Geçtiğimiz hafta, Trusted Platform Module (TPM) güvenlik standardının geliştiricisi olan Trusted Computing Group (TCG), AMD Ryzen 9000, 8000, 7000 işlemcilerdeki yeni bir TPM-Pluton güvenlik açığı konusunda uyardı.
“CVE-2025-2884” kimliği altında izlenen (AMD bunu “AMD-SB-4011” olarak izliyor) güvenlik açığı, bir saldırganın bilgi ifşası açığı yoluyla TPM’de depolanan verileri okumak veya bir hizmet reddi saldırısı yoluyla sistemlerdeki TPM kullanılabilirliğini potansiyel olarak etkilemek için kötü amaçlı komutlar göndererek güvenlik açığından yararlanmasına olanak tanıyor. Bu, bir tür sınır dışı okuma güvenlik açığı olarak nitelendiriliyor.
TCG, açığın, karma tabanlı mesaj doğrulama kodu (HMAC) imza şeması yoluyla bir mesaj özetinin veya karmanın uygunsuz şekilde doğrulanması nedeniyle CryptHmacSign işlevinde meydana geldiğini ve sınır dışı bir duruma yol açtığını belirtiyor. TCG, VRT0009 duyurusunda şöyle açıklıyor: “Referans kodu CryptHmacSign()’da uygun tutarlılık denetimi uygulamadı ve bu da olası sınır dışı okumaya neden oldu. Sınır dışı okuma, ExecuteCommand() giriş noktasına geçirilen tamponda gerçekleşir. CVE-2025-2884, bir saldırganın bu tamponun sonundan itibaren 65535 bayta kadar okuma yapmasına izin verebilir.”
Kusurun, Common Vulnerability Scoring System (CVSS) puanı 6,6 ve bu da orta düzeyde bir ciddiyet olduğunu gösterir. Bu, genellikle çoğu yerel düzeydeki saldırı için geçerli. Çünkü böyle bir kusurdan yararlanmak için tehdit aktörünün bir cihaza fiziksel erişimi olması gerekiyor. Buna rağmen AMD, Ryzen 7000, 8000 (Zen 4) ve Ryzen 9000 (Zen 5) parçalarındaki güvenlik açığını düzeltmek için firmware yayınladı.
AMD, AGESA (AMD Generic Encapsulated Software Architecture) firmware Combo PI (Platform Başlatma) 1.2.0.3e’nin bu kusuru hafiflettiğini doğruladı. Şirket, söz konusu firmware’in “ASP fTPM + Pluton TPM” sorununu düzelttiğini belirtiyor.
AMD’nin anakart tedarikçisi ortakları Asus ve MSI, firmware güncellemesini yayınlamaya çoktan başladı. Gigabyte ve ASRock gibi diğer satıcılar ise henüz güncellemelerini yayınlamadı.
