Az AMD ZEN 5 architektúra köré épülő összes processzorát érinti az a hiba, amit a Meta, a Facebook anyavállalatának egyik fejlesztője fedezett fel még október folyamán, és erről a Linux kernel levelezőlistán keresztül másokat is tájékoztatott.
Arról van szó, hogy a hardveres véletlenszám-generátor, amit a kriptográfiai kulcsok létrehozásánál is használnak, tartalmaz egy hibát, emiatt a véletlenszám-generálások során előfordulnak olyan esetek, amelyeknél a rendszer nulla értékekkel tér vissza, de az érintett szoftver felé azt jelenti le, hogy a véletlenszám-generálás hiba nélkül sikerült. Ez azt eredményezi, hogy a generált kulcsok az esetek egy részében nem teljesen megjósolhatatlanok, pont a hiba miatt nyílik lehetőség arra, hogy a támadó a hibából fakadó karaktermintázatok felismerésével sikeres támadást indítson a rendszer ellen. A folyamat persze nem ennyire egyszerű, kellő szintű felkészültség és kitartás kell hozzá, de nem is lehetetlen. A sebezhetőség a CVSS mérce szerint 7,2 pontot kapott, azaz magas veszélyességi besorolásba tartozik, érdemes komolyan venni.
Az RDSEED igazából egy alacsonyszintű utasítás, ami segít az entrópia létrehozásában, amit aztán kriptográfiai kulcsokhoz vagy egyéb biztonsági funkciók alapjaként használhat fel a rendszer. Mivel a hiba miatt észrevétlenül generálódhatnak olyan kulcsok, amelyek nem teljesen megjósolhatatlanok, ez kifejezetten komoly veszélyt jelent az adott rendszer biztonságára nézve, ugyanis ezek a kulcsok gyengébbek lehetnek a vártnál és kiszámíthatóvá is tehetik bizonyos funkciók működését. Az AMD már elismerte a bugot, az az AMD-SB-7055-ös és a CVE-2025-62626-os bejegyzés alatt fut, javítására pedig rövidesen sort kerítenek. Fontos, hogy a hiba csak az RDSEED 16-bites és 32-bites változatait érinti, a 64-bites verzió hibátlanul használható.
A vállalat több hullámban teszi elérhetővé a ZEN 5 alapú processzorokhoz készített AGESA mikrokódot, ami tartalmazza a javítást. A Turin sorozatú EPYC 9005-ös szerverprocesszorok és az EPYC Embedded 9005-ös sorozatú beágyazott processzorok 2025. november 14-én, az AMD RYZEN sorozatú asztali és mobil processzorok 2025. november 25-én, a RYZEN Embedded 9000-es és az EPYC Embedded 4005-ös sorozatú processzorok pedig 2026 januárjában kapják meg a javítást. A szoftveres „javítási” opciókról már 2025. október 28-án tájékoztatást adott az AMD, ezek az EPYC 9005-ös sorozat tagjait célozzák.
Az érintett processzorok listáját az alábbi táblázat tartalmazza:
Nagy általánosságban érdemes kerülni az RDSEED 16-bites és 32-bites módjának alkalmazását, a nullával visszatérő értéket pedig érdemes hibaként felfogni és új generálást indítani. Ahogy a javítások megjelennek, azokat haladéktalanul telepíteni kell, majd érdemes fontolóra venni azt is, hogy a sebezhető RDSEED funkcióval generált érzékeny kulcsok helyett újakat generáljunk.
