News Radeon RX 7000: Auch Gigabyte schließt Sicherheitslücken per vBIOS-Update

[MichaG]

Nicht nur Sapphire verteilt ein neues vBIOS für Grafikkarten der Serie Radeon RX 7000. Leser machten die Redaktion darauf aufmerksam, dass auch Gigabyte Updates verteilt. Dabei wird die CVE-Kennung AMD-SN-6023 als Anlass genannt. Das Problem dürfte damit allgemein für alle RX 7000 unabhängig vom Board-Partner gelten.

Zur News: Radeon RX 7000: Auch Gigabyte schließt Sicherheitslücken per vBIOS-Update

 

[JustAnotherTux]

Ich warte bis klar ist wie die Sicherheitslücken unter Linux ausgenutzt werden können bzw. je nachdem wie realistisch das ist flashe ich dann oder eben nicht.

 

[Postman]

@JustAnotherTux: Was für eine kurzsichtige Aussage - warum sollte man auch etwas fixen, obwohl es nicht weh tut und man mit Sicherheit mit jedem Betriebssystem davon betroffen ist?

Am besten die Erwähnen in den Change Notes noch direkt deinen Namen

 

[Wolfgang.R-357:]

Zur Behebung dieser Sicherheitslücken ist eine Aktualisierung und ein Flash des AMD VBIOS erforderlich.

Ich habe schon so viele neue BIOS-Versionen bei Mainboards installiert, dass ich gar nicht mehr schätzen kann wie viele es gewesen sein könnten, alle erfolgreich natürlich, über Jahrzehnte hinweg.

Aber bei Grafikkarten habe ich dennoch ein mulmiges Gefühl, ich habe dies bisher glaube ich nur ein oder zweimal gemacht, auch erfolgreich.
Aber in diesen Zeiten, ist es gefühlt zehn mal so schlimm, falls etwas schiefgeht.
Zum Glück habe ich diese Karte nicht...

 

[JustAnotherTux]

@JustAnotherTux: Was für eine kurzsichtige Aussage - warum sollte man auch etwas fixen, obwohl es nicht weh tut und man mit Sicherheit mit jedem Betriebssystem davon betroffen ist?

Und warum ist meine Aussage nun Kurzsichtig ?
Ich sehe nicht warum meine Aussage nicht legetim sein sollte.

Ergänzung (Montag um 16:30)

Am besten die Erwähnen in den Change Notes noch direkt deinen Namen

Äm okay, keine Ahnung warum du so beleidigt auf meine Aussage reagierst.

 

[frazzlerunning]

Schade dass sich AMD noch nicht dazu geäußert hat.
Ich hab eine Made by AMD / Referenzdesign 7900XT und betreibe die mit Linux, ich hoffe ich brauche dann kein Windows zum flashen des VBIOS, wenn das nötig wird.

 

[Raptor85]

obwohl es nicht weh tut und man mit Sicherheit mit jedem Betriebssystem davon betroffen ist?

Das ist bis jetzt gar nicht sicher. Es kann ja durchaus sein, dass man unter Windows davon betroffen ist, diese Sicherheitslücke aus Gründen bei Linux aber gar nicht besteht.
Und mit Linux ist dad mitunter ne ziemliche Fummelei, das aufzuspielen.

Na ja, ich als Windows-User habe das BIOS aufgespielt. Es lief problemlos durch. Für mich hat sich das Thema dann eigentlich erledigt.
Bin nur noch gespannt, was ich da dann im Speziellen gefixt habe.

 

[Harsiesis]

Bei den aktuellen Marktpreisen der Beschleuniger muss man schon vorsichtig sein. Geht was schief und man muss sie einschicken, bekommt man im dümmsten Fall nur den VK zurück und man sitzt ohne GPU da.

Nene du, lass mal

 

[Postman]

Und warum ist meine Aussage nun Kurzsichtig ?
Ich sehe nicht warum meine Aussage nicht legetim sein sollte.

Ergänzung (Montag um 16:30)

Äm okay, keine Ahnung warum du so beleidigt auf meine Aussage reagierst.

War nicht böse gemeint, deshalb auch der Smiley.
Aber aufgespielt und nicht benötigt ist besser als umgekehrt.

 

[darth_mickrig]

Aber bei Grafikkarten habe ich dennoch ein mulmiges Gefühl, ich habe dies bisher glaube ich nur ein oder zweimal gemacht, auch erfolgreich.
Aber in diesen Zeiten, ist es gefühlt zehn mal so schlimm, falls etwas schiefgeht.
Zum Glück habe ich diese Karte nicht...

