Uppdatera BIOS för att undvika sårbarheter i AMD-processorer

Är det någon prestanda man tappar?

Kolla tabellen hos Techspot eller AMD för att se vilken AGESA som krävs.
För Ryzen 5000 (utan integrerad grafik) är det t ex "ComboAM4v2 1.2.0.B" som kom innan ditt BIOS och därmed kan vara nog.

För egen del har jag tydligen BIOS-versionen innan denna. Bökigt, kör egna RAM-timings och det är inte alltid de går att ladda in... och inte heller alltid de fungerar stabilt med senare version.

Jo, jag är redan på gång att uppdatera... men jag gillar det inte.

Och moderkortstillverkaren uppmanar dig att inte uppdatera och står inte för kalaset om nått går fel =D

Det är fortfarande oklart om skurkarna™ måste ha fysisk tillgång till maskinen eller om det kan ske fjärrstyrt.

Är det sårbarheter som kan utnyttjas på distans? Eller måste man ha tillgång till PCn för att kunna utnyttja dom?
Finns det någon info om det?
Det är de intressanta för min del!
Speciellt eftersom vissa av dom här sårbarheterna dom hittat påverkat prestandan vid uppgradering.

Även om det finns en liten, liten möjlighet t.ex. strömavbrott el dyl så är risken försvinnande liten. Har uppdaterat firmware på hundratals, om inte tusentals olika moderkort och andra komponenter genom åren, både som jobb och hobby och har inte råkat ut för det mer än en gång, och det var på diskettiden på en risig gammal 486a. Sålänge man tar sej tid att läsa genom instruktionerna för förloppet samt ser till att använda ett friskt USB-minne så är risken försumbar.

Ja men släpp uppdatering till oss som har äldre hårdvara då. Kan inte uppdatera när det inte finns någon uppdatering

Det är svårt med engelska. Firmware är INTE hårdvara.

Har man fysisk access är dessa sårbarheter rätt triviala att utnyttja. Sen givet att AMD skriver följande

CVE-2023-20579 Improper Access Control in the AMD SPI protection feature may allow a user with Ring0 (kernel mode) privileged access to bypass protections potentially resulting in loss of integrity and availability.

Medan man skriver rätt likartat på övriga men utlämnar "may allow a user with Ring0 access" så får man nog räkna med att det tyvärr är rätt lätt att utnyttja även "remote" i bemärkelsen: om någon får kontroll, typiskt genom någon bugg i Windows eller något program, så kan man sedan utnyttja dessa sårbarheter för att i praktiken installera "malware" som inte går att upptäcka med antivirusprogram.

Kravet att ha "Ring0 access" betyder primärt att det då inte räcker att man får access, ovanpå det måste man även hitta någon bugg/sårbarhet som gör det möjligt att bli "admin/root".

Problemet här är att den typen av sårbarhet som behövs är inte speciellt ovanlig. Och det i sin tur är huvudorsaken till att majoriteten av alla CPU-buggar som hittades i praktiken var rätt irrelevanta. De kunde typiskt användas för att få tag i data på datorn, fast p.g.a. av frekvensen av buggar i OS/programvara som ger motsvarande tillgång fast på ett långt enklare sätt rent tekniskt var dessa buggar i praktiken inte något större hot (varje månad finns i alla fall en eller ett par sådana CVEer i de populära OS:en).

Men ser här hur AMD graderar sårbarheten att de håller med. AMD har typiskt graderat CPU-buggarna som "low" eller "medium", alla dessa fyra är graderade "high".

Kort och gott: dessa ska man nog inte lämna opatchade. Samtidigt har jag lite svårt att se hur fixar för dessa buggar skulle påverka prestanda, men går inte att säga säkert då mängden hård teknisk info kring exakt vad felen är och hur man fixar dem finns inte i CVE beskrivningarna eller i någon av de länkar som ges här.

Edit: en annan sak som pekar på att detta kan vara rätt allvarligt. Har 3 st Ryzen-system, två av dem är relativt nya (5950X/B550 och 7800X3D/B650) så där uppdateras BIOS forfarande aktivt. Den sista, 3900X, kör med ett B350 moderkort som innan detta fick senaste BIOS-uppdatering november 2022, men finns nu en beta-version med lite kryptisk info kring förändringar daterad 2024-01-31... Fast lär ändå få vänta på uppdatering till denna "Komponenterna som behöver ytterligare uppdateringar är Ryzen 3000-seriens processorer för stationära datorer".

Indikerar kanske att AMD förklarat hur pass allvarligt detta är.