Vorwurf: Minisforum soll AMDs eigenen BIOS-Sicherheitsfix für Mini-PC von 2021 ignorieren

Ein Reddit-Thread, in dem Minisforum vorgeworfen wird, die Behebung einer Sicherheitslücke bei einem älteren Mini-PC zu verweigern, gewinnt in zwei Subreddits zunehmend an Aufmerksamkeit. Auch andere Nutzer berichten von einem ähnlichen Vorgehen bei verschiedenen Geräten des Unternehmens. Die Vorwürfe stammen aus mehreren verstreuten und nicht verifizierten Berichten und wurden von Minisforum bislang nicht öffentlich kommentiert.

Laut einem Beitrag des Nutzers u/woyzeckpompo, der vor neun Tagen erstmals in r/Minisforum veröffentlicht und anschließend auch in r/MiniPCs geteilt wurde, hat AMD bereits ein AGESA-Microcode-Update veröffentlicht, das Firmware-Schwachstellen bei älteren AMD-Sockeln behebt. Minisforum soll dieses Update jedoch bislang nicht in ein BIOS-Update für den HM80 integriert haben. Der Mini-PC basiert auf dem Ryzen 7 4800U und wurde Mitte 2021 auf den Markt gebracht.

Der Verfasser des Beitrags gibt an, über mehrere Wochen hinweg etwa 14 bis 15 E-Mails mit dem Support ausgetauscht zu haben. Seinen Angaben zufolge habe ein Mitarbeiter die Anfrage zunächst fälschlicherweise als Wunsch nach einem Leistungsupdate eingeordnet und ihm vorgeschlagen, stattdessen ein neueres Modell zu kaufen. Anschließend habe der Mitarbeiter darauf verwiesen, dass sich das Gerät außerhalb der Garantie befinde.

Der Nutzer argumentiert, dass ein bereits seit der Herstellung vorhandener Firmware-Fehler nichts mit der üblichen Abnutzung zu tun habe, die durch Garantiebedingungen abgedeckt beziehungsweise ausgeschlossen wird. Er erklärt außerdem, dass er Beschwerden bei europäischen Verbraucherschutzbehörden einreichen wolle, darunter auch bei der italienischen AGCM.

Minisforum refuses to fix critical BIOS security vulnerabilities on HM80 (even though AMD released the AGESA fix), telling me to buy a new model instead. Unacceptable lifecycle support. [X-Post from r/Minisforum]
by u/woyzeckpompo in MiniPCs

Keiner der beiden Beiträge nennt eine konkrete CVE-Nummer oder eine bestimmte Sicherheitslücke. Daher lässt sich nicht bestätigen, auf welches Sicherheitsbulletin von AMD Bezug genommen wird oder ob es überhaupt für den auf Renoir basierenden Chip des HM80 gilt.

Minisforum hat bislang keine öffentliche Stellungnahme zu den Vorwürfen abgegeben. Besorgte Nutzer in dem Thread tauschen sich inzwischen mit weiteren Anwendern aus, die von ähnlichen Erfahrungen berichten. Einer von ihnen erklärte beispielsweise, dass ein konkurrierendes AM4-Mainboard von Gigabyte auch neun Jahre nach seiner Markteinführung noch BIOS-Updates erhält.

Andere Nutzer weisen darauf hin, dass sich ein ähnliches Muster auch bei konkurrierenden Mini-PC-Marken beobachten lasse. Mehrere Kommentatoren bemängelten zudem, dass Hardware-Tester bei der Berichterstattung über solche Geräte nur selten auf die Firmware-Unterstützung nach dem Kauf eingehen. Dennoch sollte der Bericht weiterhin als Schilderung eines einzelnen Kunden über einen Streit mit dem Support betrachtet werden und nicht als bestätigte Veröffentlichung einer Sicherheitslücke.

Minisforum refuses to patch critical BIOS security flaws on HM80 (even though AMD released the AGESA fix), tells me to buy a new one instead. Unacceptable lifecycle support.
by u/woyzeckpompo in MINISFORUM