شناسایی و رفع آسیب پذیری های بحرانی در محصولات اینتل

تکنولوژی  چهارشنبه 15 خرداد 1398 394 بازدید

شرکت ‫اینتل بیش از ۳۰ ‫آسیب‌پذیری در محصولات مختلف خود از جمله یک آسیب پذیری بحرانی در موتور همگرای مدیریت و امنیت (Intel (CSME که سوءاستفاده از آن می‌تواند منجر به افزایش امتیاز شود را برطرف نموده است.

این نقص (CVE-۲۰۱۹-۰۱۵۳) در زیرسیستم Intel CSME وجود دارد. این زیرسیستم، فن‌آوری سفت‌افزار و سخت‌افزار سیستم مدیریت فعال Intel را که برای مدیریت از راه دور خارج از محدوده‌ی رایانه‌های شخصی استفاده می‌شود، قدرت می‌بخشد. یک کاربر بدون احرازهویت می‌تواند به صورت بالقوه از این نقص برای اعمال افزایش امتیاز طی دسترسی شبکه‌ای، سوءاستفاده کند. این نقص، یک آسیب‌پذیری سرریز بافر با امتیاز CVSS۹ از ۱۰ است. نسخه‌های ۱۲تا ۱۲.۰.۳۴ CSMEتحت‌تأثیر این آسیب‌پذیری قرار گرفته‌اند. شرکت Intelبه کاربران Intel CSMEتوصیه می‌کند به آخرین نسخه‌ی منتشرشده توسط سازنده‌ی سیستم که این نقص‌ها را برطرف ساخته است، به‌روزرسانی کنند.

Intel در مجموع ۳۴ آسیب‌‌پذیری را برطرف ساخته است که علاوه بر این یک نقص بحرانی، ۷ مورد از آن‌ها از نظر شدت «بالا»، ۲۱ مورد «متوسط» و ۵ مورد «پایین» رتبه‌بندی شده‌اند. این نقص‌ها جدا از نقص‌هایی هستند که Intel چندی پیش برطرف ساخته است. آن نقص‌ها، آسیب‌پذیری‌های اجرایی احتمالی به نام نمونه‌برداری داده‌‌ای ریزمعماری (MDS) بودند که تمامی CPUهای جدید Intelرا تحت‌تأثیر قرار داده بودند.
چهار حمله‌ی کانالی (ZombieLoad، Fallout، RIDL (Rogue In-Flight Data Loadو Store-to-Leak Forwarding اجازه‌ی استخراج داده‌ها از سیستم‌های متأثر آن آسیب‌‌پذیری‌ها را می‌دادند.

یکی از آسیب‌پذیری‌های با شدت بالا که در توصیه‌نامه‌ی جدید Intelبرطرف شده است، یک آسیب‌‌پذیری اعتبارسنجی ناکافی ورودی است که در Kernel Mode Driver تراشه‌های گرافیکی Intel i۹۱۵ لینوکس وجود دارد. این نقص، یک کاربر احرازهویت‌شده را قادر می‌سازد از طریق یک دسترسی محلی، امتیاز خود را افزایش دهد. این آسیب‌پذیری با شناسه‌ی CVE-۲۰۱۹-۱۱۰۸۵ ردیابی می‌‌شود و دارای امتیاز CVSS۸.۸ از ۱۰ است.

آسیب‌‌پذیری با شدت بالای دیگر در سفت‌افزار سیستم ابزارگان Intel NUC (یک ابزارگان کوچک رایانه شخصی که قابلیت‌های پردازش، حافظه و ذخیره‌سازی را برای برنامه‌‌هایی همچون مجموعه نشانه‌های دیجیتال، مراکز رسانه‌ای و کیوسک‌ها را ارایه می‌دهد) وجود دارد. این نقص با شناسه‌ی CVE-۲۰۱۹-۱۱۰۹۴ ردیابی می‌‌شود و دارای رتبه‌ی CVSS۷.۵ از ۱۰ است. این نقص ممکن است به کاربر احرازهویت‌شده اجازه دهد افزایش امتیاز، انکار سرویس یا افشای اطلاعات را به طور بالقوه از طریق دسترسی محلی اعمال سازد. شرکت Intel توصیه می‌کند که محصولات متأثر زیر به آخرین نسخه‌ی سفت‌افزاری به‌روزرسانی کنند.

نقص با شدت بالای دیگر که توسط خود Intelکشف شد در واسط سفت‌افزاری توسعه‌پذیر یکپارچه (UEFI) وجود دارد. UEFI مشخصه‌ای است که یک واسط نرم‌افزاری بین یک سیستم‌عامل و سفت‌افزار بستر تعریف می‌کند (اگرچه UEFIیک مشخصه‌ی صنعتی است، سفت‌افزار UEFI بااستفاده از کد مرجع Intelتحت‌تأثیر این آسیب‌پذیری قرار گرفته است). این نقص با شناسه‌ی CVE-۲۰۱۹-۰۱۲۶ردیابی می‌شود و دارای امتیاز CVSS۷.۲ از ۱۰ است سوءاستفاده از آن می‌تواند به طور بالقوه منجر به افزایش امتیاز یا انکار سرویس در سیستم‌های متأثر شود. به گفته‌ی Intel، این نقص ناشی کنترل ناکافی دسترسی در سفت‌افزار مرجع silicon برای پردازنده مقیاس‌پذیرIntel Xeon ، خانواده Dپردازنده Intel Xeon است. مهاجم برای سوءاستفاده از این نقص نیاز به دسترسی محلی دارد.

دیگر نقص‌های با شدت بالا شامل موارد زیر است:

  • آسیب‌پذیری تصفیه‌سازی (sanitization)ناصحیح داده‌ها در زیرسیستمی در سرویس‌های بستر کارگزار (Intel (CVE-۲۰۱۹-۰۰۸۹
  • آسیب‌‌پذیری کنترل ناکافی دسترسی در زیرسیستم (Intel CSME (CVE-۲۰۱۹-۰۰۹۰
  • آسیب‌پذیری کنترل ناکافی دسترسی (CVE-۲۰۱۹-۰۰۸۶)در نرم‌افزار بارگذار پویای برنامه کاربردی (یک ابزار Intel که به کاربران اجازه می‌دهد بخش‌های کوچکی از کد جاوا را بر Intel CSME اجرا کنند)
  • نقص سرریز بافر در زیرسیستمی در بارگزار پویای برنامه‌ی کاربردی (Intel (CVE-۲۰۱۹-۰۱۷۰

Intel به کاربران توصیه می‌کند سفت‌افزار خود را به این نسخه‌ی سفت‌افزاری (یا جدیدتر) اختصاص‌داده شده برای مدل محصول متأثر خود، ارتقا دهند.

 

منبع : cert.umz.ac.ir

برچسب ها:

مطالب پیشنهادی

ثبت نظر

 

جدید ترین ها

محبوب ترین ها

کلمات کلیدی

کلیه حقوق این سایت برای مجموعه شمال تک محفوظ است