浙江
芯片巨頭 AMD 近期發布了一份最新的安全公告，透露其計算機平臺所采用 trusted platform module（TPM）參考實現中存在兩個高風險安全漏洞。盡管這些缺陷可能對系統的可靠性與安全性產生重大影響，但針對 AMD 絕大多數 CPU 系列的固件更新實際上在數月前就已經準備就緒，用戶只需及時升級即可消除風險。
據了解，可信計算組織（TCG）的合作研究人員此前在 AMD 的 TPM 代碼中發現了潛在的安全缺陷，隨后觸發了針對相關主板與固件的更新程序。不過，本次安全信息的披露過程顯得有些滯后——雖然修復代碼早在幾個月前就已經發布，但 AMD 直至近期才正式公布編號為 AMD-SB-7064 的安全公告，詳細闡述該問題的具體細節。
AMD 官方解釋稱，TCG 漏洞響應團隊此前收到來自英特爾研究人員的通報，指出其 TPM 2.0 參考代碼中存在越界讀取漏洞。該漏洞可被具備提升權限的本地攻擊者利用，進而強制 TPM 代碼讀取存儲在固件中的敏感數據，甚至破壞 TPM 的可用性。
經 AMD 程序員確認，該缺陷在其 TPM 實現中主要體現在兩個方面。其中第一個漏洞（CVE-2026-6726）可能導致信息泄露，使惡意攻擊者能夠從支持 TPM 的證書頒發機構中恢復憑據，從而潛在地偽造 TPM 加密密鑰或其他基于 TPM 的認證機制。
第二個漏洞（CVE-2026-6727）則被 AMD 描述為影響使用 RSA 密碼系統解密工作負載的時間側信道漏洞。攻擊者可借此解密加密數據或偽造 TPM 2.0 證明密鑰。值得注意的是，這兩個漏洞均需要具有“特權”用戶權限的本地攻擊才能實施，因此不會對僅暴露于互聯網的系統構成直接的遠程攻擊風險。
盡管攻擊條件有所限制，但這兩項漏洞的 CVSS 危險等級評分仍分別高昂地達到了 8.5 和 8.3，且受影響的處理器范圍極其廣泛。AMD 列出的受影響產品包括 Epyc 4004 和 4005 系列服務器處理器、多款嵌入式處理器、從 3000 到 9000 系列的 Ryzen 桌面處理器以及 Threadripper 工作站處理器等。
為了應對潛在的安全隱患，AMD 強烈建議用戶安裝專門用于解決 CVE-2026-6726 和 CVE-2026-6727 漏洞的最新平臺初始化固件版本。對于大多數處理器而言，修復版固件早自今年 5 月起就已經推出，而 Ryzen 嵌入式 CPU 的更新固件也在 7 月完成發布。
作為可信計算組織于 2003 年制定的安全硬件規范，TPM 在 2014 年迎來了重大的 2.0 版本升級，并在隨后成為 Windows 11 系統的強制性硬件要求之一，為整個 Windows 生態系統帶來了顯著的安全提升。然而，正如本次 AMD 暴露出的兩項漏洞所表明的那樣，即使在全面普及 TPM 的現代 PC 時代，實現徹底的安全依舊是一項長期而艱巨的挑戰。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
