2023-20579 | Nem Érintett | Nem Érintett | ComboAM4v2PI 1.2.0.C (2024-02-07) | ComboAM5 1.0.8.0 (2023-8-29) | Nem Érintett | ComboAM4v2PI 1.2.0.C (2024-02-07) |
| CVE-2023-20587 | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett |
HIGH END DESKTOP (HEDT)
| CVE | AMD Ryzen™ Threadripper™ 3000 Sorozatú Processzorok |
|---|---|
| CVE-2023-20576 | Nem Érintett |
| CVE-2023-20577 | CastlePeakPI-SP3r3 1.0.0.A (2023-11-21) |
| CVE-2023-20579 | Nem Érintett |
| CVE-2023-20587 | Nem Érintett |
MUNKAÁLLOMÁS
| CVE | AMD Ryzen™ Threadripper™ PRO 3000WX Sorozatú Processzorok | AMD Ryzen™ Threadripper™ PRO 5000WX Processzorok |
|---|---|---|
| CVE-2023-20576 | Nem Érintett | ChagallWSPI-sWRX8 1.0.0.7 (2024-01-11) |
| CVE-2023-20577 | ChagallWSPI-sWRX8 1.0.0.7 (2024-01-11) | ChagallWSPI-sWRX8 1.0.0.7 (2024-01-11) |
| CVE-2023-20579 | Nem Érintett | Nem Érintett |
| CVE-2023-20587 | Nem Érintett | Nem Érintett |
MOBIL - AMD Athlon™ Sorozat
| CVE | AMD Athlon™ 3000 Sorozatú Mobil Processzorok Radeon™ Grafikával |
|---|---|
| CVE-2023-20576 | Nem Érintett |
| CVE-2023-20577 | PicassoPI-FP5 1.0.1.0 (2023-05-31) |
| CVE-2023-20579 | Nem Érintett |
| CVE-2023-20587 | Nem Érintett |
MOBIL - AMD Ryzen™ Sorozat
| CVE | AMD Ryzen™ 3000 Sorozatú Mobil Processzor Radeon™ Grafikával | AMD Ryzen™ 4000 Sorozatú Mobil Processzorok Radeon™ Grafikával | AMD Ryzen™ 5000 Sorozatú Mobil Processzorok Radeon™ Grafikával | AMD Ryzen™ 5000 Sorozatú Mobil Processzorok Radeon™ Grafikával | AMD Ryzen™ 7020 Sorozatú Processzorok Radeon™ Grafikával |
|---|---|---|---|---|---|
| CVE-2023-20576 | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett | MendocinoPI-FT6 1.0.0.6 (2024-01-03) |
| CVE-2023-20577 | PicassoPI-FP5 1.0.1.0 (2023-05-31) | RenoirPI-FP6 1.0.0.D (Cél: 2024. február) | CezannePI-FP6 1.0.0.F (2023-6-20) | CezannePI-FP6 1.0.0.F (2023-6-20) | MendocinoPI-FT6 1.0.0.6 (2024-01-03) |
| CVE-2023-20579 | Nem Érintett | RenoirPI-FP6 1.0.0.D (Cél: 2024. február) | CezannePI-FP6 1.0.1.0 (2024-01-25) | CezannePI-FP6 1.0.1.0 (2024-01-25) | MendocinoPI-FT6 1.0.0.6 (2024-01-03) |
| CVE-2023-20587 | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett |
BEÁGYAZOTT
| CVE | AMD EPYC™ Embedded 3000 | AMD EPYC™ Embedded 7002 | AMD EPYC™ Embedded 7003 | AMD EPYC™ Embedded 9003 |
|---|---|---|---|---|
| CVE-2023-20576 | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett |
| CVE-2023-20577 | Snowyowl PI 1.1.0.B (2023-12-15) | EmbRomePI-SP3 1.0.0.B (2023-12-15) | EmbMilanPI-SP3 1.0.0.8 (2024-01-15) | EmbGenoaPI-SP5 1.0.0.3 (2023-09-15) |
| CVE-2023-20579 | Nem Érintett | Nem Érintett | Nem Érintett | Nem Érintett |
| CVE-2023-20587 | Snowyowl PI 1.1.0.A (2023-07-31) | EmbRomePI-SP3 1.0.0.A (2023-07-31) | EmbMilanPI-SP3 1.0.0.7 (2023-07-31) | EmbGenoaPI-SP5 1.0.0.0 (2023-01-31) |
BEÁGYAZOTT
| CVE | AMD Ryzen™ Embedded R1000 | AMD Ryzen™ Embedded R2000 | AMD Ryzen™ Embedded 5000 |
|---|---|---|---|
| CVE-2023-20576 | Nem Érintett | Nem Érintett | EmbAM4PI 1.0.0.4 (2023-09-22) |
| CVE-2023-20577 | EmbeddedPI-FP5 1.2.0.A (2023-07-31) | EmbeddedPI-FP5 1.0.0.2 (2023-07-31) | EmbAM4PI 1.0.0.4 (2023-09-22) |
| CVE-2023-20579 | Nem Érintett | Nem Érintett | Nem Érintett |
| CVE-2023-20587 | Nem Érintett | Nem Érintett | Nem Érintett |
