如果大家还记得的话，上个月AMD公布过一个影响旗下2016年至2019年期间的APU的SMM标注特权升级（SMMCalloutPrivilegeEscalation）安全漏洞CVE-2020-12890。

SMM（SystemManagementMode）主要负责CPU和芯片组配置、主板制造商代码、以及诸如TPM等的受保护操作。这次出现漏洞的原因是因为在SMI（SystemManagementInterrupt）处理程序0xEF中调用SmmGetVariable时缺少对目标缓冲区地址的检查。这个漏洞可以允许攻击者在对受害者的计算机拥有物理接触或者管理员权限下，透过修改主板上固件内的AGESA微码来执行恶意代码，并且这种操作是不会被系统探测到的。

不过幸好这个漏洞不难解决，只需要更新微码就可以，并且修补后应该不会影响性能。AMD在6月初已经向主板厂商发布这个升级过的AGESA微码，而完整的版本也在6月底发布。

主板厂家之一的技嘉在最新的AMD500系列以及400系列主板BIOS更新中除了加入对最新的锐龙XT系列处理器的支持之外，还分别加入了AGESAComboV21.0.0.2以及ComboV11.0.0.6来修补上述的SMM标注特权升级漏洞。不过，500系列的主板会首先获得更新。

技嘉X570以及B550主板的Beta版BIOS从6月中开始已经可以下载，而最终正式版则会在7月中到来。至于400系以及300系的主板则要等到7月中才有Beta版BIOS，最终版需要等到7月底。

虽然说目前并没有发现有利用这个漏洞的案例，但是笔者也建议APU用户尽快升级至最新的BIOS来避免入侵。