BDU:2021-01342 (CVE-2020-0600) — уязвимость встроенного программного обеспечения Intel NUC Kit

По данным БДУ ФСТЭК России, по состоянию на 15.03.2021.

Уязвимость встроенного программного обеспечения Intel NUC Kit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии

Кого касается и что делать

• Уязвимое ПО: Intel NUC 8 Rugged Kit NUC8CCHKR (Intel) — версии до CHAPLCEL.0047; Intel NUC Board NUC8CCHB (Intel) — версии до CHAPLCEL.0047; Intel NUC 7 Essential PC NUC7CJYSAL (Intel) — версии до JYGLKCPX.86A.0053; и ещё 7 позиций
• Что делать: уязвимость устранена производителем — применить исправления: www.intel.com

Сведения об уязвимости

Идентификаторы	BDU:2021-01342 · CVE-2020-0600
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.8; CVSS 2.0 — 6.0)
Вектор CVSS 3.1	AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H нужен локальный доступ, высокая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость встроенного программного обеспечения Intel NUC Kit, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю повысить свои привилегии
Даты	Опубликована: 15.03.2021 · Обновлена ФСТЭК: 15.03.2021 · Выявлена: 14.04.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-269 — небезопасное управление привилегиями
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: нарушение авторизации

Уязвимое ПО

• Intel NUC 8 Rugged Kit NUC8CCHKR (Intel) — до CHAPLCEL.0047 · микропрограммный код
• Intel NUC Board NUC8CCHB (Intel) — до CHAPLCEL.0047 · микропрограммный код
• Intel NUC 7 Essential PC NUC7CJYSAL (Intel) — до JYGLKCPX.86A.0053 · микропрограммный код
• Intel NUC Kit NUC7CJYH (Intel) — до JYGLKCPX.86A.0053 · микропрограммный код
• Intel NUC Kit NUC7PJYH (Intel) — до JYGLKCPX.86A.0053 · микропрограммный код
• Intel NUC Kit NUC6CAYS (Intel) — до AYAPLCEL.86A.0066 · микропрограммный код
• Intel NUC Kit NUC6CAYH (Intel) — до AYAPLCEL.86A.0066 · микропрограммный код
• Intel NUC Kit DE3815TYKHE (Intel) — до TYBYT20H.86A.0024 · микропрограммный код
• Intel NUC Board DE3815TYBE (Intel) — до TYBYT20H.86A.0024 · микропрограммный код
• Intel Compute Stick STCK1A32WFC (Intel) — до FCBYT10H.86A · микропрограммный код

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• www.intel.com/content/www/us/en/security-center/advisory/…

Источники

• nvd.nist.gov/vuln/detail/CVE-2020-0600
• www.intel.com/content/www/us/en/security-center/advisory/…