AMD muss BIOS-Updates gegen Sicherheitslücke verteilen

[HWL News Bot]

AMD muss aufgrund einer Sicherheitslücke im UEFI einige BIOS-Versionen erneuern. Betroffen sind Systeme mit APUs, die zwischen 2016 bis 2019 vorgestellt wurden. Los geht es also mit Bristol Ridge bis hin zu Raven Ridge und Picasso (Ryzen 3000 und Ryzen 4000 mit integrierter Grafik).
... weiterlesen

 

[Infi88]

Tommy ! "Bei den Notebooks wird dies schon um einige komplizierter." Da muss noch ein s hin denke ich 🤗 .

Bin mal gespannt was da rauskommt und wer der Entdecker ist, klingt nach einer doch relativ großen Sache. Weiß man schon ob die Performance tangiert wird ?

 

[Don]

Tommy ! "Bei den Notebooks wird dies schon um einige komplizierter." Da muss noch ein s hin denke ich 🤗 .

Danke für den Hinweis!

 

[Shevchen]

Bin mal gespannt was da rauskommt und wer der Entdecker ist, klingt nach einer doch relativ großen Sache. Weiß man schon ob die Performance tangiert wird ?

Es ist ein BIOS Update für das UEFI, nicht für die CPU. Wo soll da bitte die Performance beeinträchtigt werden? Steht da oben im Text irgendwas von CPU-Sicherheitslücke, neuem Microcode oder Mitigation? Es ist ein Software-Problem, was durch Software gelöst wird - wie ein Windows Update - nur eben fürs BIOS/UEFI.

 

[OSL]

Hmmm, wollte mir heute ein neues Sys mit 3400G und MSI B450 M Pro VDH Max kaufen. Was muss ich beachten?

 

[cunhell]

Hier steht mehr als bei HWL:

CPU-Sicherheitslücken bei AMD-Kombiprozessoren: BIOS-Updates kommen

AMDs Kombiprozessoren der Jahre 2016 bis 2019, also auch Ryzen-Modellen, fehlen Sicherheitschecks, um SMM-Code im RAM zu verstecken.

www.heise.de

Cunhell

 

[mgbott]

Hmmm, wollte mir heute ein neues Sys mit 3400G und MSI B450 M Pro VDH Max kaufen. Was muss ich beachten?

"Um die Sicherheitslücke ausnutzen zu können, muss man allerdings physischen Zugriff auf das System haben."

Solange dies nicht der Fall ist, brauchst auch keine Angst zu haben.

 

[Oberst]

Interessant, dass Carrizo nicht betroffen ist. Das ist doch eigentlich Bristol Ridge mit einigen Features deaktiviert. Daher sollte doch auch das BIOS eigentlich gleich sein. Oder habe ich da was falsch in Erinnerung?

 

[Warl0rd]

Hmmm, wollte mir heute ein neues Sys mit 3400G und MSI B450 M Pro VDH Max kaufen. Was muss ich beachten?

Wenn man den Artikel von Heise noch heranzieht und die Infos daraus, dann NEIN.
Dort steht nämlich das das nur Systeme OHNE Chipsatz betroffen sind … also Notebooks oder Geräte die auf ähnliche Hardware basieren.
Desktop wäre mir aktuell da hier nur der ASRock A300 bekannt …
Alle Desktop Boards setzen ja auf Chipsätze ...

 

[Infi88]

Es ist ein BIOS Update für das UEFI, nicht für die CPU. Wo soll da bitte die Performance beeinträchtigt werden? Steht da oben im Text irgendwas von CPU-Sicherheitslücke, neuem Microcode oder Mitigation? Es ist ein Software-Problem, was durch Software gelöst wird - wie ein Windows Update - nur eben fürs BIOS/UEFI.

Ja, es steht in der Überschrift .
UEFI ist erweiterte Firmware, keine klassische Software daher besteht überhaupt die Möglichkeit solche Dinge im Nachhinein so tiefgreifend abzuändern(DDR4 bei rowhammer beispielsweise nicht), ein klassisches Softwareworkaround wäre eigentlich noch schlechter. Solche Änderungen können immer die Leistung und Stabilität tangieren.

 

[sch4kal]

@Andreas Schilling: warum verlinkt ihr nicht immer die Papers/Blog des Entdeckers dazu ?

