AMDは、初代Zenチップから最新のZen 4プロセッサに至るまで、ZenベースのCPUに4つの脆弱性が見つかったことを公表しました。影響を受けるチップの中には、この問題を修正するBIOSバージョンがすぐに入手できるものがないものもあります。これらの脆弱性は、BIOSを格納するフラッシュチップに接続するSPIインターフェースのセキュリティを侵害するもので、異なる世代のZen CPUに影響を与えるため、すべてのプロセッサが4つの脆弱性すべてに影響を受けるわけではありません。AMDは、マザーボードBIOSのベースコードであるAGESAの新バージョンを通じてこれらの脆弱性を修正しています。しかし、すべてのマザーボードベンダーがパッチ適用済みのAGESAを含む新しいアップデートをリリースしているわけではありません。
4つの脆弱性はそれぞれ異なるものですが、CPUとシステムファームウェアが格納されているマザーボード上のチップを接続するSPIインターフェースに起因しています。これらの脆弱性を悪用されると、ハッカーはサービス拒否攻撃、権限昇格、さらには任意のコードの実行さえも実行できる可能性があります。特に最後の任意コード実行は恐ろしいものです。任意のコード実行とは、基本的にコンピューターを騙してコードを実行させることを意味し、そのコードは実にあらゆるものになり得るからです。しかし、いずれの攻撃も影響を受けるシステムへのローカルアクセスを必要とするため、この脆弱性を悪用するには、特に用心深い攻撃者が必要になるでしょう。
スワイプして水平にスクロールします
| プロセッサシリーズ | パッチを当てたAGESA | OEMへの提供 |
| ライゼン 3000 | コンボAM4v2PI 1.2.0.B | 8月25日以降 |
| Ryzen 3000 モバイル | ピカソPI-FP5 1.0.1.0 | 5月31日以降 |
| アスロン 3000 | コンボAM4v2PI 1.2.0.B | 8月25日以降 |
| ライゼン 4000 | ルノワールPI-FP6 1.0.0.D | ターゲット2月 |
| ライゼン 4000G | コンボAM4v2PI 1.2.0.C | 2月7日以降 |
| ライゼン 5000 | コンボAM4v2PI 1.2.0.B | 8月25日以降 |
| ライゼン 5000G | コンボAM4v2PI 1.2.0.C | 2月7日以降 |
| Ryzen 5000 モバイル | セザンヌPI-FP6 1.0.1.0 | 1月25日以降 |
| ライゼン 6000/7035 | レンブラントPI-FP7 1.0.0.A | 12月28日以降 |
| ライゼン7000 | コンボAM5PI 1.0.0.8 | 8月29日以降 |
| ライゼン 7020 | メンドシノPI-FT6 1.0.0.6 | 1月3日以降 |
| ライゼン 7040 | フェニックスPI-FP8-FP7 1.1.0.0 | 10月6日以降 |
| ライゼン 7045 | ドラゴンレンジFL1PI 1.0.0.3b | 8月30日以降 |
数か月前の最新バージョンのAGESAはEpyc CPUも保護しており、Threadripperは1月にAGESAアップデートを受け取りました。しかし、今回の開示情報にはThreadripper 7000については触れられていません。これは、AMDがこれらの脆弱性を早期に把握し、最新のHEDT CPUにバグのあるAGESAが搭載されないようにした可能性を示唆しています。AMDの組み込みCPUのうち、セキュアなAGESAがまだ搭載されていないのは2つのみで、AGESAは4月にリリース予定です。
スワイプして水平にスクロールします
| プロセッサシリーズ | パッチを当てたAGESA | OEMへの提供 |
| 第1世代Epyc | ナポリPI 1.0.0.K | 4月27日以降 |
| 第2世代Epyc | ローマPI 1.0.0.H | 11月11日以降 |
| 第3世代Epyc | ミラノPI 1.0.0.C | 12月18日以降 |
| 第4世代Epyc | ジェノアPI 1.0.0.8 | 6月9日以降 |
| スレッドリッパー 3000 | CastlePeakPI-SP3r3 1.0.0.A | 11月21日以降 |
| スレッドリッパー プロ 3000WX | キャッスルピークSPI-sWRX8 1.0.0.C | 11月29日以降 |
| スレッドリッパー プロ 5000WX | シャガールWSPI-sWRX8 1.0.0.7 | 1月11日以降 |
| Epyc 組み込み 3000 | シロフクロウ PI 1.1.0.B | 12月15日以降 |
| Epyc 組み込み 7002 | エンブロメPI-SP3 1.0.0.B | 12月15日以降 |
| Epyc 組み込み 7003 | EmbMilanPI-SP3 1.0.0.8 | 1月15日以降 |
| Epyc 組み込み 9003 | EmbGenoaPI-SP5 1.0.0.3 | 9月15日以降 |
