AMD confirme que le processeur Zen 5 est vulnérable au bug BIOS « EntrySign »
Les chercheurs de Google ont révélé une vulnérabilité de sécurité sur les processeurs AMD, affectant même les nouvelles générations. Des correctifs sont déjà disponibles, mais la situation pour les serveurs reste complexe. Découvrez l’ampleur du problème et les mesures à prendre pour vous protéger.
Des chercheurs de Google ont récemment divulgué une vulnérabilité de sécurité dédiée nommée « EntrySign » permettant l’exécution de code malveillant via des mises à jour de bios non signées sur les processeurs AMD, allant de Zen 1 à Zen 4. L’équipe d’AMD a confirmé que ses prochaines puces Zen 5 sont également affectées.
Le problème principal réside dans une faille de vérification de signature des mises à jour de bios par AMD, qui sont des correctifs de bas niveau déployés par les constructeurs de puces après expédition des CPU pour corriger des bugs ou des problèmes de sécurité. Typiquement, le système d’exploitation ou le firmware charge uniquement le bios qui a été signé et approuvé par AMD. EntrySign permet aux attaquants disposant d’un accès de niveau 0 (Core) de contourner cette protection sur les puces concernées.
Le mois dernier, AMD a indiqué qu’EntrySign avait affecté les quatre premières générations de processeurs Zen dans toute sa gamme de produits. Tout, des puces Ryzen grand public aux puissants processeurs de serveurs EPYC, était vulnérable.
L’équipe d’AMD a mis à jour son bulletin de sécurité cette semaine, confirmant que les nouvelles puces Zen 5 sont également vulnérables à ce bug. Les systèmes concernés incluent :
- Processeurs Ryzen 9000 « Granite Ridge »
- Processeurs de serveur EPYC 9005 « Turin »
- Processeurs Ryzen AI 300 axés sur l’IA avec Strix Halo, Strix Point et Krackan Point
- Processeurs pour ordinateurs portables Ryzen 9000HX « Fire Range ».
La bonne nouvelle est qu’AMD a déjà livré un correctif aux fournisseurs de cartes mères via la mise à jour ComboAM5PI 1.2.0.3c AGESA. Donc, si ce n’est pas déjà fait, vérifiez le site Web de votre fournisseur de carte mère pour une mise à jour du BIOS.
La situation des serveurs est légèrement plus complexe. Bien qu’AMD ait publié des mesures d’atténuation pour les puces de bureau et les anciennes puces EPYC touchées par EntrySign, les correctifs pour les nouveaux modèles EPYC Turin vulnérables à ce bug ne seront pas disponibles avant la fin du mois.
D’un autre côté, l’exécution de cette attaque nécessite des privilèges système élevés. Contrairement aux malwares persistants, un redémarrage efface tout bios malveillant chargé de cette manière. Bien que le risque pratique pour les consommateurs typiques soit relativement faible, le potentiel d’abus dans les centres de données et les environnements cloud représente un problème de sécurité significatif sur lequel AMD et ses partenaires constructeurs travaillent rapidement pour le contenir.
