近日，AMD與谷歌聯(lián)合宣布了一項(xiàng)關(guān)于AMD Zen系列CPU的重要安全發(fā)現(xiàn)。這一關(guān)鍵微碼漏洞首次于2024年9月被揭露，主要涉及服務(wù)器及企業(yè)級(jí)平臺(tái)的EPYC CPU，具體涵蓋Zen 1至Zen 4系列。漏洞編號(hào)CVE-2024-56161，在谷歌安全研究團(tuán)隊(duì)于GitHub發(fā)布的報(bào)告以及AMD的官方安全公告中得到了詳盡闡述。
據(jù)谷歌的文檔記錄，該漏洞于去年9月25日首次被報(bào)告給AMD。經(jīng)過(guò)約兩個(gè)半月的努力，AMD在2024年12月17日成功修復(fù)了這一問(wèn)題。然而，為了給予AMD客戶充足的時(shí)間在應(yīng)用環(huán)境中部署修復(fù)措施，防止漏洞信息被惡意利用，雙方?jīng)Q定將公開(kāi)披露日期推遲至近日。
AMD官方聲明指出，谷歌研究人員向AMD通報(bào)了這一潛在漏洞。一旦該漏洞被成功利用，將可能導(dǎo)致基于SEV（安全加密虛擬化）的機(jī)密訪客保護(hù)功能失效。SEV是AMD服務(wù)器級(jí)CPU的一項(xiàng)關(guān)鍵功能，旨在通過(guò)虛擬化技術(shù)提升系統(tǒng)安全性。在虛擬化環(huán)境中，用戶設(shè)備的功能相對(duì)簡(jiǎn)化，數(shù)據(jù)處理和存儲(chǔ)主要依賴(lài)于中央服務(wù)器，這種設(shè)置旨在降低成本并增強(qiáng)安全性。
該微碼漏洞若被利用，不僅可能導(dǎo)致SEV保護(hù)功能失效，使得虛擬化用戶的保密數(shù)據(jù)面臨泄露風(fēng)險(xiǎn)，還可能引發(fā)更為復(fù)雜的攻擊行為，如數(shù)據(jù)盜竊等。受影響的AMD EPYC CPU系列包括EPYC 7001（那不勒斯）、EPYC 7002（羅馬）、EPYC 7003（米蘭和米蘭-X）以及EPYC 9004（熱那亞、熱那亞-X以及貝加莫/錫耶納）。
幸運(yùn)的是，AMD已經(jīng)針對(duì)這些受影響的CPU發(fā)布了微碼更新。通過(guò)適當(dāng)?shù)母鹿ぞ?，如BIOS更新等，用戶可以解決這一問(wèn)題。但AMD也提醒，對(duì)于部分平臺(tái)，可能還需要進(jìn)行SEV固件更新，以確保通過(guò)SEV-SNP認(rèn)證，從而正確支持該修復(fù)程序。這一措施旨在全面保障用戶數(shù)據(jù)的安全，防止?jié)撛诘陌踩{。
