AMD a officiellement confirmé une faille de sécurité de haute sévérité, référencée AMD-SB-7055, affectant son architecture Zen 5. La vulnérabilité touche l'instruction RDSEED, un composant clé pour la génération de nombres aléatoires. Ce défaut pourrait permettre la production de valeurs prévisibles, compromettant ainsi de nombreuses opérations cryptographiques sensibles.
AMD a officiellement reconnu une vulnérabilité de sécurité critique affectant ses processeurs basés sur la toute nouvelle architecture Zen 5. Identifiée sous la référence CVE-2025-62626, cette faille touche une composante essentielle à la sécurité des systèmes modernes : le générateur de nombres aléatoires matériel.
Quel est le cœur du problème ?
Le problème réside dans l'instruction RDSEED, conçue pour fournir des nombres aléatoires de haute qualité, indispensables aux opérations cryptographiques. Sur les implémentations 16 et 32 bits des processeurs Zen 5, cette instruction peut renvoyer des valeurs nulles, donc prévisibles, tout en indiquant à tort au système que l'opération a réussi.
Ce faux signal de succès (le "carry flag" est positionné à 1) est au cœur de la dangerosité de la faille, car il trompe les logiciels qui lui font confiance.
Quelles sont les implications concrètes ?
Les conséquences sont directes pour la sécurité des systèmes. Lorsque des logiciels s'appuient sur des nombres faussement "aléatoires", les clés de chiffrement, jetons de sécurité et autres secrets qu'ils génèrent deviennent potentiellement vulnérables.
Un attaquant local avec des privilèges suffisants pourrait exploiter cette faiblesse pour influencer ou prédire ces valeurs, brisant l'intégrité des mécanismes de sécurité qui dépendent d'un véritable hasard pour fonctionner.
Quelles solutions et quel calendrier ?
En attendant un déploiement complet des correctifs, AMD a proposé plusieurs stratégies d'atténuation. La variante 64 bits de l'instruction RDSEED n'étant pas affectée, son utilisation est une solution de contournement viable pour les développeurs.
Il est également possible de désactiver la fonctionnalité via des paramètres de démarrage spécifiques. AMD prévoit de distribuer les mises à jour de microcode via les firmwares AGESA, avec un calendrier s'étalant de fin octobre 2025 à janvier 2026 pour les différentes gammes de produits, des serveurs EPYC aux processeurs grand public Ryzen 9000.
L'affaire, initialement apparue sur les listes de diffusion du noyau Linux avant la communication officielle d'AMD, souligne l'importance d'une divulgation coordonnée des vulnérabilités.
Pour les administrateurs et utilisateurs de systèmes basés sur Zen 5, la vigilance est désormais de mise, avec une priorité claire : appliquer les correctifs dès leur disponibilité pour restaurer l'intégrité cryptographique de leurs machines.