Les Radeon RX 7000 reçoivent des mises à jour de sécurité au compte-gouttes

Depuis quelques semaines, les détenteurs de Radeon RX 7000 sont dans la tourmente (du moins, ceux qui sont au courant). Reprenons le fil des événements.

Une épidémie de correctifs qui se répand très lentement

L'histoire commence début octobre. Sapphire publie (via TPU) de nouveaux firmwares pour huit modèles de Radeon RX 7000, de la RX 7600 à la RX 7900 XTX. Le fabricant indique avoir identifié un problème de sécurité en collaboration avec AMD, sans préciser sa nature.

À ce stade, d'aucuns suggéraient que seules les références de Sapphire étaient touchées. Seulement quelques jours plus tard, ComputerBase s'est aperçu que Gigabyte proposait aussi des mises à jour du vBIOS pour plusieurs Radeon RX 7000. Sa documentation était un peu plus explicite. Elle renvoyait au départ à l'identifiant AMD-SN-6023. Problème, aucune fiche correspondante n'était alors disponible sur le portail de sécurité d'AMD.

AMD a fini par sortir du silence le 12 octobre. L'entreprise a expliqué aux médias allemands ComputerBase et Hardwareluxx que ces correctifs étaient diffusés avant la publication des détails techniques afin de laisser aux utilisateurs le temps de mettre à jour leur firmware. Elle recommandait d'installer les mises à jour dès que celles-ci seraient proposées par les fabricants de cartes graphiques. L'entreprise ajoutait qu'aucune exploitation de ces vulnérabilités n'avait été signalée à sa connaissance. Une information rassurante, mais qui ne permettait pas d'évaluer précisément le risque, faute de connaître la nature des failles, les conditions nécessaires à leur exploitation, ainsi que leurs conséquences potentielles.

Le déploiement des correctifs n'est par ailleurs pas uniforme. Au 12 octobre, ComputerBase n'avait pas trouvé de mises à jour équivalentes chez ASUS, PowerColor ou XFX. La situation n'a pas changé et elle reste également lacunaire chez Gigabyte.

En effet, comme l'a repéré VideoCardz sur Reddit, un propriétaire de Radeon RX 7900 XTX Gaming OC 24G a contacté le support du fabricant pour obtenir un vBIOS corrigé, voire une version bêta. D'après les échanges publiés sur le réseau social, le service client lui a répondu que sa carte n'était plus sous garantie, avant de le renvoyer vers les pilotes disponibles ou un réparateur local. Or, la page d'assistance du modèle ne propose toujours pas le firmware de sécurité attendu.

La situation est donc assez absconse. AMD recommande une mise à jour de sécurité sans en détailler le contenu. Discrétion que l'on peut comprendre si cette divulgation différée vise à laisser aux utilisateurs le temps de se protéger. En attendant, la plupart des fabricants ne proposent toujours pas de correctifs pour leurs cartes. Ce déploiement à plusieurs vitesses est somme toute assez étrange. Pourquoi Sapphire et Gigabyte auraient-elles autant d'avance sur d'autres marques telles qu'ASUS ou ASRock ?