News TPM-Sicherheitslücken: Viele AMD Ryzen CPUs brauchen ein BIOS-Update

[scryed]

Nö, es betrifft auch Privatpersonen

Wenn einer privat Zugriff physisch oder durch ne offene Tür an den Rechner hat dann ist zu überlegen ob er diese Tpm lucke nutzt oder nicht gleich komplett das System mit Trojanern und co verseucht dann ist eh alles zu spät

 

[kalgani]

Wieso nicht einfach TPM abschalten?
Ist doch eh nur die nächste Stufe der Usergängelung.

 

[ShadowDragon]

Für Intel:

• https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01371.html
• https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01372.html

Was bedeutet das genau? Das nur jemand der am jeweiligen Rechner sitzt die schwachstellen ausnutzen kann?

So isses. Hier gehts halt primär um so Dinge wie PIN/Bitlocker aushebeln (die ja vom TPM abhängig sind), was bei Firmen-Laptops (die auch mal abhanden kommen) dann doch ein Problem sein könnte.

Also ich stimme dem bedingt zu. Dass das eher für sowas wie Bitlocker relevant ist und Privat nicht so spannend ist, dem würde ich zustimmen.

Aber es braucht keine Person die da am Rechner sitzt und den Angriff durchführt. Reicht vollkommen aus, ne bösartige Software, Treiber etc. zu haben, welcher mit erhöhten Rechten (Admin unter Windows?, root unter Linux) ausgeführt wird (AV:L; PR:H).

https://www.first.org/cvss/calculat.../AT:P/PR:H/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N

 

[Nuklon]

Wie kann etwas ne 8,5 bekommen dass quasi als Vorraussetzung nen Zugriff auf das System hat?
Die Einstufungen sind vollkommen absurd.

 

[Joschi75]

Mal schauen, so wie es aussieht hat mein B550 AORUS ELITE V2 seit 2025 kein Update mehr bekommen.

Doch, aber ich glaube nur eine Beta. Im Apr-2026 kam die letzte BIOS Version F20a für dieses Board raus (die problemlos seitdem bei mir rennt). Die beinhaltet aber nur "AM4 AGESA ComboV2 1.2.0.11" und ist somit nach dem Artikel betroffen (da für AM4 erst gefixed in 1.2.0.12).

 

[marcel151]

Mein X870E-E hat das BIOS-Update am 15.07 bekommen. ASUS war recht schnell.

 

[Land_Kind]

Hab mal etwas geforscht. Anscheinend wirklich nur ein lokales Risiko. Gemini meint:

• Lokaler Zugriff & Admin-Rechte erforderlich: Die Lücken können nicht einfach remote über das Internet oder einen Webbrowser ausgenutzt werden. Ein Angreifer müsste bereits lokalen Zugriff auf dein System haben und über Root- bzw. erhöhte Rechte verfügen.
• Typisches Angriffsszenario: Angreifer nutzen diese TPM-Lücken meist, um gefälschte Attestierungen (Beglaubigungen von Hardware-Zuständen) zu erstellen oder verschlüsselte TPM-Blobs auszulesen.

Du hättest gar nicht Gemini anzuwerfen brauchen, all das steht doch schon im Artikel.

Ergänzung (Heute um 13:19)

Mein Gigabyte X570 AORUS ELITE (Rev. 1.0) hat das Bios-Update möglicherweise schon mit Bios F41A (veröffentlicht am 13.04.2026) bekommen(?).
Wobei die AGESA Versionsnummer jedoch eigentlich zu tief ist. Mal schauen, ob da noch was nachkommt.

• Checksum: E198
• Update AM4 AGESA ComboV2 1.2.0.11
• Fix AMD Athlon and Ryzen processor vulnerabilities

 

[Termy]

oder nicht gleich komplett das System mit Trojanern und co verseucht

SecureBoot ist ja genau dazu da, exakt das zu verhindern

 

[jauns91]

Ryzen 2000 safe und sweet Spot.

 

[FeldiSan]

Was kann man an Performance Einbußen verbuchen wenn man sich das UEFI lädt? Gibt es da schon Erfahrungswerte oder Tests zu?

Grüße Micha

 

[mibbio]

Sollte sich eigentlich gar nicht auf die Performance auswirken, da ja an der Arbeitsweise der CPU an sich nichts geändert wird. Es wird nur die Firmware im separaten Sicherheitschip in der CPU aktualisiert.

