La semana pasada os contamos que SAPPHIRE y GIGABYTE estaban distribuyendo actualizaciones de seguridad para la VBIOS de sus Radeon RX 7000, algo que AMD había atribuido a la seguridad sin dar explicaciones. Había archivos para descargar, modelos identificados y una referencia, AMD-SN-6023, que debía llevarnos a los detalles del problema. Sin embargo, faltaba precisamente lo que muchos queríamos saber: qué vulnerabilidades estaban corrigiendo y qué podían hacer con ellas. Ahora AMD ha respondido oficialmente, aunque, si esperabas una explicación técnica, toca seguir esperando, porque los rojos no sueltan prenda, pero pretenden dar contexto al menos.

Antes de entrar en materia, recordemos algo que afecta directamente al usuario: la VBIOS es el firmware de la gráfica, el software que lleva la propia tarjeta para gestionar su funcionamiento. Por eso, como ya explicamos, instalar el último driver Adrenalin no sustituye la actualización de firmware indicada por el fabricante para este caso. Son dos cosas distintas, aunque ambas estén relacionadas con tu GPU, y por lo visto, hay problemas con la ciberseguridad.

AMD confirma que adelanta los parches de vBIOS para dar tiempo a actualizar las RX 7000 por seguridad

La compañía ha enviado una declaración a través de SAPPHIRE, recogida por ComputerBase y Hardwareluxx, ante sus preguntas. Su explicación confirma lo que planteamos al cerrar la noticia anterior: las correcciones se distribuyen antes de divulgar públicamente las vulnerabilidades para dar tiempo a los clientes a actualizar. La declaración íntegra es la siguiente:

Como parte de nuestro procedimiento habitual, AMD está lanzando una actualización de firmware para solucionar posibles vulnerabilidades de seguridad. Estas correcciones se publican antes de su anuncio público para que los clientes tengan tiempo de actualizar su firmware. Como buena práctica, recomendamos que los usuarios actualicen el firmware de su tarjeta gráfica tan pronto como el fabricante de la GPU lo publique. Hasta el momento, no se han reportado casos de explotación de estas vulnerabilidades.

Tenemos, por tanto, una recomendación expresa de AMD para actualizar y un dato relevante: la compañía afirma que no hay informes de explotación de estas vulnerabilidades. Esto último merece atención, pero tampoco responde a la pregunta sobre su gravedad. Que no se hayan comunicado ataques no nos dice qué permitiría hacer el fallo ni qué necesitaría un atacante para aprovecharlo.

El boletín sigue sin aparecer y algunas tarjetas todavía deben esperar

Tras comprobar el portal oficial de seguridad de AMD en el día de hoy y tras más de media semana de diferencia, la referencia 6023 sigue sin aparecer en su índice público. Seguimos, por tanto, sin el aviso al que remiten las notas de GIGABYTE y sin una descripción verificable del mecanismo de ataque, los privilegios necesarios o el alcance completo del problema. AMD ha explicado el motivo de la publicación anticipada de los parches, pero todavía queda por conocer qué están corrigiendo exactamente.

Hay, además, un detalle práctico que conviene revisar antes de descargar nada. SAPPHIRE ofrece herramientas para ocho familias de GPU, desde la RX 7600 hasta la RX 7900 XTX, pero también publica una lista de SKU compatibles, es decir, referencias concretas de sus tarjetas. La propia marca indica que los usuarios de otros SKU de la serie RX 7000 deben esperar una actualización futura. Así que ver el nombre de tu GPU en la página no basta: comprueba también el modelo exacto.

Para el usuario, el siguiente paso está claro: consultar el soporte de su ensamblador y seguir sus instrucciones cuando exista un paquete compatible. Para AMD, queda pendiente poner los detalles sobre la mesa. Ya sabemos por qué llegan primero los parches; ahora falta saber de qué nos están protegiendo.

La entrada AMD pide actualizar la VBIOS de las RX 7000: confirma los parches de seguridad, pero sigue sin explicar las vulnerabilidades aparece primero en El Chapuzas Informático.