BDU:2022-04387

Опубликовано: 27 июн. 2022

Источник: fstec

CVSS3: 6.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения процессоров Intel и AMD связана с ошибками при обработке инструкции "ret" (return), извлекающей адрес для перехода из стека. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию из памяти ядра или осуществить атаку на хост-систему из виртуальных машин

Вендор

Red Hat, Inc.

ООО «РусБИТех-Астра»

Novell Inc.

Intel Corp.

Сообщество свободного программного обеспечения

Fedora Project

ООО «Ред Софт»

Advanced Micro Devices Inc.

АО «НППКТ»

Наименование ПО

Red Hat Enterprise Linux

Astra Linux Special Edition

SUSE Linux Enterprise Server for SAP Applications

Suse Linux Enterprise Server

7th Generation Intel Core

8th Generation Intel Core

6th Generation Intel Core

SUSE Linux Enterprise High Availability

SUSE Linux Enterprise Live Patching

SUSE Linux Enterprise Software Development Kit

SUSE OpenStack Cloud

Debian GNU/Linux

SUSE Linux Enterprise High Performance Computing

SUSE Linux Enterprise Workstation Extension

Suse Linux Enterprise Desktop

OpenSUSE Leap

Fedora

РЕД ОС

SUSE Manager Proxy

SUSE Manager Server

1st Gen AMD EPYC

2nd Gen AMD EPYC

SUSE Manager Retail Branch Server

SUSE Linux Enterprise Module for Public Cloud

AMD Ryzen 2000 series Desktop

AMD Ryzen 3000 Series Desktop

AMD Ryzen 4000 Series Desktop processors with Radeon graphics

2nd Gen AMD Ryzen Threadripper

3rd Gen AMD Ryzen Threadripper

AMD Ryzen Threadripper PRO processors

AMD Athlon 3000 Series Mobile processors with Radeon graphics

AMD Ryzen 2000 Series Mobile processor

2nd Gen AMD Ryzen Mobile processor with Radeon graphics

AMD Ryzen 5000 Series Mobile processor with Radeon graphics

AMD Athlon Mobile processor with Radeon graphics

AMD Athlon X4 processor

7th Generation AMD A-Series APUs

SUSE Enterprise Storage

ОСОН ОСнова Оnyx

Linux

Версия ПО

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

12 SP4 (SUSE Linux Enterprise Server for SAP Applications)

12 SP4 (Suse Linux Enterprise Server)

- (7th Generation Intel Core)

- (8th Generation Intel Core)

- (6th Generation Intel Core)

8 (Red Hat Enterprise Linux)

12 SP2-BCL (Suse Linux Enterprise Server)

12 SP4 (SUSE Linux Enterprise High Availability)

12 SP4 (SUSE Linux Enterprise Live Patching)

12 SP5 (Suse Linux Enterprise Server)

12 SP5 (SUSE Linux Enterprise Server for SAP Applications)

12 SP5 (SUSE Linux Enterprise Software Development Kit)

Crowbar 8 (SUSE OpenStack Cloud)

10 (Debian GNU/Linux)

9 (SUSE OpenStack Cloud)

12 SP5 (SUSE Linux Enterprise High Performance Computing)

12 SP5 (SUSE Linux Enterprise High Availability)

12 SP5 (SUSE Linux Enterprise Workstation Extension)

12 SP5 (SUSE Linux Enterprise Live Patching)

12 SP4-ESPOS (Suse Linux Enterprise Server)

12 SP4-LTSS (Suse Linux Enterprise Server)

12 SP5 (Suse Linux Enterprise Desktop)

15.3 (OpenSUSE Leap)

11 (Debian GNU/Linux)

35 (Fedora)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

15 SP3 (SUSE Linux Enterprise High Performance Computing)

15 SP3 (Suse Linux Enterprise Server)

15 SP3 (SUSE Linux Enterprise Server for SAP Applications)

4.2 (SUSE Manager Proxy)

4.2 (SUSE Manager Server)

12 SP4 (SUSE Linux Enterprise High Performance Computing)

36 (Fedora)

- (1st Gen AMD EPYC)

- (2nd Gen AMD EPYC)

4.2 (SUSE Manager Retail Branch Server)

15 SP3 (SUSE Linux Enterprise Module for Public Cloud)

9 (Red Hat Enterprise Linux)

- (AMD Ryzen 2000 series Desktop)

- (AMD Ryzen 3000 Series Desktop)

- (AMD Ryzen 4000 Series Desktop processors with Radeon graphics)

- (2nd Gen AMD Ryzen Threadripper)

- (3rd Gen AMD Ryzen Threadripper)

- (AMD Ryzen Threadripper PRO processors)

