近期處理器爆出嚴重死當災情的 Intel，其對手超微（AMD）也爆出處理器存在長達近 20 年的漏洞，2006 年以後推出的處理器都可能受到影響，導致數億台設備面臨威脅。
（前情提要：買13/14代Intel CPU送《刺客教條暗影者》，網諷：瑕疵處理器＋炎上大作，是報復社會嗎？ ）
（背景補充：英特爾終於承認13、14代Intel CPU「重大災情」，將全面補償用戶 ）
在美國半導體大廠英特爾（Intel）7 月底終於承認 13、14 代中央處理器（CPU）微碼特定算法出包，導致部分消費者電腦出現死當、程式崩潰、CPU 燒毀無發重開機的重大災情後，其主要競爭對手超微（AMD）上週也驚爆有長達近 20 年的漏洞，2006 年以後生產的處理器皆中招。
數億張 AMD 晶片存在「Sinkclose」漏洞
據《WIRED》、《Dark Reading》報導，在上週的 DEF CON 大會上，資安公司 IOActive 的兩位資安專家 Enrique Nissim 和 Krzysztof Okupski 揭露了一個存在於數億張 AMD 晶片的安全漏洞，兩位研究人員將其命名為 “Sinkclose”。
該漏洞允許駭客繞過標準安全措施，在 AMD 處理器的系統管理模式（System Management Mode，SMM，比核心層級模式 kernel-level mode 具更高特權）執行惡意程式碼，從而可能危及整個電腦系統。
根據 AMD 的說明，這個被列為高度嚴重性的漏洞編號為 CVE-2023-31315，存在於模型特定暫存器（Model Specific Register，MSR）的驗證不當，可能允許具備 Ring 0 存取權限（最高權限）的惡意程式，在系統管理中斷（System Management Interrupt，SMI）鎖定時，修改SMM 配置，從而可執行任意程式。
最嚴重整台電腦報廢
IOActive 的研究人員警告說，該漏洞可能波及到 2006 年以後甚至更早生產的絕大多數 AMD 處理器，全球有數億台設備配備了包含該漏洞的 AMD 晶片。
IOActive 研究人員將 Sinkclose 視為為一個「無法修補」的漏洞，儘管利用該漏洞需要駭客已經獲得對基於 AMD 的 PC 或伺服器的相對較深的存取權限，但該漏洞可使惡意軟體（bootkit）能夠深入電腦記憶體，幾乎無法檢測和修復，就算重新安裝作業系統也無法補救，基本上丟掉整台電腦比修復更容易。
Okupski 表示，只有打開電腦外殼，使用基於硬體的編程工具（稱為 SPI Flash 編程器）直接物理連接到記憶體晶片的特定部分，並仔細檢查記憶體，才能刪除惡意軟體。Nissim 總結最壞的情況是「你基本上必須扔掉你的電腦。」
對一般消費者影響可能有限
不過好消息是，要利用 Sinkclose 這個漏洞，駭客要先擁有電腦或伺服器本身的最高的核心權限，對駭客來說要取得一般用戶這樣的權限誘因不夠，因此預計大部份消費者不太可能受漏洞影響，但對於企業、大型機構、政府單位等來會有更大的風險存在。
AMD 也在聲明中強調，要利用 CVE-2023-31315 漏洞有很高的難度，「這類似於擁有闖入銀行保險箱的知識。竊賊必須首先通過警報器、警衛、金庫門和它自己的鎖，這顯然不是一件容易的事。 」不過 IOActive 認為，一些可能利用 Sinkclose 漏洞，受國家資助的駭客可能已經擁有繞過這些保全措施的技術。
AMD 推出漏洞補丁，但只修補 2020 以後的型號
AMD 也在上週發布受影響的產品列表，並提供相應的韌體更新和微碼補丁，以緩解存在在 EPYC 資料中心處理器以及用於 PC 的 Ryzen 處理器系列中存在近二十年的 Sinkclose 漏洞。
不過據 Tom’s Hardware 報導， AMD 只為 2020 年後生產的型號提供修補程式，因為 AMD 表示有些舊產品已不在軟體支援範圍內，還在更新窗口內的產品，包括嵌入式處理器在內都已獲得修補。
針對 AMD 處理器的漏洞，許多人認為 intel 的出的包更大，有網友評論：「不然你要買 intel？」、「電死比較可怕」、「節流：操作難度很困難暫時不用擔心」、「沒關係 你們趕快去買 intel。AMD 留給我 」、「漏洞 intel 才多吧，每季都在出新的 Update」。
📍相關報導📍
Intel「延長保固沒用」？Reddit爆大量13、14 代CPU遭英特爾拒保，網嘆市值剩台積電 1/8
