News Updates verfügbar oder geplant: Unzählige Sicherheitslücken in AMD-CPUs und Intel-Produkten

[Sapphire Fan]

Checke das grad nicht. Meine Agesa laut Bios ist ComboAM5PI_1101. Muss ich da nun was updaten wenn was kommt oder bin ich damit schon sicher (also gegen die neuen Bedrohungen geschützt)?

 

[Tulol]

Wieso kommt so plötzlich eine so große Anzahl an Sicherheitslücken zum Vorschein?

Weil solche infos vor rund 25 Jahren oft nur bei den wenigen relevanten Personen angekommen sind und nicht wie Heute quer durchs Netz gejagt werden wie die Sau durchs Dorf.

Ergänzung (15. Februar 2024)

bin ich damit schon sicher (also gegen die neuen Bedrohungen geschützt)?

Du bis 'sicher'. Es sei denn du lässt jemand fremdes an deinen PC um dort dann für dich unplausible dinge zu tun.

 

[Simanova]

Bei meinem Gigabyte B650E Aorus Master Board besteht nur folgendes Problem:

• Das letzte nicht-Beta BIOS für Ryzen 7000 hat Agesa 1.0.0.7c, Bios F8
• Das letzte nicht-Beta BIOS für Ryzen 8000 soll fehlerbehaftet sein, Bios F21
• Und das letzte Beta BIOS für Ryzen 8000 kommt für mich nicht in Frage, BIOS F22b

Jetzt muss Gigabyte entweder F9 mit Agesa 1.0.0.8 rausbringen,
oder F22/F23 mit Agesa 1.1.0.2.

 

[dernettehans]

"Die gute Nachricht zuerst: Für viele der jetzt veröffentlichten Lücken gibt es schon BIOS-Updates" wo ist das bitte eine gute Nachricht? Ich werde bestimmt kein Bios updaten ohne zu wissen, ob es Performance kostet. Ich sag nur Inception -54%. Ich bleib bei AGESA 1.0.0.7c, für immer.

 

[Sapphire Fan]

@Tulol

das meint ich nicht so. Ich wollte wissen ob ich gegen die nun veröffentlichten Bedrohungen bereits geschützt bin oder nicht.

 

[Lord B.]

So lange es lokalen Zugriff benötigt, werde ich privat keine BIOS Updates machen, mein System läuft seit langer Zeit stabil, daran werde ich nichts ändern, bin zu alt für die Bastelarbeiten mittlerweile.

Im öffentlichen bzw. Geschäftsumfeld ist es natürlich unabdingbar die Patches einzuspielen.

 

[TenDance]

@Volker Da ihr ja fleißig über Sicherheitslücken in Hardware berichtet... wäre es einen Artikel wert die update-Politik der Computer- sowie Mainboardhersteller unter die Lupe zu nehmen?
Ja, vieles kann man händisch aus dem Internet suchen, allerdings habe ich mehrfach die Erfahrung gemacht dass Mainboardhersteller so ein zwei Jahre nach release das Thema "updates" an die Google-Suche für den Nutzer abgeben.
Mein Smartphone wird mittlerweile selbst dann mit Updates versorgt wenn ich - alltagsbedingt - mit Akku und Display potentiell wichtige Bauteile ausgetauscht habe, aber mainboards welche potentiell Jahre, Jahrzehnte laufen könnten (gerade im Büro, wenn nicht Win11 wäre könnte man mit einem Q6600 noch gut arbeiten) bekommen je nach Hersteller häufig nach zwei Jahren die Software-Axt angesetzt.

Ähnlich und doch anders ist es bei Notebooks. Prinzipiell kann man diese ja häufig mit Hersteller-Treibern versorgen, in der Praxis braucht es dann doch wieder eine Modifikation damit auch ja jede Funktion erhalten bleibt - oder die Suche nach dem passenden Treiber ist für "Unwissende" nahezu unmöglich weil nicht mal einfach ersichtlich ist welches Bauteil-Modell überhaupt verbaut ist.

Zwei Beispiele für einen Z390, also nicht wirklich neu, aber auch noch lange lauffähig:

Gigabyte mit einem nicht günstigen, aber nicht Highend-Mainboard:

https://www.gigabyte.com/de/Motherboard/Z390-AORUS-PRO-rev-10/support#support-dl-bios

Letztes UEFI von Jan 2024, davor allerdings eine jahrelange Lücke. Immerhin. Treiber teilweise auch halbwegs aktuell.

