مرکز آپا دانشگاه کردستان

‫ شناسایی و رفع آسیب پذیری های بحرانی در محصولات اینتل

شرکت ‫اینتل بیش از 30 آسیب‌پذیری در محصولات مختلف خود از جمله یک آسیب پذیری بحرانی در موتور همگرای مدیریت و امنیت (Intel (CSME که سوءاستفاده از آن می‌تواند منجر به افزایش امتیاز شود را برطرف نموده است. این نقص (CVE-2019-0153) در زیرسیستم Intel CSME وجود دارد. این زیرسیستم، فن‌آوری سفت‌افزار و سخت‌افزار سیستم مدیریت فعال Intel را که برای مدیریت از راه دور خارج از محدوده‌ی رایانه‌های شخصی استفاده می‌شود، قدرت می‌بخشد. یک کاربر بدون احرازهویت می‌تواند به صورت بالقوه از این نقص برای اعمال افزایش امتیاز طی دسترسی شبکه‌ای، سوءاستفاده کند. این نقص، یک آسیب‌پذیری سرریز بافر با امتیاز CVSS 9 از 10 است. نسخه‌های 12تا 12.0.34 CSME تحت‌تأثیر این آسیب‌پذیری قرار گرفته‌اند. شرکت Intel به کاربران Intel CSME توصیه می‌کند به آخرین نسخه‌ی منتشرشده توسط سازنده‌ی سیستم که این نقص‌ها را برطرف ساخته است، به‌روزرسانی کنند. Intelدر مجموع 34 آسیب‌‌پذیری را برطرف ساخته است که علاوه بر این یک نقص بحرانی، 7 مورد از آن‌ها از نظر شدت حساسیت «بالا»، 21 مورد «متوسط» و 5 مورد «پایین» رتبه‌بندی شده‌اند. این نقص‌ها جدا از نقص‌هایی هستند که Intel چندی پیش برطرف ساخته است. آن نقص‌ها، آسیب‌پذیری‌های اجرایی احتمالی به نام نمونه‌برداری داده‌‌ای ریزمعماری (MDS) بودند که تمامی CPUهای جدید Intel را تحت‌تأثیر قرار داده بودند. چهار حمله‌ی کانالی (ZombieLoad، Fallout، RIDL (Rogue In-Flight Data Loadو Store-to-Leak Forwarding اجازه‌ی استخراج داده‌ها از سیستم‌های متأثر آن آسیب‌‌پذیری‌ها را می‌دادند. یکی از آسیب‌پذیری‌های با شدت بالا که در توصیه‌نامه‌ی جدید Intel برطرف شده است، یک آسیب‌‌پذیری اعتبارسنجی ناکافی ورودی است که در Kernel Mode Driver تراشه‌های گرافیکی Intel i915 لینوکس وجود دارد. این نقص، یک کاربر احرازهویت‌شده را قادر می‌سازد از طریق یک دسترسی محلی، امتیاز خود را افزایش دهد. این آسیب‌پذیری با شناسه‌ی CVE-2019-11085 ردیابی می‌‌شود و دارای امتیاز CVSS 8.8 از 10 است. آسیب‌‌پذیری با شدت بالای دیگر در سفت‌افزار سیستم ابزارگان Intel NUC یک ابزارگان کوچک رایانه شخصی که قابلیت‌های پردازش، حافظه و ذخیره‌سازی را برای برنامه‌‌هایی همچون مجموعه نشانه‌های دیجیتال، مراکز رسانه‌ای و کیوسک‌ها را ارایه می‌دهد، وجود دارد. این نقص با شناسه‌ی CVE-2019-11094 ردیابی می‌‌شود و دارای رتبه‌ی CVSS 7.5 از 10 است. این نقص ممکن است به کاربر احرازهویت‌شده اجازه دهد افزایش امتیاز، انکار سرویس یا افشای اطلاعات را به طور بالقوه از طریق دسترسی محلی اعمال سازد. شرکت Intel توصیه می‌کند که محصولات متأثر زیر به آخرین نسخه‌ی سفت‌افزاری به‌روزرسانی کنند. محصول متأثر: سفت‌افزار به‌روزرسانی‌شده Intel® NUC Kit NUC8i7HNK: نسخه‌ی BIOS 0054 یا جدیدتر Intel® NUC Kit NUC8i7HVK: نسخه‌ی BIOS 0054 یا جدیدتر Intel® NUC Kit NUC7i7DNHE: نسخه‌ی BIOS 0062 یا جدیدتر Intel® NUC Kit NUC7i7DNKE: نسخه‌ی BIOS 0062 یا جدیدتر Intel® NUC Kit NUC7i5DNHE: نسخه‌ی BIOS 0062 یا جدیدتر Intel® NUC Kit NUC7i5DNHE: نسخه‌ی BIOS 0062 یا جدیدتر Intel® NUC Board NUC7i7DNBE: نسخه‌ی BIOS 0062 یا جدیدتر نقص با شدت بالای دیگر که توسط خود Intel کشف شد در واسط سفت‌افزاری توسعه‌پذیر یکپارچه (UEFI) وجود دارد. UEFI مشخصه‌ای است که یک واسط نرم‌افزاری بین یک سیستم‌عامل و سفت‌افزار بستر تعریف می‌کند (اگرچه UEFI یک مشخصه‌ی صنعتی است، سفت‌افزار UEFI بااستفاده از کد مرجع Intel تحت‌تأثیر این آسیب‌پذیری قرار گرفته است). این نقص با شناسه‌ی CVE-2019-0126ردیابی می‌شود و دارای امتیاز CVSS 7.2 از 10 است سوءاستفاده از آن می‌تواند به طور بالقوه منجر به افزایش امتیاز یا انکار سرویس در سیستم‌های متأثر شود. به گفته‌ی Intel، این نقص ناشی کنترل ناکافی دسترسی در سفت‌افزار مرجع silicon برای پردازنده مقیاس‌پذیر Intel Xeon، خانواده D پردازنده Intel Xeon است. مهاجم برای سوءاستفاده از این نقص نیاز به دسترسی محلی دارد.