Intel исправила несколько десятков уязвимостей в своих продуктах

Компания выпустила исправления для десятков уязвимостей в своем портфеле продуктов, включая критические и серьезные проблемы.

Одной из наиболее серьезных ошибок стала CVE-2021-39296 (10 баллов из 10 возможных по шкале CVSS), которая влияет на интегрированные BMC (Baseboard Management Controller) и прошивку OpenBMC сразу на нескольких платформах компании. Проблема была обнаружена еще в 2021 году в интерфейсе netipmid (IPMI lan+) и позволяла злоумышленнику получить root-доступ к BMC в обход аутентификации с использованием сообщений IPMI.

Также в прошивках BMC и OpenBMC были устранены еще четыре бага, в том числе серьезная проблема out-of-bounds чтения, которая могла привести к отказу в обслуживании.

➡️Intel устранила эти проблемы, прдставив прошивки Integrated BMC 2.86, 2.09 и 2.78, а также прошивки OpenBMC 0.72, wht-1.01-61 и egs-0.91-179.

Кроме того, в центре внимания оказались анклавы Intel Software Guard Extensions (SGX), так как с этой технологией оказались связаны сразу несколько уязвимостей. Проблемы охватывают широкий спектр продуктов Intel, включая процессоры Xeon, сетевые адаптеры, а также различный софт.

Так, две уязвимости в SGX были связаны с потенциальным повышением привилегий, которое может привести к раскрытию информации. Одна из них, CVE-2022-38090, имеет средний уровень серьезности и затрагивает ряд процессоров Intel, включая серверные Xeon Scalable 3-го поколения, которые лишь недавно были заменены продуктами 4-го поколения Sapphire Rapids.

Другая уязвимость, CVE-2022-33196, имеет высокий уровень серьезности и так же затрагивает Xeon 3-го поколения и процессоры Xeon D. Intel заявила, что выпустит обновления BIOS и микрокода для затронутых процессоров.

Еще одна проблема, влияющая на SGX, оказалась связана SDK. По словам инженеров Intel, этот баг мог привести к раскрытию информации через локальный доступ из-за некорректной проверки условий. Компания заявила, что выпустит обновления, смягчающие эту проблему.

Еще одна уязвимость с высоким рейтингом затрагивает серверные Xeon Scalable 3-го поколения и некоторые процессоры Atom. CVE-2022-21216 позволяет привилегированному злоумышленнику осуществить повышение привилегий через доступ к соседней сети из-за недостаточного контроля доступа. Для этой проблемы тоже обещают представить соответствующее обновление прошивки.