Asus mit einem nicht günstigen, für Asus-Verhältnisse aber soliden Modell:

https://rog.asus.com/de/motherboards/rog-strix/rog-strix-z390-f-gaming-model/helpdesk_bios/

letztes UEFI von 2021, Treiber im Wesentlichen auch auf dem Stand.


Schön wenn Intel und AMD patches bereit stellen, aber der support seitens der MB-Hersteller ist traditionell unterirdisch. Und da hatten wir jahrelang mit Routern und Co eigentlich Produktkategorien welche die Messlatte arg niedrig gesetzt haben.

Worum es mir dabei geht: ich mach den Kram hier seit über dreißig Jahren, mir hat ASUS Mitte der 90er auch noch Disketten mit BIOS-Dateien geschickt (Internetz war damals noch nicht so weit).
Allerdings ist IT bei viel viel mehr Personen mitten im Leben angekommen welche weder Zeit noch Lust noch Kenntnis haben manuell nach diesen Updates zu suchen respektive ihr System zu pflegen. Mal abgesehen von dem Schaden welcher ihnen entstehen könnte, züchtet man sich mit diesem Verhalten potentiell Botnetze heran...

 

[MGFirewater]

@Simanova ehrlich, ich habe das B550 Aorus Pro seit dem release Tag von Ryzen 5800 und ich habe mich noch nie um den buchstaben hinter der fxx geschert.

wenn gemutmaßt wurde, dass es performance einbrüche gibt, habe ich es getestet und ich habe in all der zeit nur einen einzigen downgrade gemacht. und das war nur, weil mal gemutmaßt wurde, dass man von einer bestimmten agesa (gaube 1.2.0.3.c) nicht mehr auf eine ältere zurückwechseln kann. aber auch das ging.

ich nutze aktuell f16h und die ist top. und seit dem habe ich vielleicht 5 mal manuel meine ram oc eintippen müssen. zu 85% wurde es immer korrekt übernommen. und auch karuh wurde danach nicht instabiler.
curve optimizer musste ich vor 1,5 jahren mal neu machen. aber das kann auch am corecylcer gelegen haben, der ein große update bekam. die cpu läuft aber seitdem mit bestimmt schon 6-10 agesa identisch.

 

[Simanova]

ich nutze aktuell f16h und die ist top.

Das ist auch die neuste Version für das Mainboard. Mit AMD AGESA V2 1.2.0.B / damit von der Sicherheitslücke nicht betroffen.

 

[22428216]

Mal ne Frage (für einen Freund ;-) ).
Und das bekommt man nun gefixt, indem man das neueste Mainboard-Bios vom Hersteller aufspielt?
(Davon ausgegangen, er hat es dabei berücktsichtigt.)

Als ich das das letzte mal gemacht habe, lief mein RAM nicht mehr auf 3200,
ohne Systemabstürze. Ich habe mich gefreut!

 

[SP-937-215]

Danke für den Hinweis, somit im privaten Umfeld (physischer Zugriff) nicht nötig. "Never touch a running system"

 

[NameHere]

Unter Linux werden werden die mitigations eingepflegt und ausgeführt. Also müsste man physischen Zugriff auf das System haben. Ob Windows das genau so handhabt, bin ich überfragt.

 

[Mr. Vega]

Ich will ja nicht darauf rum hacken... Aber wo sind jetzt die Leute, die damals Intel gehatet und ausgelacht haben ?

Artikel gelesen? Intel ist ebenso betroffen.
Unnötiger Kommentar also.
Seit damals wurden bei Intel und AMD zig weitere und neue Sicherheitslücken entdeckt und behoben.
Das kommt immer wieder vor, ist nichts Ungewöhnliches oder Neues.

 

[mibbio]

Ich will ja nicht darauf rum hacken... Aber wo sind jetzt die Leute, die damals Intel gehatet und ausgelacht haben ?

Bei den Sicherheitslücken in Intel CPUs waren aber auch zwei Dinge anders. Bei Spectre & Co kosten die Mitigations unter Umständen merklich Performance. Der andere Aspekt war der Umgang von Intel mit den Sicherheitslücken. Die wurden nämlich nicht von Intel kommuniziert, sondern von Dritten gefunden und veröffentlicht, während Intel teils versucht hat, die zu relativieren und Fixes eine Weile gebraucht haben.

Also nicht wie jetzt AMD die Sicherheitslücken selber bekannt gibt und gleichzeitig entsprechende Fixes bereitstellt und in Aussicht stellt.

