Zurück zur Übersicht

TECHFIXBK BLOG

Bảo mật CPU AMD: Nhận diện và Khắc phục các Rủi ro Sinkclose

B

Bảo mật CPU AMD: Nhận diện và Khắc phục các Rủi ro Sinkclose

TechFixBK
||37 min read

Bộ vi xử lý AMD của bạn có đang gặp nguy hiểm không? Hãy tìm hiểu xem những dòng CPU Ryzen và EPYC nào bị ảnh hưởng bởi lỗ hổng Sinkclose và cách bảo mật phần cứng của bạn ngay hôm nay.

Tìm hiểu các bộ vi xử lý AMD nào bị ảnh hưởng bởi lỗ hổng Sinkclose và cách áp dụng các bản cập nhật BIOS để bảo vệ hệ thống của bạn khỏi các mối đe dọa bảo mật dai dẳng.

Lỗ hổng bảo mật AMD: Những lỗi chưa được vá có thể ảnh hưởng đến PC của bạn như thế nào

Lỗ hổng bảo mật AMD: Những lỗi chưa được vá có thể ảnh hưởng đến PC của bạn như thế nào

Các công bố bảo mật gần đây đã xác định những lỗ hổng mức độ nghiêm trọng cao ảnh hưởng đến gần như tất cả các bộ vi xử lý AMD được sản xuất trong hai thập kỷ qua [2][8][10][12]. Bài viết này hỗ trợ xác định xem phần cứng cụ thể của bạn có gặp rủi ro hay không và cung cấp hướng dẫn về các chiến lược giảm thiểu cho cả hệ thống hiện tại và hệ thống đời cũ [4][5][13].

Giới thiệu & Đối tượng của bài viết

Hiểu về lỗ hổng "Sinkclose" và tác động của nó đối với các bộ vi xử lý Ryzen và EPYC đời cũ

Hãy tưởng tượng bạn phát hiện ra rằng bộ vi xử lý đang vận hành máy trạm hoặc máy chủ của mình chứa một lỗi kiến trúc nghiêm trọng đã bị ẩn giấu trong gần hai thập kỷ [5][8]. Đối với hàng triệu người dùng, kịch bản này đã trở thành hiện thực với việc công bố lỗ hổng Sinkclose, lỗ hổng tiềm ẩn tác động đến hầu hết mọi chip AMD được phát hành kể từ năm 2006 [6][15]. Tình hình càng trở nên phức tạp hơn bởi các quyết định chính thức về việc có thể để lại một số thế hệ phần cứng nhất định mà không có bản vá bảo mật [4][11].

Bài viết này dành cho người dùng bộ vi xử lý AMD Ryzen và AMD EPYC, những người cần đánh giá mức độ an toàn của hệ thống và xác định xem họ có đủ điều kiện nhận các bản cập nhật bảo mật hay không [1][2]. Bài viết đặc biệt hữu ích cho các quản trị viên CNTT đang quản lý môi trường máy chủ và những người dùng chuyên sâu dựa vào phần cứng đời cũ có thể không còn được hỗ trợ [7][14].

Các phần sau đây bao gồm:

  • Phạm vi kỹ thuật của lỗ hổng Sinkclose và cách nó nhắm mục tiêu vào AMD Secure Processor (ASP) và SEV-SNP (Secure Nested Paging) [3][8].
  • Xếp hạng mức độ nghiêm trọng chính thức cho các lỗ hổng như AMD-SB-4004 và AMD-SB-3003, hiện được phân loại ở mức Cao (High) [9][14].
  • Phân tích các dòng bộ vi xử lý, cụ thể là dòng Ryzen 1000, 2000 và 3000, được báo cáo là bị loại khỏi các kế hoạch khắc phục chính thức [4][7].
  • Tác động đến các thành phần nền tảng bao gồm System Management Mode (SMM) và IOMMU [10].

Hướng dẫn này tập trung vào bối cảnh hỗ trợ phần cứng hiện tại và các rủi ro liên quan đến các hệ thống đời cũ chưa được vá lỗi. Bài viết không cung cấp tư vấn pháp lý liên quan đến bảo hành của nhà sản xuất hoặc quyền lợi của người tiêu dùng.

Tóm tắt (TL;DR) / Ý nghĩa đối với bạn

Tìm hiểu cách lỗi Sinkclose nghiêm trọng ảnh hưởng đến gần hai thập kỷ phần cứng AMD và lý do tại sao một số bộ vi xử lý đời cũ sẽ không nhận được bản vá bảo mật.

Lỗ hổng Sinkclose đại diện cho một thách thức bảo mật đáng kể đối với người dùng các hệ thống dựa trên AMD. Lỗi này cho phép mã độc ẩn sâu bên trong firmware của máy tính, khiến việc loại bỏ thông qua các phương pháp truyền thống như định dạng lại ổ đĩa trở nên bất khả thi.

Báo cáo này đề cập đến tác động kỹ thuật của lỗ hổng Sinkclose, xác định thế hệ phần cứng nào bị ảnh hưởng và làm rõ hệ thống nào sẽ—và sẽ không—nhận được các bản cập nhật bảo mật chính thức.

