2025-02-13 - 随机数、XKCD 漫画与 ZEN 系列最新 CPU 漏洞 CVE-2024-56161

敏锐和前瞻能力很重要，尤其对于网络安全。

笔者之前已曾强调过漏洞补丁管理需要延伸到 CPU 微码补丁：

《挖深网络安全的兔子洞：CPU 微码补丁管理》

刚刚发布不久的漏洞公告: CVE-2024-56161[1]，又再一次说明了漏洞补丁管理务必需要延伸纳入 CPU 微码补丁。

该漏洞按 CVSS 3.1 评分7.2，关系到 AMD ZEN 系列 CPU 发布的微码更新[2]。

漏洞由 GOOGLE 安全研究人员发现[3]，原理在于 CPU 使用了不安全的哈希函数去验证微码补丁的签名，导致允许具备本地管理员权限的攻击者（位于 VM 之外，RING 0 层）加载有害的微码补丁。

研究员通过测试证实，虽然该漏洞首次发现是在 ZEN 4 CPU 上，但实际从 ZEN 1 到 ZEN 4 CPU 都受影响，即包括有：

• EPYC 7001 (Naples)

• EPYC 7002 (Rome)

• EPYC 7003 (Milan/Milan-X)

• EPYC 9004 (Genoa/Genoa-X/Bergamo/Siena)

需要注意一点是海光 CPU 源自 AMD ZEN 1。但笔者条件所限，未知该 BUG 是否也存在，只能提醒一下相关读者注意了。