Hab mir schon einige Male die GPU (mit Absicht) zerflasht, die sind meistens deutlich toleranter als Mainboards was das angeht. Entweder blind über DOS den alten Stand aufspielen oder mit einer zweiten GPU oder iGPU booten und das ganze mit Bild machen.
Wenn die Karte Dual BIOS hat, ist das ganze komplett ungefährlich, einfach den Switch umlegen.

 

[metoer]

@darth_mickrig
Das Tool das zum Flashen bereitgestellt wurde läuft halt nur mit Windows 10/11, braucht eine spezielle Treiberversion, etc. Wenn die Karte einen Fehler während dem Flashen hat wird sich das Tool vermutlich gar nicht mehr starten lassen weil es die Karte nicht mehr erkennt.

Vor dem Update würde ich das original Bios mit AMDVBFlash sichern, damit sollte man das ganze jederzeit rückgängig machen können.

 

[MGFirewater]

aber geht so ein bios flash im betrieb? meine alte OS SSD konnte ich auch nie flashen. da sie in verwendung war. wenn man keine igpu hat, sehe ich das auch als kompliziert an. gerne mal erläutern.

 

[metoer]

@MGFirewater
Deswegen bootet das Tool wohl mehrmals in den abgesicherten Modus während dem Flashvorgang.
Man kann eine GPU auch während dem Betrieb "aushängen", dann ist in der Zeit halt das Bild weg aber im Hintergrund läuft der Flashvorgang dann weiter. Bei einer OS HDD/SSD ist das ganze schwieriger, weil das OS permanent auf verschiedenste Dateien zugreifen will. Deswegen nimmt man für so einen Fall ein Live-Image von dem man bootet.

 

[Cl4whammer!]

Ich warte bis klar ist wie die Sicherheitslücken unter Linux ausgenutzt werden können bzw.

Läuft vermutlich eh wieder drauf hinaus das irgendwer oder irgendwas zugriff auf deinem PC haben muss...

 

[Berlinrider]

Sollte es die gesamte RX 7000er Serie betreffen, sind das ein paar Karten.

Schade, dass AMD hier (mal wieder) nicht offen kommuniziert.

Schreiben Sapphire/Gigabyte etwas zur Garantie wenn der Flash schiefgeht?...viele der Karten sind bereits aus der Herstellergarantie raus.

 

[sverebom]

aber geht so ein bios flash im betrieb? meine alte OS SSD konnte ich auch nie flashen. da sie in verwendung war. wenn man keine igpu hat, sehe ich das auch als kompliziert an. gerne mal erläutern.

Der Sapphire-Updater hat bei mir darauf bestanden, das alle anderen Anwendungen geschlossen werden. Hätte er sich sparen können, weil er Windows eh automatisch in den abgesicherten Modus rebootet. Dort dann das übliche Firmware/BIOS-Update-Ritual (also System in Ruhe machen lassen): Erster Schreibprozess, Reboot (weiter im abgesicherten Modus), Updater startet automatisch, zweiter Schreibprozess (keine Ahnung, was der Updater zwei Mal zu schreiben hatte), Reboot zurück in den Normalmodus. Läuft auch recht fix durch und bleibt nirgends lange genug hängen, dass man sich einen Kopf machen könnte.

Ich nehme an, dass der Prozess bei anderen Herstellern genauso abläuft. Im Desktop- und Game-Modus habe ich danach auch nichts Auffälliges bemerkt.

Ich nehme an, dass das eine dieser Lücken ist, bei denen die Planeten (bei abnehmenden Mond) in einer Reihe stehen müssen, und der Hacker schon mit Hund und Familie in die Schaltkreise eingezogen sein muss, um irgendwas mit der Lücke anzustellen.

 

[MGFirewater]

Schade, dass AMD hier (mal wieder) nicht offen kommuniziert.

Denke das passiert, sobald alle die es betrifft die Chance hatten den fix zu installieren. Es ist üblich die cve erst zu veröffentlichen wenn der fix ausgerollt ist.

 

[Trefoil80]

AMD wird sicher Details verkünden, wenn alle Boardpartner die Updates fertig haben.

 

[MichaG]

Was mir jetzt erst auffällt: Bei AMD haben die CVEs eigentlich alle ein "SB" in der Kennung (sicher für Security Bulletin). Ich schätze mal, dass sich jemand bei Gigabyte schlicht vertippt hat und statt AMD-SN-6023 eigentlich AMD-SB-6023 gemeint ist.

Allerdings finde ich dazu auch keine weiteren Infos. ^^

 

[LuckyMagnum]

Na danke Asrock. Langsamer als Gigabyte, das ist schon ne Nummer.