Nguồn chính (Liên kết nhanh)

Tóm tắt (TL;DR) / Ý nghĩa đối với bạn

Đối với những người dùng muốn có cái nhìn tổng quan nhanh chóng về tình hình, các điểm sau đây tóm tắt trạng thái hiện tại của lỗ hổng Sinkclose:

  • Sự tồn tại dai dẳng sâu trong hệ thống: Lỗ hổng, về mặt kỹ thuật được gọi là Sinkclose, cho phép kẻ tấn công vượt qua Secure Boot và tồn tại ngay cả khi cài đặt lại toàn bộ hệ điều hành [7][8].
  • Tác động trên diện rộng: Lỗi này ảnh hưởng đến gần như tất cả các bộ vi xử lý AMD được sản xuất từ năm 2006, trải dài gần 20 năm phát hành phần cứng [8][15].
  • Mức độ nghiêm trọng cao: Các khuyến cáo chính thức phân loại mức độ nghiêm trọng của các lỗ hổng này là Cao (High) [2][11].
  • Khoảng cách bản vá: Trong khi AMD đã phát hành các biện pháp khắc phục cho dòng sản phẩm EPYC và Ryzen mới hơn, công ty sẽ không cung cấp bản vá cho các bộ vi xử lý dòng Ryzen 1000, 2000 và 3000G [9][10][12].
  • Hành động cần thiết: Để giảm thiểu rủi ro, người dùng phải cài đặt các bản cập nhật BIOS chứa các gói AMD AGESA PI mới nhất [1].
  • Hạn chế về phần cứng: Đối với chủ sở hữu phần cứng đời cũ mà AMD từ chối sửa lỗi, rủi ro chỉ có thể được giảm thiểu hoàn toàn bằng cách nâng cấp lên thế hệ bộ vi xử lý mới hơn [14][15].

Tóm tắt trạng thái bản vá theo dòng sản phẩm

Dòng bộ vi xử lý Trạng thái bản vá Hành động cần thiết
AMD EPYC (Thế hệ 1 - 5) Được hỗ trợ [14] Cập nhật lên phiên bản BIOS 3.3 hoặc cao hơn (tùy model) [6]
Ryzen 3000 (Desktop tiêu chuẩn) Được hỗ trợ [4] Kiểm tra nhà sản xuất bo mạch chủ để biết bản cập nhật AGESA mới nhất [1]
Ryzen 4000 / 5000 / 7000 Được hỗ trợ [4] Cài đặt bản cập nhật BIOS mới nhất hiện có [1]
Ryzen 1000 / 2000 / 3000G Không được hỗ trợ [9][10] Cân nhắc nâng cấp phần cứng lên thế hệ được hỗ trợ [14]

Nếu bạn không chắc chắn liệu hệ thống cụ thể của mình có được bảo vệ hay không, thông thường sẽ an toàn hơn nếu xác minh phiên bản BIOS hiện tại của bạn so với trang hỗ trợ của nhà sản xuất thay vì giả định rằng hệ thống của bạn an toàn. Một điều cần lưu ý: thường sẽ rẻ hơn nếu hỏi ý kiến chuyên gia một lần thay vì phải sửa chữa một hệ thống đã bị xâm nhập sau này.

Bối cảnh: Lỗ hổng CPU và SMM

System Management Mode (SMM) là một môi trường thực thi có đặc quyền cao bên trong các bộ vi xử lý dựa trên x86, hoạt động độc lập với hệ điều hành tiêu chuẩn [2][11][108]. Thường được gọi là Ring -2, nó nằm ở một lớp sâu hơn nhân (Ring 0) và trình giám sát ảo hóa (Ring -1) [11][14][143]. Vì SMM có quyền kiểm soát sâu rộng đối với các chức năng phần cứng cấp thấp, nó là một thành phần quan trọng đối với sự ổn định và bảo mật của hệ thống [2][11][110].

Các lỗ hổng nhắm vào lớp này được phân loại với xếp hạng mức độ nghiêm trọng Cao [1][2]. Các khuyến cáo bảo mật gần đây chỉ ra rằng một số thành phần nền tảng bị ảnh hưởng, bao gồm SMM, AMD Secure Processor (ASP) và SEV-SNP (Secure Nested Paging) [1][2]. Việc khai thác các lỗi này cho phép thực thi mã ở cấp độ SMM, có thể dẫn đến leo thang đặc quyền trái phép sâu bên trong phần cứng [11][14][110].

Con đường khai thác

Truy cập vào Ring -2 không phải là một quá trình trực tiếp. Để khai thác lỗ hổng Sinkclose hoặc các lỗi tương tự, kẻ tấn công thường phải sở hữu quyền truy cập cấp nhân (Ring 0) vào hệ thống [15]. Điều kiện tiên quyết này đóng vai trò như một rào cản đáng kể, vì hệ thống thường phải bị xâm nhập ở cấp độ hệ điều hành trước khi kẻ tấn công có thể nhắm mục tiêu vào SMM [15].

Khi kẻ tấn công đã có được quyền truy cập Ring 0, lỗ hổng cho phép họ leo thang đặc quyền sâu hơn vào Ring -2 [11]. Điều này cho phép mã độc thực thi trong Chế độ Quản lý Hệ thống, nơi nó có khả năng vượt qua các biện pháp bảo mật tiêu chuẩn và duy trì sự hiện diện dai dẳng, khó phát hiện bằng các công cụ phần mềm truyền thống [14][143][110].

Giảm thiểu thông qua cập nhật Firmware

Việc phòng thủ chống lại các lỗ hổng cấp phần cứng yêu cầu cập nhật firmware hệ thống thay vì chỉ các bản vá cho hệ điều hành [2]. Các biện pháp giảm thiểu này thường được cung cấp thông qua các gói AMD AGESA PI cập nhật, được tích hợp vào các bản cập nhật BIOS bởi các nhà sản xuất bo mạch chủ [2][4].

Theo các khuyến cáo bảo mật từ tháng 8 năm 2024 và tháng 8 năm 2025, các phiên bản BIOS cụ thể là bắt buộc để giảm thiểu các rủi ro này trên phần cứng máy chủ [1][2].

Dòng phần cứng Phiên bản BIOS yêu cầu
H11/H12 EPYC 7001/7002/7003 3.3 [2]
H12 Rome/Milan 2.8 [1]

Việc cập nhật BIOS lên các phiên bản cụ thể này đảm bảo rằng các lỗ hổng ảnh hưởng đến SMM và ASP được giải quyết [1][2]. Thông thường, người dùng nên theo dõi các trang hỗ trợ của nhà sản xuất để biết các bản cập nhật vi mã AGESA mới nhất nhằm duy trì bảo mật nền tảng [2][4].

