AMD、Sinkclose脆弱性への対応をデスクトップ向けRyzen 3000シリーズにも拡大

世界中のAMD製CPUに存在する「Sinkclose」と呼ばれる脆弱性への対応が拡大されるようだ。当初の計画では対象外とされていたデスクトップ向けRyzen 3000シリーズ（コードネーム：Matisse）も、今回新たに修正対象に加えられることが発表された。この決定により、2019年以降に発売されたほぼ全てのRyzen CPUがセキュリティアップデートの対象となり、対象製品を使用しているユーザーは少し安心出来るだろう。AMDは2024年8月20日を目標に、Ryzen 3000シリーズ向けの対策を施したAGESAをリリースする予定だ。

Sinkclose脆弱性の深刻性と対応の拡大

セキュリティ企業IOActiveの研究者らによって発見・報告されたSinkclose脆弱性は、EPYCサーバープロセッサ、Ryzenデスクトップおよびモバイルプロセッサ、Threadripperハイエンドデスクトッププロセッサ、さらにはAthlonモバイルプロセッサやInstinct MI300Aまで、2006年以降に発売された幅広いAMD製品に存在することが判明している。この脆弱性は、カーネルへのアクセスが必要という条件があるものの、特権レベルでコードを実行することを可能にする物であり、一旦悪用されるとオペレーティングシステムを再インストールしても感染したマルウェアを除去できない可能性があり、PCを廃棄する以外に対処法がないほど深刻な事態に陥る可能性があるため、AMDは対応を急いでいる。

当初、AMDはエンタープライズ向け製品では第一世代EPYCからZen 4 EPYCまで、コンシューマー向けノートPC製品ではRyzen 3000シリーズ以降のCPUで対応する計画を発表していた。また、デスクトップ向け製品ではRyzen 5000シリーズ以降のみが対象とされ、人気の高いRyzen 3000シリーズは対象外とされていた。だが、こうしたAMDの対応は、その事態の深刻さ、影響範囲の広範さもあり、少なからぬ批判を呼んだ。

こうした批判の影響か、AMDは当初の方針を変更し、デスクトップ向けRyzen 3000シリーズ“Matisse”も脆弱性の修正対象に加えることを決定した。Ryzen 3000シリーズは発売からまだ5年程度しか経っておらず、多くのユーザーが現役で使用していることが考慮されたと見られる。

ただし、初代Ryzenを含む2019年以前に発売されたCPUについては、現時点で対応計画が明らかにされていない。これらの製品は発売から5年以上経過していることから、サポートの対象外となる可能性が高い。

今回の更新を反映した新たな脆弱性に対応する対象製品は以下の通りとなる：

AMDのこの対応拡大により、近年のRyzen CPUユーザーの多くが安全性を向上させることができる。しかし、より古い製品のユーザーは、セキュリティリスクに対して個別の対策を検討する必要があるかもしれない。今後、AMDからの追加情報や、セキュリティ専門家からのアドバイスに注目が集まりそうだ。

Sources

• AMD
• via Reddit: AMD Revised SMM Lock Bypass CVE For SinkClose Now lists Ryzen 3000 Desktop Target 2024-08-20. No longer as ‘No Fix Planned’