[情報] Zen架構存在高風險漏洞 用戶盡快更新韌體
中文來源:HKEPC
https://www.hkepc.com/22146
原始來源:AMD官網
https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7009.html
AMD官網來源短網址:
https://bit.ly/42IalWv
中文內文:
【請注意 】AMD 13 日宣布由初代 Zen 1 至最新的 Zen 4 處理器中發現了 4 個嚴
重漏洞,這些漏洞均與 CPU 連到主機板上儲存系統韌體的晶片的 SPI 介面有關,透過這些漏洞駭客執行 DDoS 攻擊、提升權限,甚至執行任意程式碼,AMD 已向主機板及系統廠商提供 AGESA Firmware 更新,各位 AMD 用家記得盡快更新 BIOS。
據 AMD 通報,於 Zen 1 至 Zen 4 處理器發現 4 個與 SPI 介面相當的嚴重漏洞,涉及的漏洞識別碼包括︰CVE2023-20576、CVE2023-20577、CVE2023-20579 及 CVE2023-20587,上述漏洞全部屬於高風險水平。
CVE-2023-20576:AGESA 中資料真實性驗證不充分可能會允許攻擊者更新 SPI ROM 數據,從而可能導致拒絕服務或權限升級。
CVE-2023-20577:SMM 模組中的堆溢位可能允許攻擊者利用第二個漏洞,從而能夠寫入
SPI 閃存,從而可能導致任意程式碼執行。
CVE-2023-20579:AMD SPI 保護功能中的存取控制不當可能會允許具有 Ring0(核心模式)特權存取的使用者繞過保護,從而可能導致完整性和可用性的損失。
CVE-2023-20587︰系統管理模式 (SMM) 中的不當存取控制可能允許攻擊者存取 SPI 閃存,從而可能導致任意程式碼執行。
這些漏洞均與 CPU 連到主機板上儲存系統韌體的晶片的 SPI 介面有關,透過這些漏洞駭客執行 DDoS 攻擊、提升權限,甚至執行任意程式碼,其中 CVE-2023-20587 是最嚴重的,它可以讓黑客任意執行欺騙電腦運行的程式碼,而該程式碼實際上可以完全控制整個系統。
AMD 已向主機板及系統廠商提供 AGESA Firmware 更新,各位 AMD 用家記得盡快更新
BIOS。
-
雖然每個中文字我都認得 但連在一起我就看不太懂了
總之AMD官方表明這些都是高風險的漏洞
AMD官網內有載明各平台解決漏洞的BIOS
建議用戶更新至該版或更新的版本
有EPYC,TR,(筆電掌機等)移動端,嵌入式等各種平台的說明
需要的人自己點進去看
我就貼個跟電蝦最相關的Ryzen桌面端:
https://i.imgur.com/c9EuF5j.png
可以看到除了3000系尚待官方於3月進一步釋出新BIOS
其他都已經有修復後的版本了
5000G系列APU的BIOS是2/7一周前才釋出 滿新的
剛好前陣子5000GT開始販售 有入手的板友可以注意一下
--
水桶有騷動
AM4 AGESA有更新應該就全部Zen都吃
可惜特級A黑還在水桶裡
得到 吧 ?
噢 筆電的話就只能看OEM廠商了
總之比表上寫的版本還新就行
水桶怎又沸騰了
表上的是最低需求 版本不能比它早
剛剛水桶是不是冒泡了?
效能會影響嗎?
效能部分AMD沒有提及 等媒體測試ㄅ
記得intel以前修漏洞把效能也修正了XD
或看哪位板友大神有空幫忙測試新舊BIOS
效能對比
我hp elitebook筆電六年了都還有bios更
新~
這些漏洞可以透過網路嗎?還是一定要摸到
主機?例如USB
Zen大的白機要出事了嗎
那個水桶好像正在燃燒著熊熊烈火
只好等ZEN5了
4個超越meltdown的洞 太帥了吧
我又不是用AMD 干我啥事
我是在說你的ID是Zen開頭
主機版被放生的有解嗎?
感恩 翻主機板官網已經有1.2.0.B能下
三大家好像都沒看到1.2.0.c。不知道要
等多久
很想噓AMD....我這輩子從沒更新BIOS
更新的這麼勤過 = =
我想更都沒得更了
這個我怎麼有印象去年BIOS剛出的時候就提
過了 還是我記錯?
反正我都是有看到有得更新就更的那種
去年底更新BIOS,檢查已經1.2.0.B
買AMD不就是要享受這種戰未來的更新嗎
看起來是4000跟5000G系列要更新到C
Asus 1.2.0.C還沒看到QQ
更新bios很難嗎?