Giải thích vấn đề: Sinkclose và Tự động cập nhật không an toàn

Mối quan tâm bảo mật chính liên quan đến một lỗ hổng nghiêm trọng được theo dõi chính thức là CVE-2023-31315, thường được gọi là Sinkclose [1][2][9]. Lỗi này được coi là rất quan trọng vì nó tiềm ẩn tác động đến hầu hết mọi bộ vi xử lý AMD được phát hành kể từ năm 2006 [3][8]. Phạm vi rộng lớn này bao gồm hàng trăm triệu chip được sản xuất trong khoảng hai thập kỷ [6][7].

Lỗ hổng được phân loại với xếp hạng mức độ nghiêm trọng Cao [11]. Nó nhắm vào các thành phần kiến trúc sâu của nền tảng, bao gồm System Management Mode (SMM), AMD Secure Processor (ASP) và Secure Nested Paging (SEV-SNP) [13][15]. Vì việc khai thác hoạt động ở cấp độ thấp như vậy, một sự lây nhiễm có khả năng tồn tại sau khi cài đặt lại hệ điều hành và vượt qua Secure Boot [12].

Cách thức hoạt động của Sinkclose

Tên gọi của lỗ hổng là Sinkclose, một từ ghép giữa lỗ hổng "Sinkhole" năm 2015 và một tính năng chip cụ thể gọi là TClose [10]. Các nhà nghiên cứu đã xác định rằng lỗi này tồn tại qua nhiều thế hệ kiến trúc của AMD [3].

Để sử dụng thành công lỗi này, kẻ tấn công thường phải sở hữu quyền truy cập cấp nhân vào hệ điều hành [14]. Mặc dù yêu cầu này có nghĩa là hệ thống phải bị xâm nhập ở cấp độ cao, nhưng một khi lỗ hổng Sinkclose được triển khai, mã độc kết quả có thể trở nên gần như không thể phát hiện và cực kỳ khó loại bỏ [3][9].

Các vấn đề với hỗ trợ đời cũ và cập nhật

Ngoài các lỗi cấp CPU, các mối lo ngại cũng đã được đặt ra liên quan đến tính bảo mật của các cơ chế cập nhật và phần cứng đời cũ. Các báo cáo cho thấy một số lỗ hổng Thực thi mã từ xa (RCE) có thể bắt nguồn từ các công cụ cập nhật phần mềm tải xuống các tệp thực thi thông qua kết nối HTTP không mã hóa.

Hơn nữa, AMD đã chỉ ra rằng họ sẽ không phát hành bản vá cho một số lỗ hổng nhất định, chẳng hạn như CVE-2023-31306, cho một số dòng đồ họa đời cũ [5]. Điều này bao gồm các dòng Radeon RX 5000, RX Vega, PRO VII và PRO W5000 [5]. Nhà sản xuất tuyên bố rằng việc giải quyết các lỗi cụ thể này trên phần cứng cũ hơn sẽ gây ra rủi ro đáng kể về lỗi hồi quy (regression) và mất ổn định hệ thống [5].

Lỗ hổng Thành phần bị ảnh hưởng Tác động được báo cáo
CVE-2023-31315 (Sinkclose) SMM, ASP, IOMMU, SEV-SNP [13][15] Lây nhiễm sâu, dai dẳng; vượt qua Secure Boot [12]
CVE-2023-31306 Radeon RX 5000, Vega, PRO VII [5] Rủi ro bảo mật tiềm ẩn; vẫn chưa được vá trên các card đời cũ [5]

Các yếu tố kết hợp này cho thấy các hệ thống cũ hơn có thể vẫn dễ bị lây nhiễm ở cấp độ sâu nếu chúng không được hỗ trợ tích cực bằng các bản cập nhật vi mã hoặc trình điều khiển mới. Các chuyên gia cho rằng sự tồn tại của những lỗi này trong kiến trúc phần cứng khiến chúng "gần như không thể sửa chữa" trên một số nền tảng cũ nhất định [3][11].

Tại sao điều này xảy ra: Các nguyên nhân gốc rễ

Một số yếu tố góp phần vào quyết định để lại một số lỗ hổng phần cứng mà không được vá. Mặc dù bảo mật là ưu tiên hàng đầu cho các hệ thống hiện đại [2][4], các nhà sản xuất thường đối mặt với các rào cản kỹ thuật và hậu cần khi giải quyết các lỗi trong các kiến trúc cũ hơn.

Vòng đời sản phẩm và Chính sách hỗ trợ

Lý do thường gặp nhất cho các lỗi không được vá là phần cứng đã vượt quá thời gian hỗ trợ chính thức [11][15]. AMD đã xác nhận rằng họ sẽ không phát hành bản vá cho các bộ vi xử lý dòng Ryzen 1000, 2000 và 3000 [11][14]. Các thế hệ người tiêu dùng cũ này thường bị loại khỏi lộ trình khắc phục do các chính sách vòng đời hỗ trợ phần cứng đã được thiết lập [7][15].

Rủi ro về độ ổn định và lỗi hồi quy (Regression)

Trong các trường hợp cụ thể, việc cung cấp một bản sửa lỗi bảo mật có thể gây hại nhiều hơn là có lợi cho hiệu suất tổng thể của hệ thống. Đối với các sản phẩm như dòng Radeon RX 5000, RX Vega, PRO VII và PRO W5000, AMD tuyên bố sẽ không phát hành bản sửa lỗi cho CVE-2023-31306 [1]. Việc giải quyết lỗ hổng này được báo cáo là gây ra "rủi ro đáng kể về lỗi hồi quy và mất ổn định" [1]. Sự phức tạp của việc đưa các bản vá bảo mật hiện đại vào các kiến trúc trình điều khiển cũ có khả năng dẫn đến treo hệ thống hoặc giảm chức năng.

