华硕BIOS测试版固件暴露AMD代码验证漏洞 可能会造成严重安全后果

华硕日前向部分产品推出的 BIOS 测试版固件无疑中爆出 AMD 处理器的安全漏洞，当然这也不能算是意外，毕竟固件来自作为上游的 AMD，既然华硕已经都发布测试版说明 AMD 已经将固件分发给主板制造商进行适配。

发现漏洞的是谷歌安全团队的研究人员，该漏洞似乎和微代码有关，借助漏洞攻击者可以绕过 AMD 签名微代码并将恶意代码加载到处理器中。

目前 AMD 已经确认该漏洞确实是真实有效的，AMD 强调利用该漏洞需要本地管理员权限并开发和执行恶意微代码，因此利用难度相对来说是比较高的。

但即便如此对于某些高安全企业来说这依然存在安全风险，AMD 已经在开发和部署缓解措施，用来规避具有本地管理员权限的攻击者借助漏洞发起攻击。

安全专家推测这个漏洞的危害程度应该是挺高的，如果攻击者能够加载任意微代码，那就有可能破坏处理器的核心安全功能，例如系统管理模式 SMM、安全加密虚拟化 – 安全嵌套分页 SEV-SNP 以及动态可信测量根 DRTM 等。

具体漏洞细节暂时是不会披露的，好在目前 OEM 只是在适配和测试阶段并未广泛发布固件更新，因此现在撤回还来得及，等 AMD 修复漏洞后再更新固件。

[超站]友情链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
关注数据与安全，洞悉企业级服务市场：https://www.ijiandao.com/