Prozessoren-Patchday: AMD und Intel verteilen Updates

AMD und Intel haben im Mai ebenfalls einen Patchday begangen und beheben in dessen Rahmen sicherheitsrelevante Fehler in Prozessoren und deren Peripherie. Zudem haben chinesische Forscher weitere Seitenkanalangriffe in Spectre-Manier auf AMD- und Intel-Prozessoren entdeckt.

BIOS-Schwachstellen

Intel hat im BIOS für zahlreiche Prozessoren mehrere Sicherheitslücken gefunden, die das Unternehmen mit dem Schweregrad "hoch" einstuft. Angreifer könnten durch sie ihre Rechte ausweiten oder unbefugt Informationen auslesen. Aber auch im Intel Boot Guard und der Trusted Execution Technology mehrerer Prozessoren finden sich Lücken, die es Angreifern ermöglichen, an höhere Rechte zu gelangen – hier ist jedoch lokaler physischer Zugriff nötig.

In der Übersicht führt Intel alle Core-i-Prozessoren bis einschließlich der 10. Generation (Comet Lake, Ice Lake) unter den betroffenen Modellen auf. Da in der Liste auch Rocket-Lake-Xeons enthalten sind, dürften allerdings auch die Core-i-11000-Modelle für Desktop-PCs wie der Core i9-11900K betroffen sein. Bei Alder Lake (Core i-12000) hat Intel die Sicherheitslücken offenbar schon vor dem Verkauf behoben.

Für alle anderen CPUs stellt Intel BIOS-Updates bereit, die wiederum PC- und Mainboard-Hersteller in BIOS-Updates für ihre jeweiligen Produkte integrieren müssen. Der PC-Hersteller Lenovo hat bereits eine eigene Sicherheitsmeldung zur letzten Schwachstelle veröffentlicht, in der betroffene Geräteklassen verlinkt sind, mit den einzelnen Maschinen und deren Update-Status – ob noch in Arbeit oder in welcher BIOS-Version die Fehler behoben wurden.

Auch bei AMD gibt es Schwachstellen, die die Firma als hohes Risiko einstuft. Sie betreffen eigentlich den AMD Secure Processor (ASP, früher PSP genannt), den System Management Mode (SMM) oder die System Management Unit (SMU). Alle Prozessoren bis einschließlich der Zen-3-Generation weisen die Sicherheitslücken auf, darunter die Ryzen 5000, alle Ryzen Threadripper und Epyc-CPUs. Auch hier sind BIOS-Updates nötig, um die Sicherheitslücken abzudichten.

Seitenkanal

Danping Li und Ziyuan Zhu vom Institute of Information Engineering der Chinese Academy of Sciences haben potenziell gefährliche Seitenkanal-Angriffsmöglichkeiten bei AMD und Intel gefunden, die an die Spectre-Lücke gemahnen. Beide Prozessorentwickler stufen das Risiko jedoch als niedrig ein. Intel nennt die Schwachstelle "Speculative Cross Store Bypass", AMD hingegen "Speculative Load Disordering".

AMD beschreibt die Schwachstelle so: AMD-Prozessoren könnten spekulativ Lade-Befehle umsortieren, wodurch veraltete Daten beobachtet werden können, wenn mehrere Prozessoren auf gemeinsamen genutzten Speicher (Shared Memory) zugreifen – was in potenziell unbefugten Informationszugriff mündet. Intel hält sich mit einer Beschreibung derzeit vornehm zurück.

Die Firmware-Updates erhalten Endkunden in der Regel nicht direkt, sondern müssen darauf hoffen, dass Computerhersteller die in ihre eigenen BIOS-Versionen integrieren und verteilen. Bisher fällt da insbesondere Lenovo positiv auf. Auch andere Anbieter wie HP liefern Firmware-Updates aus, allerdings mit Verzögerung. Viele Nutzer gehen daher leer aus, wenn Anbieter einfach keine BIOS-Updates für ältere Geräte mehr veröffentlichen.

(dmk)