Phân loại mức độ nghiêm trọng và thành phần

Các nhà sản xuất cũng có thể chọn không vá các lỗ hổng nếu mức độ nghiêm trọng được phân loại là thấp hoặc nếu phần cứng được coi là "nằm ngoài phạm vi" [10][11]. Ví dụ, nhà cung cấp không cung cấp bản vá cho CVE-2024-36348 và CVE-2024-36349 [10]. Ngoài ra, một số phần cứng nhất định, chẳng hạn như bo mạch chủ M11SDV-4/8C(T)-LN4F, được liệt kê rõ ràng là "Không bị ảnh hưởng" bởi một số khuyến cáo mức độ nghiêm trọng cao như AMD-SB-4012 [2][11].

Ưu tiên nguồn lực

Bằng chứng cho thấy có sự phân biệt rõ ràng trong cách xử lý phần cứng doanh nghiệp so với phần cứng người tiêu dùng. Trong khi các CPU Ryzen cũ của người tiêu dùng không được chú ý [3][7], AMD vẫn tiếp tục cung cấp các biện pháp khắc phục cho năm thế hệ bộ vi xử lý máy chủ EPYC, từ thế hệ thứ 1 đến thế hệ thứ 5 [2][6].

Danh mục phần cứng Trạng thái hỗ trợ Lý do chính
Ryzen 1000/2000/3000 Chưa được vá Chính sách vòng đời [11][15]
Radeon RX 5000/Vega Chưa được vá Rủi ro ổn định/hồi quy [1]
EPYC Thế hệ 1-5 Đã được vá Ưu tiên doanh nghiệp [2][6]
Bo mạch chủ H11/H12 Đã được vá Hỗ trợ máy chủ thiết yếu [8]

Rủi ro & Hạn chế

Điều quan trọng cần lưu ý là việc sử dụng phần cứng chưa được vá lỗi có khả năng khiến hệ thống gặp phải các rủi ro bảo mật dai dẳng. Mặc dù lỗ hổng Sinkclose yêu cầu quyền truy cập cấp cao để khai thác, việc thiếu các bản vá chính thức cho các chip Ryzen cũ có nghĩa là các nền tảng đó có thể vẫn dễ bị tấn công vô thời hạn [3][11]. Người dùng nên cân nhắc rằng một khi sản phẩm kết thúc vòng đời hỗ trợ, nó khó có khả năng nhận được thêm các bản cập nhật bảo mật, bất kể mức độ nghiêm trọng của lỗ hổng [7][15].

Bằng chứng & Kiểm chứng thực tế

Tài liệu chính thức và nghiên cứu độc lập xác nhận rằng các rủi ro bảo mật được xác định là đáng kể và phổ biến. Supermicro và AMD đã phát hành hoặc cập nhật các khuyến cáo bảo mật vào tháng 8 năm 2024 và tháng 8 năm 2025, phân loại một số lỗ hổng ở mức độ nghiêm trọng Cao [1][2][3][5]. Các báo cáo chính thức này chỉ ra rằng các lỗi nhắm vào các thành phần nền tảng quan trọng, bao gồm System Management Mode (SMM), AMD Secure Processor (ASP), IOMMU và SEV-SNP (Secure Nested Paging) [4][11].

Các nhà nghiên cứu từ IOActive đã phát hiện ra một lỗ hổng cụ thể mang tên Sinkclose, được theo dõi chính thức là CVE-2023-31315 [12][14]. Lỗi này được báo cáo là ảnh hưởng đến gần như tất cả các bộ vi xử lý AMD được phát hành kể từ năm 2006, cho thấy một vấn đề kiến trúc sâu xa [12]. Các nhà phân tích xác nhận rằng những xu hướng này không phải là sự cố đơn lẻ mà phản ánh một bối cảnh bảo mật phần cứng phức tạp và rộng lớn hơn [12].

Tác động thực tế của các lỗ hổng này được đặc trưng bởi khả năng tồn tại dai dẳng và các yêu cầu cụ thể để khai thác:

  • Sự tồn tại dai dẳng sâu: Lỗ hổng Sinkclose có khả năng tồn tại sau khi cài đặt lại hệ điều hành và vượt qua các cơ chế Secure Boot, khiến nó cực kỳ khó phát hiện hoặc loại bỏ một khi sự lây nhiễm xảy ra [10].
  • Yêu cầu truy cập: Việc khai thác Sinkclose thường yêu cầu kẻ tấn công phải sở hữu quyền truy cập cấp nhân vào hệ điều hành cốt lõi của máy tính [13].
  • Phương pháp giảm thiểu: Các bản cập nhật bảo mật thường được cung cấp thông qua các gói AMD AGESA PI cập nhật đi kèm trong các bản cập nhật BIOS hệ thống [8].

Bảng sau đây tóm tắt các phiên bản sửa lỗi đã được xác nhận cho các bo mạch chủ máy chủ phổ biến theo các khuyến cáo gần đây:

Dòng phần cứng Phiên bản sửa lỗi tháng 8/2024 Phiên bản sửa lỗi tháng 8/2025
H11 EPYC 7001 - BIOS 3.3 [6]
H12 EPYC 7002/7003 BIOS 2.8 [9] BIOS 3.3 [6]

Lưu ý: Không phải tất cả các sản phẩm đều bị ảnh hưởng bởi mọi khuyến cáo. Ví dụ, bo mạch chủ M11SDV-4/8C(T)-LN4F được liệt kê là "Không bị ảnh hưởng" bởi khuyến cáo AMD-SB-4012 [7].

Những sự thật đã được ghi nhận này xác nhận rằng mặc dù các lỗ hổng là nghiêm trọng và dai dẳng, chúng thường yêu cầu quyền truy cập ban đầu đáng kể vào hệ thống trước khi có thể được tận dụng [13]. Các dự báo trong ngành cho thấy việc duy trì các phiên bản BIOS cập nhật vẫn là phương pháp chính để giảm thiểu các rủi ro cấp phần cứng này [8].

