AMD RYZEN 3000 の脆弱性 CVE-2023-31315 が FIX：EoL に対するアップデートが公表される

AMD Extends Security Patch for RYZEN 3000, Addressing Critical SMM Vulnerability

2024/08/20 SecurityOnline — AMD プロセッサの System Management Mode (SMM) 内に存在する、深刻な脆弱性 CVE-2023-31315 (CVSS：7.5) は、以前において研究者たちにより発見されていたものである。この SMM のコードはプロセッサ・レベルで実行されるため、OSレベルで動作するアンチウイルス・ソフトウェアでは、この攻撃を検出することは無理だとされる。さらに、検出できたとしても、悪意のコードに関する削除や防御は不可能である。また、悪意のコードは OS の外部に存在するため、OS を再インストールしても除去することができない。

悪いニュースは、この脆弱性の深刻度が極めて高く、深刻なセキュリティ・リスクをもたらす点にある。ただし、SMM の脆弱性の悪用を試みる脅威アクターは、事前の準備として複数の脆弱性を組み合わせ、コンピュータのカーネルにアクセスする必要がある。

この脆弱性は、2006年以降にリリースされた全 AMDプ ロセッサに影響を及ぼす。その一方で AMD は、これらの RYZEN 1000/2000/3000 プロセッサ・シリーズが古いことを理由に、セキュリティ・パッチを提供しないことを決定した。

しかし AMD は、セキュリティ・アドバイザリを更新し、RYZEN 3000シリーズのデスクトップ・プロセッサのサポートを追加した。数日以内に、関連するセキュリティ・アップデートがリリースされる予定であり、ユーザーはファームウェアのアップデートにより、この脆弱性に対処できるようになる。

Threadripper／EPYC／RYZEN 3000 Mobile などで構成される RYZEN 3000 シリースおよび、RYZEN 3000/4000 APU などが、今回の修正対象に含まれるという。これらのファームウェア・アップデートは、すでにリリースされているか、間もなくリリースされる予定である。

セキュリティに関心のある方は、AMDのアドバイザリ・ページを参照してほしい。アップデート対象となる全製品と、対応するマイクロコード・バージョンのリストが提供されている。

EoL となっていた RYZEN 3000シリーズに、アップデートが提供されるという、嬉しいニュースです。それだけ、脆弱性 CVE-2023-31315 の影響力が大きかったということなのでしょう。よろしければ、AMD で検索も、ご利用ください。