不就usb插著,按幾個鍵,再去拉個屎就好
麻煩的是重弄設定 風扇曲線之類的
把設定另外存到隨身碟裡面,更新完BIOS直
接用就好了
麻煩的是手上的隨身碟都不是用FAT32了
更新BIOS還要格式化一次
2024年了 可以在OS下更新BIOS嗎?
看到USB就覺得麻煩==
FAT32卡4GB超難用的==
2008年就有在XP下直接更新BIOS的工具
只剩一隻128m的隨身聽還能用了
反而win7後就銷聲匿跡了
微星BIOS 要同版本才能備份 :D
為了實驗室用XP的舊電腦我還留著用
FAT32的隨身碟
麻煩的是重弄設定+1
我隨身碟常插在各種儀器上 因此都格式化
成FAT32的 相容性最高
風扇我後來用FanControl,但開機用哪個
硬碟還是要再設定一次
FanControl+1 真的很好用
os升bios做的到阿 但勸你別想不開 os穩
定度比bios差多了 升失敗有機會GG的 我
之前Asus板玩過用他win app升 跑條完一
直沒反應只好硬關機重開 結果bios刷一半
直接整張死掉 只能送修讓asus刷
7系要更新到1.0.8.0後的意思
MSI剛看我這張 正式到1.0.9.0
BETA到1.1.0.2b
檔案丟 ESP 不就能更新了?
ESP一定是 fat32,我都丟那邊
不是可以放C槽再到BIOS選擇更新嗎
ESP常規底下怎麼存取
磁碟管理不能直接把ESP掛起來嗎?
更新檔丟進去後就可以解除掛載了
要更新BIOS的小心被Windows搞.....
正版受害者每年都要來搞個幾次....
水桶:咕嚕咕嚕
正常是不能掛載的就算掛載了也進不去
更了 開機多了一個怪聲 怕...
1.20c喔 還沒出xd
smm的漏洞,有空再更新就好,沒事也不大
會進smm
1.2c hotfix還沒出
笑死連更新BIOS都要怪AMD
你大可回去用你的intel 最好一輩子都別更
新
推
這輩子沒更新是廠商放生還是有新的但你不
會更新?要講清楚。
我每1~2年重灌電腦都會順便更新BIOS
技嘉那邊還沒放
兩難了,我MSI是用看討論說最穩的版本,
但離補完漏洞剛好差一號...
X! 更完一台黑掉開不起來 結果是新BIOS
沒辦法插128G了(其實本來就調蠻辛苦的)
再來研究另一台 上次刷完3600變只能3200
這種正常不是應該要越新越穩嗎
我常看到是說沒事別更新bios免得自找麻煩
AMD AGESA的記憶體穩定度長期來看是優化
但每版之間會浮動 新一版不一定比舊一
版穩
我之前問msi林董問題 他就有說某一舊版
比最新版穩 舊版有點運氣好賽到的感覺
感謝情報,已更新,生平第一次更新BIOS
你沒用secure boot緊張三小
完全不影響打打電動的人
33
[情報] 研究人員發現2011年到2019年的AMD處理器研究人員發現2011年到2019年的AMD處理器皆存在旁路攻擊漏洞 奧地利格拉茨科技大學研究人員發表的論文指出,AMD為了最佳化CPU的效能和能耗,在 L1D快取採用一種預測器,以高效率的方式,預測特定記憶體位址位於哪一個快取路(Way )中,研究人員可以透過操縱L1D快取預測器,來洩漏AMD處理器的機密資料。 這個被稱為Take A Way的漏洞,影響AMD從2011年到2019年的所有處理器,包括使用Zen微36
Re: [情報] AMD宣布B450 X470將支援Zen 3幾個重點翻譯 1. AMD會開發並支持主機板廠,使其程式碼可以在B450/X470的選擇性BETA BIOS中 支援Zen 3 CPU 2. 這些BETA BIOS會停止支援很多目前已上市的Ryzen CPU,以空出ROM空間 3. 這些BETA BIOS會是單向升級,無法降板28
[情報] AMD Zen2的CPU漏洞Zenbleed臉書看HKEPC看到的 想當年intel被A粉狂笑有漏洞買i就是盤子的年代原來結果自己也有洞阿 以下臉書原文 - 外媒報導,Google 安全專家 Tavis Ormandy 公佈了在 AMD 處理器中發現新漏洞12
[情報] AMD公布多個消費級和EPYC CPU漏洞受影響的產品包含: Ryzen 2000~6000、Athlon 3000、Ryzen Threadripper(1 Gen. ~ 3 Gen.)、EPYC (1 Gen. ~ 3 Gen.)。只有Zen4沒有到影響8