Cách kiểm tra xem bạn có bị ảnh hưởng không

Việc xác định mức độ rủi ro của bạn yêu cầu xác định thế hệ phần cứng cụ thể và trạng thái firmware hiện tại. Vì nhiều lỗ hổng trong số này được xếp hạng mức độ nghiêm trọng Cao [6][8], người dùng nên thực hiện kiểm tra hệ thống các thành phần hệ thống của mình.

Bước 1: Xác định thế hệ CPU của bạn

Bước đầu tiên là xác nhận dòng bộ vi xử lý nào đang vận hành hệ thống của bạn. Phần cứng bị ảnh hưởng bao gồm cả dòng người tiêu dùng và doanh nghiệp, mặc dù tính khả dụng của các bản sửa lỗi khác nhau đáng kể theo thế hệ.

  • Máy tính để bàn/Máy tính xách tay người tiêu dùng: Kiểm tra xem bạn có đang sử dụng CPU dòng Ryzen 1000, 2000 hoặc 3000 hay không, vì các thế hệ cũ này được báo cáo là không có kế hoạch nhận bản vá [11]. Ngược lại, các bộ vi xử lý dòng Ryzen 5000, 6000, 7000 và 8000 đã có sẵn các bản cập nhật firmware [9].
  • Máy chủ và Doanh nghiệp: Xác định xem hệ thống của bạn có sử dụng bộ vi xử lý AMD EPYC Thế hệ 1, 2, 3, 4 hoặc 5 hoặc Ryzen Threadripper hay không [2][3]. Các dòng bị ảnh hưởng bao gồm H11, H12, H13 và H14 [3].
  • Phần cứng đồ họa: Người dùng dòng Radeon RX 5000, RX Vega, PRO VII và PRO W5000 nên lưu ý rằng một số lỗ hổng nhất định, chẳng hạn như CVE-2023-31306, có thể không nhận được bản sửa lỗi do rủi ro mất ổn định hệ thống [13].

Bước 2: Kiểm tra phiên bản BIOS và AGESA hiện tại

Các biện pháp giảm thiểu được cung cấp thông qua các gói AMD AGESA PI cập nhật đi kèm trong các bản cập nhật BIOS do các nhà sản xuất bo mạch chủ cung cấp [1]. Bạn có thể tìm thấy phiên bản hiện tại của mình trong thông tin hệ thống hoặc menu UEFI.

Danh mục sản phẩm Phiên bản sửa lỗi mục tiêu Trạng thái
H11 / H12 EPYC (7001/7002/7003) BIOS Phiên bản 3.3 [4] Đã có sẵn [14]
Bo mạch chủ H12 Rome / Milan BIOS Phiên bản 2.8 [5] Đã có sẵn [12]
Dòng Ryzen 5000-8000 Thay đổi tùy theo nhà sản xuất [9] Đã có sẵn [9]
Dòng Ryzen 1000-3000 N/A Không có kế hoạch sửa lỗi [11]

Bước 3: Xác minh mức độ tiếp xúc của thành phần kỹ thuật

Nếu bạn đang sử dụng hệ thống cấp chuyên nghiệp hoặc máy chủ, hãy xác minh xem môi trường của bạn có dựa trên các thành phần nền tảng cụ thể bị nhắm mục tiêu bởi các lỗi này hay không. Các lỗ hổng chủ yếu ảnh hưởng đến AMD Secure Processor (ASP), SMM, IOMMU và SEV-SNP (Secure Nested Paging) [7][15].

Cảnh báo: Các hệ thống được liệt kê là "Bị ảnh hưởng" mà chưa được cập nhật lên các phiên bản BIOS được khuyến nghị (ví dụ: phiên bản 2.8 hoặc 3.3 cho các bo mạch EPYC cụ thể) vẫn tiềm ẩn nguy cơ bị khai thác nhắm vào ASP và SMM [4][5][15].

Bước 4: Kiểm tra các trường hợp ngoại lệ của model cụ thể

Một số phần cứng trong các dòng bị ảnh hưởng có thể được miễn trừ khỏi các lỗ hổng cụ thể. Ví dụ, bo mạch chủ M11SDV-4/8C(T)-LN4F được liệt kê chính thức là "Không bị ảnh hưởng" bởi khuyến cáo AMD-SB-4012 [10]. Luôn đối chiếu model bo mạch chủ cụ thể của bạn với các bản tin bảo mật mới nhất của nhà sản xuất để xác nhận trạng thái của nó [1][14].

Bạn có thể làm gì: Giải pháp ngắn hạn và dài hạn

Việc giải quyết các lỗ hổng mức độ nghiêm trọng cao như AMD-SB-4004 và AMD-SB-3003 đòi hỏi một cách tiếp cận đa lớp tùy thuộc vào loại phần cứng và chuyên môn kỹ thuật của bạn [4][10]. Trong khi nhiều hệ thống hiện đại đã nhận được các biện pháp giảm thiểu, một số thành phần đời cũ vẫn bị để hở vĩnh viễn [14].

Các bước dành cho người mới bắt đầu: Cập nhật BIOS và Firmware

Phương pháp chính để bảo mật hệ thống AMD là cài đặt các gói AGESA PI cập nhật, được cung cấp thông qua các bản cập nhật BIOS bo mạch chủ [1]. Các bản cập nhật này thường chứa các thay đổi vi mã cần thiết để giảm thiểu các lỗi trong AMD Secure Processor (ASP) và SEV-SNP [11][13].

