AMDは、RyzenおよびEPYCプロセッサに合計13件のセキュリティ欠陥が存在するというCTS Labsの報告に対し、ついに完全な回答を発表しました。チップメーカーの回答の要約は以下の通りです。
脆弱性を悪用するには管理者権限が必要脆弱性はx86アーキテクチャではなくファームウェアとチップセットに関係するパッチはOEMとODMを通じてBIOSアップデートとファームウェアパッチのみの形で提供され、マイクロコードアップデートは不要すべての問題は「数週間」以内に解決されるが、AMDは90日以内を目指していると強く推測されるパフォーマンスへの影響は予想されない
報告書発表直後に流れた一部の報道は、まるでAMDの株価を中傷する記事のように思わせました。さらに、CTS Labsの名前はそれまで誰も聞いたことがありませんでした。その後、CTS Labsが報道機関（Tom's HardwareやAnandTechなど）に受けたインタビューは、事態をさらに不透明にしました。
この件に関する CTS Labs 独自のホワイトペーパーのみを参考にして、ここではセキュリティ上の欠陥をできる限り詳しく説明しました。
この投稿で、AMD のマーク・ペーパーマスター氏は次のように書いている。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
サードパーティの研究者によって特定されたセキュリティ問題は、AMD「Zen」CPUアーキテクチャや、2018年1月3日に公開されたGoogle Project Zeroの脆弱性とは関係ありません。これらの問題は、当社製品の一部に組み込まれたセキュリティ制御プロセッサ（AMDセキュアプロセッサ）を管理するファームウェア、およびAMDプロセッサをサポートする一部のソケットAM4およびソケットTR4デスクトッププラットフォームで使用されるチップセットに関連しています。
ペーパーマスター氏はアクセスの問題にも言及しました。つまり、脆弱性を悪用するには、金属へのアクセスが必要になるということです。彼は次のように述べています。
さらに、今日のすべての最新オペレーティング システムとエンタープライズ品質のハイパーバイザーには、Windows 環境の Microsoft Windows Credential Guard など、これらのセキュリティ問題に影響を与えるために克服する必要がある不正な管理アクセスを防止するための多くの効果的なセキュリティ制御が実装されています。
CTS Labs は、企業レベルの脅威が現実に起こり得るかのように見せかけていますが、AnandTech がこの問題を追及すると、CTS Labs は次のように明確に説明しました。
正直に言うと、この特定の状況（サーバー上で仮想マシンを実行する）では、脆弱性はあまり役に立ちません。しかし、サーバーが侵害され、クラウドプロバイダーがメモリを暗号化することで顧客データを分離するために安全な仮想化を利用しているとします。そして、誰かがサーバー上でエクスプロイトを実行し、SPに侵入した場合、このメカニズムとこのメカニズムが改ざんされる可能性があります。
AMDの回答では、CTS Labsの4つの脅威カテゴリが3つに集約されていることに留意してください。AMDは、3つのカテゴリすべてにおいて管理者アクセスが必要であり、すべての攻撃にはシステムのセキュリティが既に侵害されている必要があると述べています。
すべてのパッチは、今後 90 日以内に AMD の ODM および OEM パートナーを通じて提供される予定です。
セス・コラナーは以前、トムズ・ハードウェアのニュースディレクターを務めていました。キーボード、バーチャルリアリティ、ウェアラブル機器を中心としたテクノロジーニュースを担当していました。
