News Zenbleed: Sicherheitslücke gefährdet Zen-2-Architektur von AMD

[bad_sign]

Als jemand mit 4650G Pro und A300 Deskmini (und damit kein offizieller Support für 4000er )
Geil
Ok, Win Updates können (und werden) das regeln

 

[Skellgon]

War es damals nicht so, dass der Fix für M&S teils enorme Leistungseinbussen mitbrachte?
Ich erinnere mich dunkel.
Dürfte hier wohl nicht anders sein.

Muss halt jeder für sich abwägen - Sicherheit gegen Performance.
Aufgrund der Tatsache, dass man nur rein theoretisch vom Leck betroffen sein KÖNNTE, wäre meine Entscheidung hier eindeutig.

 

[AncapDude]

Hier stand ein blöder Kommentar

 

[Caramon2]

Bei Matissa, Lucienne, Renoir, Mendocino wird die entsprechende AGESA erst im Dezember bereitgestellt. Diese kann dann von den Board Herstellern ins Bios integriert werden.

Eben: Bis es ins BIOS kommt - falls das für ältere Boards überhaupt noch vom Hersteller aktualisiert wird.

Seit dem sich das OS um µCode-Updates kümmert, ist man doch nicht mehr darauf angewiesen.

Meinen Link dazu hast du bei deiner Antwort natürlich weggelassen: Würde ja nicht zu deiner Argumentation passen.

 

[Akusari]

Für Privatnutzer auch relevant?

Das ist genau die Frage! Ich denke es hängt sehr stark vom Anwendungszweck des jeweiligen System ab. Ich nutze zum Beispiel zwei Ryzen 3950 als Linux-Server privat bei mir Zuhause. Grafische Oberflächen gibt es auf diesen Systemen nicht und ein Zugang ist nur per SSH via Zertifikat möglich. Da ich der einziger User mit Shellrechten bin, ist das Risiko überschaubar. Der Rest der User nutzen die Maschine als Datei-Server oder Nextcloud.

 

[mae]

Hat man jemals etwas über eine Schadsoftware/Angriffsvektor gehört die diese Lücke ausgenutzt haben?
Kann mich nicht entsinnen.

Welcher Angreifer (Nutzer von Schadsoftware) wird das bekanntmachen? Bezueglich der Opfer: Wenn ein Angreifer mit so etwas z.B. einen geheimen Schluessel erbeutet, und damit geheime Daten entschluesseln, merkt das Opfer das vielleicht gar nicht, und wenn doch, weiss es nicht, wie der Angreifer das gemacht hat. Von daher: Wenn da nicht ein neuer Snowden sowas veroeffentlich, wie solltest Du jemals davon hoeren?

Denn wenn man es eh schon auf das System geschafft hat warum dann einen enormen Aufwand betreiben um irgendwas im RAM/CPU abzugreifen wenn man die Daten gleich direkt abgreifen kann.

Zunaechst muss man es fuer Spectre nicht "schon auf das System geschafft" haben, das wurde auch schon remote demonstriert. Ansonsten gibt es ziehmlich viel, das es "schon auf das System geschafft hat": Alles in der Cloud laeuft auf der selben Hardware wie Sachen von anderen Kunden in der Cloud. Und wenn Du z.B. eine Website besuchst, ohne JavaScript abzudrehen, kann jemand mit Zugriff auf diese Website (ob jetzt legitimer Zugriff oder ein Angreifer, der sich Zugang verschafft hat) einfach Software auf Deinem Computer laufen lassen und hat es damit "eh schon auf das System geschafft". Es gibt aber verschiedene Mechanismen, die verhindern sollen, dass ein Kunde in der Cloud auf das Zeug von anderen zugreifen kann, oder dass JavaScript auf Deine Dateien zugreifen kann, ob jetzt Sandboxing, memory protection, virtual machines, secure enclaves, usw.

Ok, da tauchen ab und zu Sicherheitsluecken auf, die wohl schneller zu nutzen sind als Spectre, aber andererseits, wenn gerade keine solche Luecke zur Hand ist, kann man als Angreifer einfach Spectre nutzen, das von den CPU-Herstellern seit Jahr und Tag nicht gefixt wird.

Bzw. man nutzt als Böser Phishing oder Social Engineering, damit kann man doch viel einfacher Leute abzocken.

Wenn es so einfach ist, warum hat sich die NSA so viel Muehe gegeben, z.B. die Schluesselgenerierung zu sabotieren?

 

[Nikflin]

Manchmal hab ich das Gefühl diese Probleme treten bewusst erst dann auf wenn eine gewisse Zeit vergangen ist die ein Upgrade dann rechtfertigen würden. Wirkt auf mich wie geplante obsolesenz durch Performance einbußen bei fixes. 😔 Wie sieht es eigentlich mit Zen 2+ und Zen 3 aus?

 

[DarkSoul]

Wer auf Updates für seine alten X570/B450 Boards wartet, kann hier vermutlich lange warten. Die meisten von den Herstellern werden hierfür kaum noch Updates liefern, da schon längst aus dem Entwicklungszyklus raus.

Boah, das klingt so als würde ich asbachuralt Hardware am Laufen haben... Mein Board ist von 2019, meine GPU von 2020... und mein letztes Bios-Update vom 3.7.2023 wohl wegen einer fehlenden Option, die für Intels Arcv GPUs wichtig ist: "Add ASPM Control item".

 

[SavageSkull]

Ist die SteamDeck APU nicht auch ein Zen 2?