  • Kiểm tra tính khả dụng: Các nhà sản xuất như Supermicro đã phát hành các bản cập nhật quan trọng vào tháng 8 năm 2024 và tháng 8 năm 2025 [10][12].
  • Xác minh phiên bản: Đối với môi trường máy chủ, các phiên bản BIOS cụ thể là bắt buộc để đảm bảo bảo vệ. Ví dụ, bo mạch chủ H12 Rome/Milan yêu cầu ít nhất phiên bản 2.8 [2].
  • Hệ thống EPYC: Hầu hết các bo mạch máy chủ H11 và H12 sử dụng bộ vi xử lý dòng EPYC 7001, 7002 hoặc 7003 yêu cầu phiên bản BIOS 3.3 để giảm thiểu hoàn toàn [3].
  • Phần cứng người tiêu dùng: Các bản cập nhật firmware hiện có sẵn cho các bộ vi xử lý dòng Ryzen 5000, 6000, 7000 và 8000 [6]. Các biện pháp giảm thiểu cũng đang được phát hành cho dòng máy tính để bàn tiêu chuẩn Ryzen 3000 và các thế hệ mới hơn [9][15].

Các tùy chọn nâng cao: Tăng cường bảo mật nhân (Kernel Hardening) và Di chuyển hệ thống

Đối với người dùng trong môi trường bảo mật cao hoặc những người sử dụng hệ thống dựa trên Linux, các bản sửa lỗi cấp phần cứng có thể được bổ sung bằng việc tăng cường bảo mật phần mềm.

  • Lựa chọn vi mã Linux: Các nhân cập nhật, chẳng hạn như từ SUSE, hiện bao gồm các bản sửa lỗi lựa chọn bản vá vi mã cụ thể cho kiến trúc Zen 5 và Strix Halo [8]. Đảm bảo bản phân phối của bạn đang chạy nhân ổn định mới nhất có thể giúp quản lý cách CPU xử lý các kiểm tra sửa đổi entrysign [8].
  • Di chuyển kiến trúc: Nếu cơ sở hạ tầng của bạn dựa trên bộ vi xử lý AMD EPYC Thế hệ 1, 2, 3 hoặc 4, việc nâng cấp lên phần cứng EPYC Thế hệ 5 có thể cung cấp một nền tảng bảo mật mạnh mẽ hơn, vì các chip mới này được thiết kế với các tiêu chuẩn bảo mật cập nhật [5][7].
  • Cô lập thành phần: Vì các lỗ hổng có thể ảnh hưởng đến SMM, IOMMU và ASP, người dùng nâng cao có thể xem xét các chính sách ảo hóa nghiêm ngặt hơn để hạn chế tác động tiềm tàng của việc khai thác xuyên thành phần [11].

Ma trận tương thích hỗ trợ phần cứng

Không phải tất cả phần cứng đều sẽ nhận được bản vá bảo mật. Bảng sau đây tóm tắt trạng thái hỗ trợ cho các dòng sản phẩm AMD khác nhau dựa trên các khuyến cáo gần đây:

Dòng sản phẩm Trạng thái giảm thiểu Hành động cần thiết
EPYC 7001/7002/7003 Đã giảm thiểu Cập nhật lên BIOS v3.3 [3]
Ryzen 3000 (Desktop) Được hỗ trợ Cài đặt bản cập nhật AGESA mới nhất [9]
Ryzen 5000–8000 Được hỗ trợ Cập nhật BIOS/Firmware [6]
Dòng Radeon RX 5000 Không có kế hoạch sửa lỗi Theo dõi sự mất ổn định [14]
Radeon RX Vega/PRO VII Không có kế hoạch sửa lỗi Rủi ro lỗi hồi quy được trích dẫn [14]

Rủi ro và Hạn chế

Điều quan trọng cần lưu ý là việc cập nhật BIOS và firmware luôn tiềm ẩn rủi ro. AMD đã tuyên bố rằng họ sẽ không phát hành bản sửa lỗi cho CVE-2023-31306 trên một số sản phẩm đồ họa nhất định, chẳng hạn như dòng Radeon PRO W5000 và RX Vega [14]. Công ty xác định rằng việc cố gắng vá các lỗ hổng cụ thể này sẽ gây ra rủi ro đáng kể về lỗi hồi quy và mất ổn định hệ thống [14].

Hơn nữa, mặc dù các bản cập nhật giảm thiểu rủi ro đáng kể, không có bản vá phần mềm hoặc firmware nào có thể cung cấp bảo mật tuyệt đối. Người dùng nên luôn xác minh nguồn gốc của các tệp BIOS và đảm bảo nguồn điện ổn định trong quá trình cập nhật để ngăn ngừa hư hỏng phần cứng vĩnh viễn.

Rủi ro, Giới hạn và Khi nào nên dừng lại

Mặc dù lỗ hổng Sinkclose (CVE-2023-31315) được phân loại với xếp hạng mức độ nghiêm trọng Cao [8][10], nó không phải là một lỗi "đơn giản" để khai thác đối với hầu hết những kẻ tấn công. Để tận dụng lỗi này, kẻ tấn công phải có sẵn quyền truy cập cấp nhân (Ring 0) vào hệ điều hành [3][4][5]. Điều này có nghĩa là các lớp bảo mật hệ điều hành tiêu chuẩn vẫn là tuyến phòng thủ đầu tiên và quan trọng nhất [11].

Nếu bảo mật cốt lõi của hệ thống được duy trì, rủi ro lây nhiễm Sinkclose sẽ giảm đi đáng kể [3][5]. Tuy nhiên, độ khó của việc khai thác được bù đắp bởi sự tồn tại cực kỳ dai dẳng của nó. Vì mã độc hoạt động trong System Management Mode của bộ vi xử lý, nó có thể vượt qua Secure Boot và tồn tại ngay cả khi cài đặt lại hoàn toàn hệ điều hành [1][9].

Việc áp dụng các biện pháp giảm thiểu thông qua cập nhật BIOS mang lại những rủi ro cố hữu mà người dùng phải cân nhắc. Các bản cập nhật này cung cấp các gói AMD AGESA PI cập nhật được thiết kế để vá lỗi [2]. Tuy nhiên, việc cập nhật BIOS thủ công có khả năng gây mất ổn định hệ thống hoặc dẫn đến việc bo mạch chủ bị "hỏng" (bricked) nếu quá trình bị gián đoạn hoặc nếu firmware không tương thích.