"Um die Sicherheitslücke ausnutzen zu können, muss man allerdings physischen Zugriff auf das System haben."

Solange dies nicht der Fall ist, brauchst auch keine Angst zu haben.

Laut dem Blog des Entdeckers reicht auch schon der Root-Zugriff (Ring 0).

 

[Holzmann]

Schade, dass die genauen CPUs nicht bekannt sind, ansonsten aber vorbildlich: Problem/Lücke erkannt, Update zur Behebung inklusive zeitnahem Termin angekündigt.

Jedoch: Mir wurde eben mit einem 3950x via Asus EZ updater ein bisher unbekanntes Bios angeboten, sicher das nur APUs betroffen sind?

 

[Techlogi]

Bei den Notebooks wird dies schon um einiges komplizierter.

Warum sollte ein Bios-Update bei einem Notebook komplizierter sein bzw. sind hier nicht viel eher die Kraut und Rüben Hersteller selber das Problem?
Mal ein Gegenbeispiel: Dell hat für den Latitude E6430, welcher 2012 auf den Markt kam, erst dieses Jahr im März wieder ein Bios-Update mit neuem Microcode gebracht.

 

[Infi88]

Schade, dass die genauen CPUs nicht bekannt sind, ansonsten aber vorbildlich: Problem/Lücke erkannt, Update zur Behebung inklusive zeitnahem Termin angekündigt.

Jedoch: Mir wurde eben mit einem 3950x via Asus EZ updater ein bisher unbekanntes Bios angeboten, sicher das nur APUs betroffen sind?

Doch sind sie, zumindest welche woran der Entdecker wohl rumgefummelt und diese eben dabei gefunden hat, von AsRock beispielsweise diese https://www.amd.com/de/products/embedded-minipc-solutions. Und AMD selbst hat gar nix erkannt , und ich denke nicht das der gesponsort ist.

Die Arbeit nennt sich "Attacking the golden ring" so weit ich weiß, hier wird man live zum Hacker -->

Datenschutzhinweis für Youtube

An dieser Stelle möchten wir Ihnen ein Youtube-Video zeigen. Ihre Daten zu schützen, liegt uns aber am Herzen: Youtube setzt durch das Einbinden und Abspielen Cookies auf ihrem Rechner, mit welchen sie eventuell getracked werden können. Wenn Sie dies zulassen möchten, klicken Sie einfach auf den Play-Button. Das Video wird anschließend geladen und danach abgespielt.

Youtube Videos ab jetzt direkt anzeigen

Video anzeigen

 

[Arkos]

...

Es war ja eigentlich nur eine Frage der Zeit, bis sowas auch bei AMD kommt.

Ich hoffe, dass es für die Deskmini A300 bald auch ein Update gibt.

...

 

[sch4kal]

...

Es war ja eigentlich nur eine Frage der Zeit, bis sowas auch bei AMD kommt.

Ich hoffe, dass es für die Deskmini A300 bald auch ein Update gibt.

...

Was hat diese Lücke denn bitte mit den üblichen Seitenkanalattacken zu tun ? Nix.
Das "bis sowas auch bei AMD kommt" trifft also hier nicht zu.

 

[Gelöschtes Mitglied 299521]

CPUs ohne integrierte Grafikeinheit sind also nicht betroffen?

Den englischen Teil des Artikel habe ich nicht gelesen, dazu ist mein englisch zu schlecht um es vollständig in all seinen Feinheiten zu verstehen, dafür kann ich aber russisch.

 

[Arkos]

Was hat diese Lücke denn bitte mit den üblichen Seitenkanalattacken zu tun ? Nix.
Das "bis sowas auch bei AMD kommt" trifft also hier nicht zu.

...

Dennoch ist es eine Sicherheitslücke.

Solange das nicht gefixt ist, bleibt es auch eine.

...

 

[cunhell]

...

Dennoch ist es eine Sicherheitslücke.

Solange das nicht gefixt ist, bleibt es auch eine.

...

Gefixed ist es ja schon, es muss nur noch verteilt werden. Steht doch drin. Und verteilen können es nur die Board- und Notebookhersteller.

Cunhell

 

[fortunes]

Nur APUs betroffen.

Nur mit physikalischem bzw. Root-Zugriff möglich.

Da können wir Otto-Normal uns entspannen. Und einfach ein BIOS-Update machen. Fertig.