- (AMD Athlon 3000 Series Mobile processors with Radeon graphics)

- (AMD Ryzen 2000 Series Mobile processor)

- (2nd Gen AMD Ryzen Mobile processor with Radeon graphics)

- (AMD Ryzen 5000 Series Mobile processor with Radeon graphics)

- (AMD Athlon Mobile processor with Radeon graphics)

- (AMD Athlon X4 processor)

- (7th Generation AMD A-Series APUs)

7.1 (SUSE Enterprise Storage)

4.7 (Astra Linux Special Edition)

до 2.6 (ОСОН ОСнова Оnyx)

до 2.7 (ОСОН ОСнова Оnyx)

от 4.0 до 4.19.265 включительно (Linux)

от 4.20 до 5.10.132 включительно (Linux)

от 5.11 до 5.15.56 включительно (Linux)

от 5.16 до 5.18.13 включительно (Linux)

Тип ПО

Операционная система

ПО программно-аппаратных средств защиты

Микропрограммный код

Прикладное ПО информационных систем

Микропрограммный код аппаратных компонентов компьютера

Сетевое средство

Операционные системы и аппаратные платформы

Red Hat, Inc. Red Hat Enterprise Linux 6

Red Hat, Inc. Red Hat Enterprise Linux 7

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4

Novell Inc. Suse Linux Enterprise Server 12 SP4

Red Hat, Inc. Red Hat Enterprise Linux 8

Novell Inc. Suse Linux Enterprise Server 12 SP2-BCL

Novell Inc. Suse Linux Enterprise Server 12 SP5

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Novell Inc. Suse Linux Enterprise Server 12 SP4-ESPOS

Novell Inc. Suse Linux Enterprise Server 12 SP4-LTSS

Novell Inc. Suse Linux Enterprise Desktop 12 SP5

Novell Inc. OpenSUSE Leap 15.3

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Fedora Project Fedora 35

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Novell Inc. Suse Linux Enterprise Server 15 SP3

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3

Fedora Project Fedora 36

Red Hat, Inc. Red Hat Enterprise Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НППКТ» ОСОН ОСнова Оnyx до 2.6

АО «НППКТ» ОСОН ОСнова Оnyx до 2.7

Сообщество свободного программного обеспечения Linux от 5.11 до 5.15.56 включительно

Сообщество свободного программного обеспечения Linux от 5.16 до 5.18.13 включительно

Сообщество свободного программного обеспечения Linux от 4.0 до 5.10.132 включительно

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Использование рекомендаций:

Для Linux:

https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.266

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.10.133

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.57

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.18.14

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2022-29900.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2022-29900

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-29900

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/D4RW5FCIYFNCQOEFJEUIRW3DGYW7CWBG/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/M27MB3QFNIJV4EQQSXWARHP3OGX6CR6K/

Для продуктов Intel Corp.:

https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00702.html

Для продуктов Advanced Micro Devices Inc.:

https://www.amd.com/en/corporate/product-security/bulletin/amd-sb-1037

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения xen до версии 4.16.2-1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для ОСОН ОСнова Оnyx (версия 2.7):

Обновление программного обеспечения linux до версии 5.15.86-1.osnova211

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux 1.6 «Смоленск»:

- обновить пакет linux до 5.4.0-162.astra1+ci21 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

- обновить пакет linux-5.10 до 5.10.142-1.astra6+ci38 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

- обновить пакет linux-5.15 до 5.15.0-83.astra1+ci36 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-29900
CVE

EPSS

Процентиль: 90%

0.03937

Низкий

6.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

ALT-PU-2022-2363

CVSS3: 6.5

altlinux

больше 4 лет назад

ALT-PU-2022-2363: package `kernel-image-centos` update to version 5.14.0.143-alt1.el9

ROS-20240911-11

CVSS3: 8.8

redos

около 2 лет назад

Множественные уязвимости xen

CVE-2022-29900

CVSS3: 6.5

ubuntu

больше 4 лет назад

Mis-trained branch predictions for return instructions may allow arbitrary speculative code execution under certain microarchitecture-dependent conditions.

CVE-2022-29900

CVSS3: 5.6

redhat

больше 4 лет назад

Mis-trained branch predictions for return instructions may allow arbitrary speculative code execution under certain microarchitecture-dependent conditions.

CVE-2022-29900

CVSS3: 6.5

nvd

больше 4 лет назад

Mis-trained branch predictions for return instructions may allow arbitrary speculative code execution under certain microarchitecture-dependent conditions.

EPSS

Процентиль: 90%

0.03937

Низкий

6.5 Medium

CVSS3

4.6 Medium

CVSS2