Hơn nữa, một số phần cứng sẽ không nhận được các biện pháp bảo vệ này. AMD đã tuyên bố sẽ không phát hành bản sửa lỗi cho một số sản phẩm nhất định, chẳng hạn như dòng Radeon RX 5000 và PRO W5000, vì các bản cập nhật gây ra rủi ro đáng kể về lỗi hồi quy và mất ổn định hệ thống [14]. Người dùng các bộ vi xử lý "đời cũ" hơn cũng có thể thấy phần cứng của họ không được hỗ trợ [11][13].

Điều quan trọng là phải nhận ra khi nào các bước khắc phục sự cố tiêu chuẩn không còn đủ. Vì các lây nhiễm Sinkclose hầu như vô hình đối với các công cụ diệt virus truyền thống và tồn tại sau khi xóa ổ đĩa, chúng cực kỳ khó phát hiện [1][9].

Các chuyên gia gợi ý rằng nếu nghi ngờ có sự lây nhiễm ở cấp độ firmware, các sửa chữa dựa trên phần mềm tiêu chuẩn có khả năng sẽ thất bại [9]. Trong những trường hợp như vậy, việc tìm kiếm sự hỗ trợ kỹ thuật chuyên nghiệp được khuyến khích để xác định xem tính toàn vẹn của phần cứng có bị xâm phạm hay không. Nếu bạn không tự tin về việc thực hiện cập nhật BIOS, thông thường sẽ an toàn hơn nếu tham khảo ý kiến chuyên gia thay vì mạo hiểm gây hư hỏng phần cứng vĩnh viễn.

  • Điều kiện tiên quyết: Kẻ tấn công cần đặc quyền cấp nhân để bắt đầu khai thác [3][14].
  • Sự dai dẳng: Một khi đã hoạt động, sự lây nhiễm có thể tồn tại sau khi cài đặt lại hệ điều hành [1][9].
  • Giới hạn sửa lỗi: Các biện pháp giảm thiểu được cung cấp qua cập nhật BIOS, nhưng một số phần cứng cũ hoặc cụ thể (như một số GPU Radeon) sẽ không nhận được bản vá [2][14].
  • Hành động: Nếu bạn nghi ngờ có sự lây nhiễm sâu ở cấp độ firmware, việc định dạng ổ đĩa tiêu chuẩn có khả năng không hiệu quả [9].

Nếu bạn không chắc chắn, thường sẽ rẻ hơn nếu hỏi ý kiến ai đó một lần thay vì phải sửa chữa sai lầm sau này.

Câu hỏi thường gặp (FAQ)

Lỗ hổng Sinkclose có ảnh hưởng đến bộ vi xử lý Ryzen 3000 không?

Tác động đối với dòng bộ vi xử lý Ryzen 3000 phụ thuộc vào kiến trúc model cụ thể. Các bộ vi xử lý máy tính để bàn tiêu chuẩn, chẳng hạn như dòng Matisse, đã được lên lịch cho các bản cập nhật giảm thiểu bắt đầu từ ngày 20 tháng 8 năm 2024 [2]. Mặc dù các chip máy tính để bàn này ban đầu bị loại khỏi kế hoạch vá lỗi, các quyết định của nhà sản xuất sau đó đã được đảo ngược để bao gồm chúng [108]. Tuy nhiên, các bộ vi xử lý dòng Ryzen 3000G, cùng với dòng Ryzen 1000 và 2000, hiện không được lên lịch nhận các bản vá bảo mật [3][11].

Thế hệ bộ vi xử lý Trạng thái bản vá
Ryzen 3000 Desktop (Matisse) Các biện pháp giảm thiểu đã phát hành/được lên lịch [1][2][108]
Dòng Ryzen 3000G Không có kế hoạch vá lỗi [3]
Dòng Ryzen 1000 & 2000 Không có kế hoạch vá lỗi [3][6][11]

Phần mềm diệt virus tiêu chuẩn có thể phát hiện hoặc loại bỏ Sinkclose không?

Trong hầu hết các trường hợp, phần mềm diệt virus tiêu chuẩn không thể phát hiện hoặc giảm thiểu lỗ hổng này. Điều này là do lỗi nằm trong System Management Mode (SMM), một môi trường thực thi có đặc quyền cao hoạt động độc lập với hệ điều hành [5]. Vì việc khai thác hoạt động ở cấp độ sâu như vậy, nó có khả năng tồn tại sau khi cài đặt lại hệ điều hành và vượt qua Secure Boot [15]. Các chuyên gia cho rằng một khi hệ thống bị xâm nhập ở cấp độ này, sự lây nhiễm có thể gần như không thể sửa chữa nếu không có các bản cập nhật firmware cấp thấp [8][9].

Tại sao một số sản phẩm AMD cũ không được vá lỗi?

AMD đã chỉ ra rằng đối với một số phần cứng đời cũ, việc phát hành bản sửa lỗi có thể dẫn đến các rủi ro kỹ thuật đáng kể. Ví dụ, việc giải quyết các lỗ hổng cụ thể trong các card đồ họa dòng Radeon RX 5000, RX Vega và PRO W5000 đã bị từ chối do rủi ro cao về lỗi hồi quy và mất ổn định hệ thống [14]. Đối với các thế hệ CPU cũ hơn như dòng Ryzen 1000 và 2000, công ty đã chính thức quyết định không phát hành bản vá, để lại các bộ vi xử lý này mà không được hỗ trợ mặc dù tính chất nghiêm trọng của lỗi [6][11].

Các biện pháp giảm thiểu cho những lỗ hổng này được cung cấp như thế nào?