| Ryzen 組み込み R1000 | 組み込みPI-FP5 1.2.0.A | 7月31日以降 |
| Ryzen 組み込み R2000 | 組み込みPI-FP5 1.0.0.2 | 7月31日以降 |
| Ryzen エンベデッド 5000 | エンバム4PI 1.0.0.4 | 9月22日以降 |
| Ryzen 組み込み V1000 | 組み込みPI-FP5 1.2.0.A | 7月31日以降 |
| Ryzen 組み込み V2000 | 組み込みPI-FP6 1.0.0.9 | ターゲット4月 |
| Ryzen 組み込み V3000 | 組み込みPI-FP7r2 1.0.0.9 | ターゲット4月 |
もちろん、AGESAの新バージョンはBIOSの新バージョンを通じて配布されるため、たとえ新しいAGESAが技術的に利用可能になったとしても、マザーボードに搭載されるまでにはしばらく時間がかかる可能性があります。Epyc、組み込み、モバイルCPUの場合、最新のAGESAバージョンを搭載したBIOSを提供しているマザーボードの数を特定することは困難ですが、コンシューマー向けRyzenおよびThreadripperボードの場合、この情報ははるかに入手しやすく、見つけやすいです。大手4社のデスクトップマザーボードを調査し、AGESAバージョンに関する各社の状況を確認しました。
スワイプして水平にスクロールします
| 行0 - セル0 | 300シリーズ | 400シリーズ | 500シリーズ | TRX40 | WRX80 | 600シリーズ |
| エイスース | コンボAM4v2PI 1.2.0.A | コンボAM4v2PI 1.2.0.B | コンボAM4v2PI 1.2.0.B | キャッスルピークPI-SP3r3 1.0.0.7 | シャガールPI-SP3r3 1.0.0.5 | コンボAM5PI 1.1.0.2b |
| アスロック | コンボAM4v2PI 1.2.0.B | コンボAM4v2PI 1.2.0.B | コンボAM4v2PI 1.2.0.B | キャッスルピークPI-SP3r3 1.0.0.9 | シャガールPI-SP3r3 1.0.0.6 | コンボAM5PI 1.1.0.2b |
| ギガバイト | コンボAM4v2PI 1.2.0.B | コンボAM4v2PI 1.2.0.B | コンボAM4v2PI 1.2.0.B | キャッスルピークPI-SP3r3 1.0.0.7 | シャガールPI-SP3r3 1.0.0.6 | コンボAM5PI 1.1.0.2b |
| MSI | コンボAM4v2PI 1.2.0.A | コンボAM4v2PI 1.2.0.A | コンボAM4v2PI 1.2.0.B | キャッスルピークPI-SP3r3 1.0.0.4 | 不明だがパッチ未適用 | コンボAM5PI 1.1.0.2b |
* 包括的なリストではなく、すべてのマザーボードに当てはまるとは限りません
AM5マザーボードは4つの脆弱性に対して完全にパッチが適用されているようです。つまり、Ryzen 7000およびRyzen 8000チップを搭載したコンピューターは問題なく動作するはずです。前述の通り、AMDはThreadripper 7000に関する情報を一切公開していないため、TRX50およびWRX90マザーボードも同様に問題がないと考えられます。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
残念ながら、AMDの旧世代ソケットのユーザーにとって、アップデートはAM5ほど迅速ではありません。私たちの知る限り、現在までにAGESAバージョン1.2.0.Cを採用したBIOSを提供するAM4マザーボードは存在しません。つまり、Ryzen 4000Gおよび5000G APUは、どのメーカーのマザーボードであっても脆弱です。AGESAバージョン1.2.0.Bは、大手4社の500シリーズマザーボードで広く利用可能ですが、300シリーズと400シリーズでは同じことが言えません。ASUSとMSIの300シリーズマザーボードは、MSIの400シリーズマザーボードと同様に、バージョン1.2.0.Aのままです。
一方、Threadripper 3000シリーズのTRX40はほぼ安全ですが、MSIはTRX40ボードのバージョン1.0.0.4以降アップデートしていません。しかし、Threadripper Pro 3000WXと5000WXは、WRX80ソケットがどのベンダーの製品を使っていても完全に脆弱であるため、これまでのところかなり不利な立場に置かれているようです。これは、AGESA版が発売されてからまだそれほど時間が経っていないためだと願うばかりです。
マシュー・コナッツァーは、Tom's Hardware USのフリーランスライターです。CPU、GPU、SSD、そしてコンピューター全般に関する記事を執筆しています。
