PT-2022-23005 · Insyde · Insydeh2O

CVE-2022-35897 · Publicado 2022-11-21 · Atualizado 2022-11-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Insyde InsydeH2O com kernel 5.0 a 5.5

Descrição

Um problema de estouro de buffer da pilha leva à execução de código arbitrário quando variáveis UEFI específicas são modificadas. Normalmente, essas variáveis são bloqueadas no nível do sistema operacional, exigindo que um invasor faça modificações diretas no SPI. Se um invasor alterar pelo menos duas das três variáveis — SecureBootEnforce, SecureBoot, RestoreBootSettings —, é possível executar código arbitrário.

Recomendações

Para o Insyde InsydeH2O com kernel 5.0 a 5.5, considere restringir o acesso às variáveis UEFI SecureBootEnforce, SecureBoot e RestoreBootSettings para impedir modificações e minimizar o risco de exploração. Como solução temporária, certifique-se de que essas variáveis estejam devidamente protegidas no nível do sistema operacional para impedir alterações não autorizadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2022-35897

Produtos afetados

Insydeh2O

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2022-35897 · Nota de Segurança
• https://insyde.com/security-pledge/SA-2022041 · Aviso do Fabricante
• https://t.me/cibsecurity/53269 · Publicação no Telegram
• https://insyde.com/security-pledge · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-35897 · Aviso do Fabricante
• https://t.me/cvenotify/38798 · Publicação no Telegram