 

[BorstiNumberOne]

Und wochenweise stehen hierzulande Firmen still, weil sie verschlüsselt wurden, oder es landen mal wieder die Daten von tausenden Leuten im Netz.

Wobei das ja meist als Ursache hat, weil Leute Ihren per Mail kostenlos zugesandten Amazon Gutschein einlösen wollen, sie ein iPhone gewinnen können oder eben mal Ihre Bankdaten verifizieren sollen. Aber gut, mal sehen ob es für meine Schleuder noch BIOS Updates geben wird. Das kam jetzt die letzten beiden Jahre nur noch im Jahresrhytmus.

Edit: Gerade mal geschaut, es gibt ein Beta BIOS vom 19.01.24. Hmmm.
Edit2: Doch mal das neueste BIOS, die Version L2.22 installiert.

 

[h3@d1355_h0r53]

Ich will ja nicht darauf rum hacken... Aber wo sind jetzt die Leute, die damals Intel gehatet und ausgelacht haben ?

Hier. Und du kannst nachlesen warum ich Intel vor Jahren "gehatet" habe: Die haben die Lücke gekannt und sich 6 Monate darauf vorbereitet indem sie ihre Marketing Abteilung arbeiten ließen um die Kacke kleinzureden. BIOS Updates? Gab es kaum, v.a. nicht bei Bekanntwerden und gar nicht für ältere Systeme. Und es hat Leistung gekostet. Wenn ich jetzt schaue was bei unseren AMD Systemen Stand der Dinge ist:

• Asus Strix B450-I von 2018 hat das BIOS Update bereits vor 3 Monaten erhalten
• MSI Gaming B450-I von 2018 hat das BIOS Update noch nicht erhalten, sollte aber nächsten Monat kommen
• Asus Strix B650E-I von 2022 hat das BIOS Update bereits vor 4 Monaten erhalten

Rechne ich die Mainboards auf der Arbeit dazu, dann schaut das noch besser aus und die Quote ist weit über 66%, wobei das auch am favorisierten Hersteller liegen mag.

Aber in der jetzigen Meldung steht ja auch, dass Intel schon ordentlich daran gearbeitet hat. Und damit meine ich nicht die Marketingabteilung, sondern tatsächlich die Entwicklungsabteilung. Ist ja gut wenn sie aus Fehlern lernen.

 

[ZeroCoolRiddler]

Muss ich da nun was updaten wenn was kommt oder bin ich damit schon sicher

Für den aktuellen Stand bist du bereits versorgt. Kommt was neues an Lücken, könntest du updaten.

 

[bad_sign]

Die Updates sind ja schon seit monaten drauf, naja so sollte es ja sein

Nur mein Deskmini A300 mit 4650 Pro, da steh ich dumm da (4000er Support nur durch Betabios)

 

[tox1c90]

Ich glaube ja, dass die CPUs sowohl von Intel als auch AMD mittlerweile so sicher sind wie niemals zuvor. Die langen Listen mit gefundenen Sicherheitslücken resultieren ja daraus, dass viele Leute aktiv danach suchen und alles abklopfen, und dass diese Lücken dann geschlossen werden. Hunderte Einträge zu Sicherheitslücken bedeuten hunderte dichtgemachte Angriffsvektoren.

Ich denke nicht, dass CPUs früher alle so viel sicherer waren, dass es derartige Lücken nicht gab. Ich gehe eher davon aus, dass es in der 386er, Pentium 1-4 Ära einfach niemanden in dem Maße interessiert hat wie heute. Nimmt man also mal an, dass die Prozessoren damals genauso viele Lücken hatten wie heute, nur dass damals eben mangels einfacher und verbreiteter Updatepfade diese in der Regel eben ungefixt geblieben sind. Ältere CPUs aus der Zeit sind vermutlich, würde es jemand darauf anlegen (was sich halt nicht lohnt), offen wie ein Scheunentor.

Heute ist es ja so, dass man ständig davon liest „wieder mal Lücke in Intel/AMD-CPUs“, aber in aller Regel sind das dann hanebüchene Angriffsszenarien, die vollzogen werden müssen, um diese auszunutzen, weil die Komplexität der noch vorhandenen Lücken durch das ständige Patchen eben extrem gestiegen ist.

 

[ThePlayer]

Ich Frage mich mittlerweile ob mich das auf meinen Rechnern Zuhause irgendwie tangiert. Da es doch fast immer Lücken sind die direkten Zugriff auf den Rechner benötigen. Und da dort außer mir und meiner Familie niemand dran sitzt. Ist es doch eigentlich total Banane oder habe ich hier einen Denkfehler?