谷歌的安全研究團隊上個月披露了AMD的CPU微碼簽名驗證系統中的一個嚴重漏洞，影響多款AMD處理器。隨後發佈的“EntrySign” 漏洞完整信息顯示，其允許執行未經授權的微碼，追蹤編號涉及“CVE-2024-56161”和“CVE-2024-36347”。早在去年9月，追蹤編號“CVE-2024-56161”的關鍵微碼漏洞就被發現，12月開始進行修復，到今年初AMD才和谷歌 公佈 相關信息，涉及Zen到Zen 4架構產品。

據Cyberkendra 報道 ，最近AMD悄悄地更新了“EntrySign” 漏洞的安全公告，確認Zen 5系列架構處理器也會受到嚴重影響，將增加嵌入式處理器的緩解措施，並更早了其文檔中的追蹤編號。

“EntrySign” 漏洞可能讓擁有內核權限的攻擊者執行未經授權的微碼，源於AMD在其簽名驗證過程中將AES-CMAC作為哈希函數實現，而AMD在多代CPU中都使用了NIST文檔中的示例密鑰，從而使得情況變得嚴重。這種安全疏忽使研究人員能夠偽造簽名，並創建未經授權的微碼補丁。

儘管“EntrySign” 漏洞需要內核級訪問權限，而且不會在重啓後持續存在，但是會對AMD SEV-SNP等機密計算技術以及潛在的供應鏈漏洞構成了重大威脅。AMD已通過微碼更新（AMD-SB-3019和AMD-SB-7033）修復，同時實施了更安全的哈希函數，以防止繞過驗證例程。