确认: Kilpatrick运行了主机安全ID(HSI),一款固件审计工具,该工具报告称TSME不再受支持——即便他在之前的固件版本上拥有启用TSME的BIOS选项。此变更被具体追溯到AGESA 1.2.7.0。主板厂商微星(MSI)后来确认,TSME在AGESA 1.2.6.0中可用,但在新版中被禁用
。
社区反应: 愤怒迅速而广泛地蔓延。
AMD的官方回应: 在舆论压力下,AMD发表声明:
AMD确认:
TSME事件并非孤立事件。它符合一个通过AMD专有AGESA固件静默进行安全相关变更的模式:
AGESA DDR5 PMIC漏洞(CVE-2025-48516,2026年5月): AGESA启动加载器中针对DDR5内存模块的不安全默认配置可能导致本地权限提升和永久拒绝服务。
Zen 5微码错误(CVE-2025-62626,2025年): Zen 5中的一个高严重性漏洞,可生成潜在可预测的随机数密钥(RDSEED),通过AGESA固件更新修复。
CVE-2024-56161(2025年2月): 一个关键漏洞(CVSS 7.2),可通过允许恶意微码注入来破坏安全加密虚拟化(SEV-SNP)保护。
AGESA启动加载器缓冲区溢出(CVE-2025-29951): AMD安全处理器(ASP)启动加载器中的一个漏洞,允许权限提升和任意代码执行。
长期的AGESA透明度问题: AMD因其闭源的AGESA固件而饱受批评——这与AMD自2023年以来一直承诺过渡的开源AMD openSIL固件理念背道而驰。这种缺乏可见性意味着像TSME移除这样的安全变更可能在未经独立审计的情况下悄然发生。
TSME移除符合一个更广泛的模式:通过专有AGESA固件静默进行安全相关变更,仅由独立研究人员发现,然后在公众压力下做出被动回应。此事件再次呼吁AMD加速向开源openSIL固件倡议的过渡。就目前而言,锐龙用户应意识到,其系统报告的安全特性可能与固件实际提供的内容不符——而独立验证可能是确保安全的唯一途径。
Comments
0 comments