News TPM-Sicherheitslücken: Viele AMD Ryzen CPUs brauchen ein BIOS-Update

[MaverickM]

Wäre es Intel, wäre jetzt wieder ein Fass offen.

Der Fix wurde im Mai an die Board-Partner weiter gereicht, entsprechende BIOS Versionen mit dem Fix sind seit mindestens Anfang Juli verfügbar.

So geht man seinen Kunden um. 🤷‍♀️

 

[Holzfällerhemd]

Über 150 Kommentare, über die Hälfte davon bestehend aus „Mein Board hat schon ein Update“, „Mein Board hat kein Update“, „CPU- und/oder Mainboard-Hersteller XY ist doof“ und „betrifft mich nicht“.

Und nur, weil ihr TPM unter Win (oder Lose^^) 11 nicht nutzt, macht es das nicht besser. Weil ihr A in der absoluten Minderheit der Nutzer seid und B ihr euch über Probleme dem betreffend gar nicht äußern braucht, da ihr die Systemanforderungen umgeht.

Zum Artikel: Leider komplett reißerisch, da das Problem ebenso Systeme mit Intel CPUs betrifft. Aber dennoch nicht uninteressant.

 

[kelli]

Ich bin gerade etwas genervt von dieser News. Ich hatte gerade alle Rechner aufgrund der abgelaufenen Secure-Boot Zertifikate auf den neuesten Bios-Stand gebracht und bei dem einen Windows-PC gab es nachher Probleme mit der MS-Konto-Verknüpfung. Obwohl ich nur legale Windows-Lizenzen besitze, besteht immer ein Rest-Risiko, ob die Aktivierung nach einem Bios-Update noch "lebt"....

Ich glaube, ich lasse es einfach.

 

[Eletron]

Danke für die Info. MSI hat das Update für unser B450 Board am 29.07.26 bereitgestellt. Direkt installiert.

 

[Independent]

Evt. hast du ein Intel System mit aktiviertem VMD. Dann werden die Laufwerke erst mit passendem Treiber angezeigt.

Nein, ich habe ein AMD Rechner.

ROG Strix X670E Wifi F (7800 X3D)

Ergänzung (Samstag um 09:08)

Es gibt doch nichts schöneres, als eine Frische Windows 11 Installation 🤪
Montag werde ich dies im Angriff nehmen

Ergänzung (Samstag um 09:10)

Zumal sich jetzt auszahlt, das auf C nur Windows drauf ist und der Rest verteilt auf die anderen Laufwerke. Somit habe ich kein Daten Verlust.

 

[tm891]

Der Angriff geht nur lokal und man braucht Adminrechte? Uninteressant. Wird nichts gepatcht.

 

[StardustOne]

Die Hersteller müssen BIOS Updates liefern.

Und wer verlangt diese BIOS Updates für Markennwie Geekom, Beelink und Co die Millionen von günstigen Mini PCs mit diversen AMD CPUs verkaufen?

Acemagic und wie sie alle heissen werden garantiert keine neuen BIOS Updates für die Millionen AMD Geräte ausliefern.

Soll man die jetzt alle wegschmeissen? Weiterverkaufen und das Problem dem nächsten andrehen?

Solche Lücken sind ja keine Kleinigkeiten.

Ich finde es echt skandalös dass Millionen Geräte nie gepatcht werden.

Aber wer billig kauft kauft halt wieder mal zweimal und das ist Dank der Speicherkrise jetzt gerade doppelt schwer zu schlucken.

 

[Nuklon]

Naja, du musst wissen, dass TPM als ein Teil von der Industrie beworben wird und in den Markt gebracht wurde, welches die Sicherheit erhöhen soll. D.h. man verlässt sich dann auf die kryptografische Robustheit und die korrekte Umsetzung in den TPMs, damit man eben einfacher verschlüsselte Laufwerke entsperren kann oder keine Kennwörter eingeben muss (sondern PIN- oder Fingerabdruckabkürzungen benutzen kann).

Wenn nun aber genau diese beworbene Sicherheit nicht mehr gegeben ist, kann man mit so einer hohen Einstufung auch eine Warnung aussprechen.

Dafür sind die CVE Scores nicht gemacht. Relativ viele habe lächerlich hohe Einstufungen, sind aber real gar nicht wirklich ausnutzbar.

letztens Ausbruch aus dem Container möglich gewesen. Holy shit, sofort fixen. Gleiche CVE-Höhe wenig später, wo man schon einen Root Zugriff benötigt. Wenn jemand mit Root auf der Shell ist, dann ist schon vorher sehr viel schief gelaufen.

Die werden intern dann runtergestuft aber auf die musst have liste gesetzt, weil Kombiangriffe immer wahrscheinlicher werden. Wenn du aber Kombiangriffe immer mit einrechnest ist fast jeder >9.