 

[LochinSocke]

Gentoouser haben das schon längst gefixt!

https://bugs.gentoo.org/show_bug.cgi?id=CVE-2023-20593


Warum benutzen Leute so ein Frickelbetriebsystem wie Windows?

 

[greatdisaster]

Den Artikel hast Du gelesen? Ein Microcode Update ist schon fertig. Beschwer dich bei deinem Mainboard-Hersteller, wenn der das nicht ausliefert, da hat AMD nichts damit zu tun.

Das ist inkorrekt.
Es gibt ein Microcode Update bisher nur für die EPYC CPUs aber nicht für die Consumer CPUs.
AMD sagt selber das deren Bios Blob (AGESA) das die Mainboard Hersteller implementieren können erst im Oktober bis Dezember zur Verfügung steht. Erst ab dann sind die Hersteller an weiteren Verzögerungen Schuld.

Man muss erst einmal froh sein das man so einen Fehler anscheinend per Mikrocode Update lösen kann.
Kennt jemand noch den Pentium FDIV Bug ? Da musste man das Silizium tauschen.

Was ich mich auch noch Frage ist was das Chicken Bit konkret in der CPU deaktiviert.
Möglichwerweise einen kompletten Bereich der spekulativen Vorhersage ?

 

[andi_sco]

Ich sage selbst erfüllende Prophezeiung

Ja, ja, mach mir noch Mut

 

[[wege]mini]

Augen auf, beim Eierkauf.

Wer sich von einem umstürzendem Baum, einem fahrenden Auto oder einer Straßenbahn töten lässt, hat einfach zu viel geträumt oder heutzutage auf sein Smartphone gestarrt.

So leicht, stirbt es sich nicht.

Auch ein Blitzschlag ist nicht so tödlich, wie immer behauptet wird und sogar die meisten Opfer von Schussverletzungen sterben am Schock.

Panik, Angst oder Unwissenheit, sind nie gute Ratgeber.

Vorbeugen, nicht auf die Schuhe kotzen.

mfg

 

[flappes]

Interessant was es heutzutage alles für Sicherheitslücken gibt.

Je komplexer die Systeme, desto ...

 

[netzgestaltung]

naja, einen 3600 hab ich noch in betrieb. mal schauen.

 

[Intruder]

Ich gehe doch nicht auf Bild.de und danach mit dem selben System, auf Sparkasse.de

frag mal nach wie viele sich hier überhaupt um den Ballast, Datenmüll und Datenkraken gekümmert haben, die beim Surfen mit in den Cache landen und als Cookies abgelegt wurden. Die wenigsten werden ihre Browser so eingestellt haben das nach dem Beenden alles gelöscht und entfernt wurde, was angelegt wurde und noch weniger werden eine kleine RAM Disk angelegt haben worin Temp, Cache und Cookies landen und bei einem Neustart des Systems automatisch ins Daten Nirvana verschwinden.

Also ja... viele gehen erst auf Bild und weiß der Geier für verseuchte Seiten, haben Zero Sicherheitssoftware auf ihren Systemen, schalten eventuell noch vorhandene Bordmittel aus weil die den Besuch oder Download von bestimmten Seiten unterbinden wollten und dann ins Online Banking 😂

Da machst du nix gegen 🤷‍♂️

Ergänzung (26. Juli 2023)

Warum benutzen Leute so ein Frickelbetriebsystem wie Windows?

ja das ist eine gute und berechtigte Frage!
Warum benutzen Leute so ein Frickelbetriebsystem wie Linux?

 

[Weedlord]

Für Privatnutzer auch relevant?

Da das ganze auch aus der Ferne über Webseiten via Javascript ausgeführt werden kann eigentlich ja, wobei der Aufwand und das benötigte Wissen laut Artikel ja recht hoch sein muss.

 

[scryed]

Warum benutzen Leute so ein Frickelbetriebsystem wie Windows

Hihi , dabei ist doch Linux eine "bastelkiste" wo man gegebenenfalls ein Doktor Brauch um das zu betreiben , wenn man es nüchtern betrachtet ist Windows plugnplay für Milliarden von Menschen das kann leider kein Linux von sich behaupten auch wenn es in gewissen Aspekten Vorteile hat

 

[DarkSoul]

Wer sich von einem umstürzendem Baum, einem fahrenden Auto oder einer Straßenbahn töten lässt, hat einfach zu viel geträumt oder heutzutage auf sein Smartphone gestarrt.

Das ist, nachweisbar falsch, alles.

Vorbeugen, nicht auf die Schuhe kotzen.

Das sind alles Binsenweisheiten, die einzige Möglichkeit die vernünftig ist: System immer mit OS-Updates auf Stand halten, von "dubiosen" Webseiten fernhalten und Bios-Update abwarten.

 

[[wege]mini]

Das ist, nachweisbar falsch, alles.

Evtl. bist du einfach nur zu langsam oder zu wenig voraus schauend. Selbst der Baum gibt ein Geräusch von sich, bevor er bricht.

Noch geiler ist es mit einem Regenschirm zum Auto zu laufen, um die Scheiben durch Hagelschlag dadurch zu schützen, dass man das Auto unter einen Unterstand fährt um sich dann zu wundern, warum der doofe Hagel den Schirm und den Kopf durchschlägt. Es wird ein kurzes Wundern.

die einzige Möglichkeit die vernünftig ist: System immer mit OS-Updates auf Stand halten, von "dubiosen" Webseiten fernhalten und Bios-Update abwarten.

Das ist vorbeugen und selbst das, kann dich manchmal nicht vom Kotzen abhalten. Dann spielt man das Backup ein, rückt sich das Krönchen gerade, putzt sich den Mund ab und weiter geht es.

mfg