[情報] AMD 驅動漏洞可能造成密碼被盜上週 ZeroPeril 剛公布的一篇資安研究顯示,這次的漏洞讓駭客有能力盜取像是密碼之類的機密資訊,預計會影響所有 Ryzen 處理器。AMD 也已經釋出更新,建議採用此系列的使用者盡快安裝新版驅動程式。 AMD 在 8 月曾經更新晶片驅動程式,也許很多人還沒更新,AMD 當時也沒在更新中說明具體修復了哪些問題。不過在上週 ZeroPeril 剛公布的一篇資安研究顯示,這次的漏洞讓駭客有能力盜取像是密碼之類的機密資訊,預計會影響所有 Ryzen 處理器。 這次的漏洞 CVE-2021-26333 是在 AMD 的平台安全處理器驅動程式,是用來儲存安全相關的機密資訊,並且通常只有管理員權限才能查看。根據報導,資安研究公司 ZeroPeril 共同創辦人 Kyriakos Economou 發表了研究報告,稱有心人士可以利用此項漏洞,破解 KASLR (kernel address-space layout randomization)機制獲取敏感資訊。而 AMD 原本列出受影響的只有 Ryzen 1000 處理器,不過研究員發現所有桌面和行動版的 Ryzen 處理器都會受到影響,而 AMD 也在此之後更新了清單。8
[情報] Lexmark印表機韌體出現高風險程式碼執行Lexmark印表機韌體出現高風險程式碼執行漏洞,影響上百款機種 文/林妍溱 | 2023-01-31發表 印表機業者Lexmark本周發布最新版韌體,解決影響上百款機種,可能讓駭客遠端執行程式碼的高風險漏洞。 這項編號CVE-2023-23560漏洞發生在印表機韌體的Web服務功能,屬於伺服器端請求偽造(server-side request forgery,SSRF)漏洞,成功的攻擊可能讓駭客從遠端執行任意程式碼。本項漏洞CVSS 3.1風險值高達9.0。 針對這項漏洞的攻擊發生在印表機上,行為可能包括存取列印任務、取得印表機網路的存取憑證,再藉機攻擊同一網段的其他連網裝置。5
[情報] 殭屍網路病毒TrickBot不僅捲土重來還變得殭屍網路病毒TrickBot不僅捲土重來還變得更加難纏!研究人員發現駭客開始針對UEFI韌 體漏洞下手 被許多駭客組織濫用的殭屍網路TrickBot,今年10月上旬,才被微軟聯手多家資安業者與 電信業者,宣稱阻斷其關鍵基礎設施,但該殭屍網路背後的攻擊者不久就捲土重來,而且4
[情報] TPM 2.0程式碼被爆2個可外洩資訊的漏洞TPM 2.0程式碼被爆2個可外洩資訊的漏洞 文/林妍溱 | 2023-03-03發表 攸關資料與身分安全的信賴平臺模組(Trusted Platform Module,TPM)2.0近日被發現參考實作程式碼有2個記憶體毁損漏洞,可造成裝置機密資料外洩,或被駭客升級權限而執行惡意程式碼。 TPM 2.0是安全密碼處理器的國際標準,旨在使用裝置中的安全硬體處理裝置上的加密金鑰,其技術規範是由信賴計算組織(Trusted Computing Group,TCG)編寫。TPM 2.0是電腦安全技術不可或缺的元素,Windows 11需要TPM2.0才能安裝,它也是生物辨識Windows Hello及加密技術BitLocker的關鍵。 兩項漏洞是由Quarks Lab研究人員發現並通報,影響TPM 2.0參考實作1.59、1.38和1.16。根據TPC指出,漏洞都是發生在TPM 2.0 CryptParameterDecryption()函式。其中一個編號CVE-2023-1018是越界讀取(out-of- bounds read),另一個CVE-2023-1017則是越界寫入。兩漏洞可被使用者模式的應用程式觸發,具備基本權限的攻擊者可傳送有加密參數的惡意TPM 2.0指令,到以問題版本實作為基礎的TPM 2.0韌體,達成攻擊目的。X
[請益] Netgear資安漏洞對一般使用者是否有影響Netgear近日發表資安更新,修復存於多款無線路由器的嚴重資安漏洞 CVE-2021-49847; 該漏洞可導致駭侵者遠端執行任意程式碼。受影響機種用戶應立即進行韌體更新,以修復此 一嚴重漏洞。 該漏洞存於 Netgear 提供用戶進行家長分級內容控制的軟體「Circle」之內。 資安專家指出,在進行 Circle Patental Control Serive 的更新過程中,