 

[DarkSoul]

Ironischerweise hab ich gestern erst ein Update gemacht und mich verflucht, dass ich so viel im UEFI nachjustieren muss, damit meine Vollbestückung und meine CPU so laufen, wie sie sollen.

 

[tox1c90]

vllt sollte man das ganze TPM-Gedöns einstampfen, bringt doch eh nichts, als sinnlosen Aufwand

Super Idee, dann kann man sich auch gleich von Dingen wie Apple/Google Pay, eSIMs, Geräte-PINs und Biometrie verabschieden.
Auch wenn die Smartphone-Hersteller es nicht explizit so benennen, ist es technisch nichts anderes. In jedem halbwegs aktuellen Smartphone steckt ein TPM, welches die Verschlüsselungs-Keys hält und für diese Sachen essenziell ist.
Dinge wie Yubikeys oder andere FIDO2-Keys sind letztlich TPMs mit USB-Anschluss.

TPMs in PCs zu forcieren bringt PCs sicherheitstechnisch nur ein bisschen näher an das Niveau, dem Smartphone-Nutzer schon seit längerer Zeit vertrauen.

Ein TPM ist nichts weiter als ein sicherer Speicher für Private Keys, gegen die man sich authentifizieren kann. Wie ein Google Authenticator in Hardwareform. Keine Ahnung wieso manche das immer so verteufeln.

 

[pseudopseudonym]

vllt sollte man das ganze TPM-Gedöns einstampfen, bringt doch eh nichts, als sinnlosen Aufwand

Ja, lieber bei Bitlocker und co einen 48-stelligen Code eingeben müssen.

Dass man TPM+Fingerprint am Laptop als FIDO2-Gerät nutzen kann, ist auch ganz geil.

 

[xXDariusXx]

Mal schauen, so wie es aussieht hat mein B550 AORUS ELITE V2 seit 2025 kein Update mehr bekommen.

Krass mein ASRock X470 Taichi anfang des Jahres ein Update.

 

[mibbio]

mein B550 AORUS ELITE V2 seit 2025 kein Update mehr bekommen

Also ich habe das Board auch (genauer Revision 1.2) und auf der Webseite gab es für alle Revisionen zuletzt Mitte April diesen Jahres ein Update.

https://www.gigabyte.com/de/Motherboard/B550-AORUS-ELITE-V2-rev-12/support#Support-Bios

 

[Cabranium]

Ob mein mainboard vom notebook auch ein upfate braucht …. ich wills gar nicht prüfen, wenn ich danach so probleme kriegen sollte.

 

[qiller]

Es gibt doch nichts schöneres, als eine Frische Windows 11 Installation

Wird nur schwierig, wenn dein Laufwerk vom Setup nicht erkannt wird .

Aber warum deine C-Partition vom Bootstick aus nicht erreichbar ist, würde mich schon stören. Hoffe du hast dran gedacht, nicht nur nach c:\ zu suchen. In PE-Umgebungen können die Laufwerksbuchstaben auch gern anders verteilt sein.

 

[Tanzmusikus]

BIOS-Update kann ich bei meinem MateBook vergessen. Das ist schon seit Jahren nicht mehr seitens Huawei aktualisiert worden Treiber-mäßig, da wird es garantiert kein neues BIOS geben.

Sicher?

😉 Vielleicht unter Linux mal probieren:
https://www.partitionwizard.com/news/update-huawei-bios.html
https://gist.github.com/derjohn/2c19554415cea09830225314c2072807

 

[Independent]

Hoffe du hast dran gedacht, nicht nur nach c:\ zu suchen

ja habe ich. Ich habe 8 Laufwerke angeschlossen. 4 M.2 und 4 SATA Laufwerke. Ich habe jeden Buchstaben durchprobiert und das Laufwerk C gibt es einfach nicht.

 

[qiller]

Ok, das ist höchst merkwürdig und würde mich, wenns mein Rechner wäre, doch etwas beunruhigen - macht es doch sämtliche Offline-Reparaturarbeiten unmöglich.

Edit: Mal mit "diskpart" und "list volume" / "list disk" geprüft, ob die C-Partition vlt. einfach nur kein Laufwerksbuchstaben (warum auch immer) bekommen hat?

 

[Independent]

Nein habe ich nicht, aber teste ich sobald ich zu Hause bin

 

[syfsyn]

Das problem kenn ich das liegt primär daran das windows nicht als erstes installiert wurde und es nicht auf ersten sata Anschluss liegt. gelcihes gilt für den ersten m2 slot.
Das lässt sich fixen aber man muss viel mit dem gpt formatierung fummeln.
etwas hilfe bringt easybcd