Intel исправила критические уязвимости в BIOS

[Artifact]

4 серьезные уязвимости с оценкой 8,2 позволяют злоумышленнику повысить привилегии

Intel во вторник выпустила исправления для множества уязвимостей в своих продуктах, включая серию критических уязвимостей в BIOS нескольких моделей процессоров.
Согласно отчету Intel , 9 задокументированных критических проблем затронули процессоры Intel Xeon, Pentium Silver, Rocket Lake Xeon, Core и Core X Series. Наиболее опасными являются 4 уязвимости повышения привилегий через локальный доступ CVE-2021-0154, CVE-2021-0153, CVE-2021-33123 и CVE-2021-0190 с оценкой CVSS 8,2.
Остальные 5 недостатков также могут привести к локальному повышению привилегий, но имеют более низкие оценки CVSS. В рекомендациях Intel также задокументированы 2 проблемы средней опасности.
«Режимы аппаратной отладки и настройки инициализации процессора, позволяющие переопределять блокировки для некоторых процессоров Intel в Intel Boot Guard и Intel TXT, позволяют локальному неавторизованному пользователю, имеющему физический доступ к устройству, повысить привилегии», - отметила компания в рекомендации.
Проблема затронула несколько моделей процессоров Intel, включая последние три поколения Intel Core, некоторые модели Celeron, Atom, Pentium, Xeon, Gold и Silver, а также несколько серий чипсетов.
Компания порекомендовала обновить подсистему Intel Converged Security and Management Engine (CSME) до последней версии, отключить функцию отладки процессора во время работы Intel Boot Guard и отключить бит BSP (Bootstrap Processor) INIT (DBI) .
Во вторник технический гигант также опубликовал описание восьми уязвимостей в продуктах Optane SSD и Intel Optane SSD Data Center (DC), в том числе трех с рейтингом «высокой опасности» и пяти «средней опасности».
Компания также опубликовала информацию об исправлениях для критических уязвимостей в прошивке NUC и программном обеспечении In-Band Manageability, а также уязвимостей в Advisor, XTU, Killer Control Center, Manageability Commander и платформе SGX.
Ранее сообщалось, что компания HP исправила уязвимости, которые позволили злоумышленнику запустить код с привилегиями ядра и получить полный контроль над устройством пользователя и возможность перезаписать прошивку.