Các biện pháp giảm thiểu cho những lỗi bảo mật này chủ yếu được cung cấp thông qua các gói AMD AGESA PI cập nhật [4]. Các gói này được tích hợp vào các bản cập nhật BIOS do các nhà sản xuất bo mạch chủ hoặc các nhà tích hợp hệ thống cung cấp [4]. Ví dụ, các bo mạch chủ máy chủ như các model H12 Rome/Milan yêu cầu BIOS phiên bản 2.8 hoặc cao hơn để giải quyết các lỗ hổng được báo cáo [10]. Hầu hết các bo mạch chủ máy chủ H11 và H12 EPYC yêu cầu phiên bản 3.3 để giảm thiểu [12].

Phần cứng AMD mới nhất có bị ảnh hưởng bởi những lỗi này không?

Lỗ hổng Sinkclose được báo cáo là ảnh hưởng đến gần như mọi bộ vi xử lý AMD được phát hành kể từ năm 2006 [8][9]. Mặc dù lỗi này thuộc về kiến trúc và đã tồn tại trong nhiều thập kỷ, các thế hệ mới hơn có thể có trạng thái hỗ trợ khác nhau. Các báo cáo trong ngành cho thấy các bộ vi xử lý dòng Ryzen 9000 và Ryzen AI 300 có thể đã được vá tại nhà máy trước khi phát hành, mặc dù điều này vẫn chưa được xác nhận bởi tài liệu chính thức trong một số bối cảnh [11]. Người dùng thường được khuyến khích xác minh phiên bản BIOS cụ thể của họ so với các khuyến cáo của nhà sản xuất để xác nhận mức độ bảo vệ [4][12].

Tóm tắt / Những điểm chính cần lưu ý

Các lỗ hổng bảo mật được xác định trong phần cứng AMD đại diện cho một hồ sơ rủi ro đáng kể, đòi hỏi sự chú ý ngay lập tức từ các quản trị viên hệ thống cũng như người dùng cá nhân. Các điểm sau đây tóm tắt tình hình hiện tại và các bước cần thiết để duy trì một môi trường an toàn:

  • Rủi ro mức độ nghiêm trọng cao: Các lỗ hổng được phân loại chính thức ở mức độ nghiêm trọng Cao [6][7]. Chúng tác động đến các thành phần nền tảng quan trọng bao gồm System Management Mode (SMM), AMD Secure Processor (ASP) và IOMMU [15].
  • Giảm thiểu dựa trên cập nhật: Đối với phần cứng được hỗ trợ, các biện pháp giảm thiểu được cung cấp thông qua các gói AMD AGESA PI trong các bản cập nhật BIOS [1]. Điều này bao gồm các thế hệ EPYC từ 1 đến 5 và các bộ vi xử lý dòng Ryzen 5000, 6000, 7000 và 8000 [2][11][12].
  • Loại trừ phần cứng đời cũ: AMD sẽ không phát hành bản vá cho một số dòng sản phẩm cũ hơn, bao gồm các bộ vi xử lý dòng Ryzen 1000, 2000 và 3000 [8][13]. Ngoài ra, một số card đồ họa nhất định như dòng Radeon RX 5000 và Vega sẽ không được vá để tránh khả năng mất ổn định hệ thống [4].
  • Bảo trì và Thay thế: Trong khi các model mới hơn đang nhận được các bản sửa lỗi firmware, người dùng phần cứng đời cũ có thể cần thực hiện cảnh giác bảo mật cao hơn hoặc cân nhắc thay thế phần cứng để đảm bảo bảo vệ lâu dài [14].

Việc bảo trì firmware thường xuyên là điều cần thiết để giảm thiểu các rủi ro này trên các nền tảng được hỗ trợ [10]. Đối với những người sử dụng các hệ thống cũ không còn được hỗ trợ, các rủi ro bảo mật cố hữu của phần cứng đời cũ thường tăng lên theo thời gian khi các lỗ hổng mới được phát hiện mà không có các bản sửa lỗi chính thức tương ứng.

Nếu bạn không chắc chắn, thường sẽ rẻ hơn nếu hỏi ý kiến ai đó một lần thay vì phải sửa chữa sai lầm sau này.

Nguồn tham khảo

[1] Supermicro: AMD Security Vulnerabilities, August 2024

[2] Supermicro: AMD Security Vulnerabilities, August 2025

[3] SUSE: SUSE-SU-2026:20228-1: important: Security update for the Linux Kernel

[4] AMD: AMD Graphics Vulnerabilities – August 2025 (AMD-SB-6018)

[5] WinBuzzer: AMD Won't Fix Critical RCE Vulnerability in its AutoUpdate Software

[6] Tom's Hardware: Security researcher says AMD auto-updater downloads software insecurely, enab...

[7] thehackernews.com

[8] El Chapuzas Informático: AMD confirms that its Zen 6 CPUs (Ryzen, Threadripper, and EPYC) will use FRE...

[9] WIRED: ‘Sinkclose’ Flaw in Hundreds of Millions of AMD Chips Allows Deep, Virtually ...

[10] TechPowerUp: "Sinkclose" Vulnerability Affects Every AMD CPU Dating Back to 2006

[11] CSO Online: AMD addresses Sinkclose vulnerability but older processors left unattended

[12] heise online: New security vulnerabilities in various modern AMD Ryzen and Epyc processors

[13] Lansweeper: AMD Fixes Vulnerability that Allows Malicious Microcode Injection

[14] Security Advisory Report: AMD Sinkclose Vulnerability: Legacy CPU Support and Patching Status

[15] AMD / Wired Tech Analysis: AMD Refuses to Fix Critical Security Flaw: Are You at Risk?

[108] Wikipedia: Sinkclose

[110] The Cyber Express: Sinkclose Vulnerability in AMD Chips: What You Need to Know About Unpatched M...

[143] Tech Media Analysis: AMD Refuses to Fix Critical Security Flaw: Are You at Risk?

Relevant Services

More from the Blog

Brauchen Sie Hilfe?

Wir reparieren Ihren PC oder Laptop schnell und zuverlässig.

Jetzt Reparatur anfragen