Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Viacero zraniteľností v procesoroch Intel a UEFI firmvéri

spoločnosť Intel vydala bezpečnostné upozornenie, ktoré rieši niekoľko zraniteľností v hardvéri [1][2] a firmvéri UEFI niektorých procesorov [3]. Tieto zraniteľnosti by v prípade zneužitia mohli umožniť privilegovaným používateľom zvýšiť si svoje oprávnenia, vykonať odmietnutie služby alebo spôsobiť únik citlivých informácií. Zraniteľná je celá rada procesorov Intel, okrem iného: Intel Xeon rodiny D a E Intel Core 10., 11. a 12. generácie Intel Atom Intel Pentium a Celeron Prvé dve zraniteľnosti, týkajúce sa hardvéru, opravuje microcode-20240910 [4]; na opravu nasledujúcich a mnohých ďalších zraniteľností musia používatelia čakať na aktualizácie UEFI firmvéru od výrobcov počítačov. Používatelia Lenovo si už môžu stiahnuť opravy z podpory s konkrétnymi pokynmi [5].

Procesor Intel - zverejnenie informácií (CVE-2024-23984)
CVSS 5.3 (Medium)

Autentizovanému lokálnemu útočníkovi je z dôvodu bezpečnostnej chyby v rozhraní RAPL (Running Average Power Limit) umožnené potenciálne vyzradenie citlivých informácií [1].

CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Procesor Intel - odmietnutie služby (CVE-2024-24968)
CVSS 5.3 (Medium)

Autentizovanému lokálnemu útočníkovi je z dôvodu nesprávnej implementácie konečných automatov v hardvérovej logike umožnené vykonať DoS útok [2].

CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

UEFI firmvér - odmietnutie služby (CVE-2024-23599)
CVSS 7.9 (High)

Autentizovanému lokálnemu útočníkovi je z dôvodu chyby race condition umožnené vykonať DoS útok [3].

Zraniteľnosť sa nachádza v produkte:

  • ;

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H

Viac informácií:

  • CVE-2024-23599 na cve.org, NVD
  • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

UEFI firmvér - eskalácia oprávnení (CVE-2024-21871)
CVSS 7.5 (High)

Autentizovanému lokálnemu útočníkovi je z dôvodu nesprávnej validácie vstupu umožnené zvýšiť si svoje oprávnenia [3].

CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

UEFI firmvér - eskalácia oprávnení (CVE-2023-42772)
CVSS 8.2 (High)

Autentizovanému lokálnemu útočníkovi je z dôvodu nedôveryhodnej dereferencie ukazovateľa pre niektoré referenčné procesory umožnené zvýšiť si svoje oprávnenia [3].

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

UEFI firmvér - eskalácia oprávnení (CVE-2024-21829)
CVSS 7.5 (High)

Autentizovanému lokálnemu útočníkovi je z dôvodu nesprávnej validácie vstupov pri spracovaní chýb umožnené zvýšiť si svoje oprávnenia [3].

CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

UEFI firmvér - zverejnenie informácií, odmietnutie služby (CVE-2024-21781)
CVSS 7.2 (High)

Autentizovanému lokálnemu útočníkovi je umožnené sprístupniť informácie alebo vykonať DoS útok [3].

CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 16. 9. 2024.

CESNET, z.s.p.o. Logo