ラスベガスで開催された2024 DefConセキュリティカンファレンスにて、セキュリティ企業IOActiveのEnrique Nissim氏とKrzysztof Okupski氏が、AMDプロセッサの重大な脆弱性「Sinkclose」を発表しました。
この脆弱性のCVE(脆弱性識別番号)はCVE-2023-31315で、CVSSリスク評価は7.5(High)です。
Sinkcloseについて
この脆弱性は、「Ring 0」権限を持つ悪意ある攻撃者が、本来はOS上からアクセスできないさらに高い権限のSMM(システムマネジメントモード)にアクセスすることを可能にします。
SMMにアクセスされると、攻撃者は検知不可能なマルウェアを埋め込むことができ、OSが監視できないところで任意のコードを実行できてしまいます。
SMMロックをオンにしていても迂回されてしまうため駆除が困難で、IOActiveの研究者は「感染したら、基本的にPCを捨てなければならない」と述べています。
しかも影響を受けるのは、2006年以降に製造されたAMDプロセッサです。
数千万、数億個のプロセッサが影響を受ける可能性があります。
AMDが修正パッチを提供する製品
AMDがパッチ（AGESA・CPUファームウェア）を提供するのは以下のプロセッサで、
| カテゴリ | 影響を受けるCPU |
|---|---|
| データセンター向け | 第1世代AMD EPYC 第2世代AMD EPYC 第3世代AMD EPYC 第4世代AMD EPYC AMD Instinct MI300A |
| 組み込みPC向け | AMD EPYC Embedded 3000 AMD EPYC Embedded 7002 AMD EPYC Embedded 7003 AMD EPYC Embedded 9003 AMD Ryzen Embedded R1000 AMD Ryzen Embedded R2000 AMD Ryzen Embedded 5000 AMD Ryzen Embedded 7000 AMD Ryzen Embedded V1000 AMD Ryzen Embedded V2000 AMD Ryzen Embedded V3000 |
| デスクトップ向け | AMD Ryzen 3000シリーズ AMD Ryzen 5000シリーズ AMD Ryzen 7000シリーズ AMD Ryzen 4000シリーズ with Radeon Graphics AMD Ryzen 8000シリーズ with Radeon Graphics |
| ハイエンドデスクトップ向け | AMD Ryzen Threadripper 3000シリーズ AMD Ryzen Threadripper 7000シリーズ |
| ワークステーション向け | AMD Ryzen Threadripper PRO AMD Ryzen Threadripper PRO 3000WX |
| ノートPC向け | AMD Athlon 3000シリーズ with Radeon Graphics AMD Ryzen 3000シリーズ with Radeon Graphics AMD Ryzen 4000シリーズ with Radeon Graphics AMD Ryzen 5000シリーズ with Radeon Graphics AMD Ryzen 6000シリーズ with Radeon Graphics AMD Ryzen 7020シリーズ with Radeon Graphics AMD Ryzen 7030シリーズ with Radeon Graphics AMD Ryzen 7035シリーズ with Radeon Graphics AMD Ryzen 7040シリーズ with Radeon Graphics AMD Ryzen 7045シリーズ AMD Ryzen with Radeon Graphics |
https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7014.html
残念なことに、初代RyzenとRyzen2000シリーズは対象外となっています。
※当初AMDはRyzen3000シリーズも対象外にしていましたが、後になってサポートリストに追加しています。かなり人気があって売れたCPUだったので、放置による影響の大きさを考慮したものと思われます。
メーカーから修正版BIOSが提供されたら、速やかにアップデートしましょう。
各メーカーの対応（8/28更新）
先にマザーボードメーカーについてまとめます
GIGABYTE
GIGABYTEは、8月下旬よりSinkclose脆弱性に対処したパッチを順次公開する予定であるとアナウンスしています。
適合するバージョンと型番シリーズは、以下の表の通り。
| マザーボード製品シリーズ | 適合 UEFI BIOS AGESA バージョン |
| AM5 600系 | AMD AGESA 1.2.0.1(Ryzen 8000 / 7000 シリーズ) |
| AM4 500 / 400 / 300系 | AMD AGESA 1.2.0.Cb(Ryzen 5000 / 5000G / 4000G シリーズ)AMD AGESA 1.2.0.Cc(Ryzen 3000 シリーズ) |
| sTRX4 TRX40系 | AMD AGESA 1.0.0.B(Ryzen Threadripper 3000 シリーズ) |
| sTR5 TRX50系 | AMD AGESA 1.1.0.0f(Ryzen Threadripper 7000 / PRO 7000 シリーズ) |