 

[RMS_der_Zweite]

@foofoobar
Korrekt.
CoD, BF6 und andere Spiele bestehen darauf.

Ich spiele BF6 und habe daher Secure Boot und TPM aktiviert auf dem Spielerechner.
Ob das Sicherheitslücken hat ist mir egal, habe das nur eingeschaltet um die Anforderungen zu erfüllen und werde auch kein BIOS-Update machen dafür.

Unter Linux mit LUKS-Verschlüsselung kann man das TPM nutzen, muss man aber nicht und tue ich auch nicht.

 

[qiller]

Reicht vollkommen aus, ne bösartige Software, Treiber etc. zu haben, welcher mit erhöhten Rechten

Wenn Malware mit Adminrechten aufm System ist, interessiert mich doch als Angreifer das TPM nicht mehr, ich hab doch schon auf alles Relevante Zugriff.

Wie kann etwas ne 8,5 bekommen dass quasi als Vorraussetzung nen Zugriff auf das System hat?

Naja, du musst wissen, dass TPM als ein Teil von der Industrie beworben wird und in den Markt gebracht wurde, welches die Sicherheit erhöhen soll. D.h. man verlässt sich dann auf die kryptografische Robustheit und die korrekte Umsetzung in den TPMs, damit man eben einfacher verschlüsselte Laufwerke entsperren kann oder keine Kennwörter eingeben muss (sondern PIN- oder Fingerabdruckabkürzungen benutzen kann).

Wenn nun aber genau diese beworbene Sicherheit nicht mehr gegeben ist, kann man mit so einer hohen Einstufung auch eine Warnung aussprechen.

 

[Fauler_Hund]

Soweit ich das verstanden habe, sind schon erhöhte Rechte zum Ausnutzen der Lücke notwendig.

Im privaten Umfeld hat man eh verloren, wenn der Angreifer erhöhte Rechte hat. Denke das hat mehr Auswirkungen im professionellen Bereich.

 

[fineline]

Wäre es Intel, wäre jetzt wieder ein Fass offen.

Ja, aber Meinungen auf CB sind eh nie repräsentativ.

 

[Alesis]

Wäre es Intel, wäre jetzt wieder ein Fass offen.

Das kann ich gut verstehen. Zum Glück ist es AMD. Jetzt können die Intel-Freunde ihr Selbstmitleid fließen lassen. Das entlastet ungemein.
Geht es jetzt wieder besser?

 

[snakesh1t]

Aber mal wieder schön zu sehen, dass nicht immer nur die eine Seite "böse" ist

 

[cypeak]

Manche bekommen es gut hin, über ihre Update Tools Treiber und auch das BIOS aktuell zu halten.
Und andere eben nicht.

das problem ist heute nicht mehr das einspielen der bios updates - das tooling dafür ist bei den meinsten hertstellern recht gut und die uefi features was installation aus dem esp heraus betrifft machen das übrige - sondern eher das herstellen der gleichen einstellungen wie vor dem update.

was bringen einem im bios die möglichkeiten die konfigurationen/profile zu speichern/exportierem, wenn man diese nach dem update nicht einspielen kann, da die imports nur für exports aus der gleichen fw version gelten? zumindest bei gigabyte und msi waren das meine erfahrungen..

insofern muss man nach dem bios update ram timings, lüfterkurven und ähnliches nochmal nachtragen.

 

[TomausBayern]

Deshalb sind solche Updates noch lange nicht sinnlos.
Kein Hersteller kann etwas dafür, wenn der Gerätenutzer sein Eigentum nicht regelmäßig oder unzureichend wartet.
Das gehört nunmal mit dazu.

Beim Autokauf ist es genauso

 

[cypeak]

nö, Bios-Updates über Betriebssysteme sollte es gar nicht geben und schon gar nicht nur über Windows

so kategorisch will ich das garnicht ausschließen.
bevor garkeine updates ausgerollt werden, dann wenigstens über herstellerspezifische windows tools, auch wenn das nicht optimal sein mag, aber für weniger versiete nutzer die ggf. auf updates angewiesen sind ist das immerhin ein weg.
etliche hersteller bieten auch fw updates aus linux heraus mithilfe des fwupd - das ist auch kein schlechter ansatz, auch wenn man warten muss bis firmware für die eigene explizit eingepflegt wurde; es gäbe den manuellen weg, aber den würde ich nur gehgen wenn man sich mit dem dahinter stehendem system auskennt