BDU:2023-04625

Опубликовано: 08 авг. 2023

Источник: fstec

CVSS3: 4.7

CVSS2: 3.8

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения процессоров AMD связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю определить содержимое памяти процессов других пользователей

Вендор

Red Hat Inc.

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Advanced Micro Devices Inc.

Fedora Project

АО "НППКТ"

Наименование ПО

Red Hat Enterprise Linux

Astra Linux Special Edition

Debian GNU/Linux

РЕД ОС

1st Gen AMD EPYC

3rd Gen AMD EPYC

AMD Ryzen 4000 Series Desktop processors with Radeon graphics

AMD Ryzen 5000 Series Desktop processor with Radeon graphics

AMD Athlon 3000 Series Mobile processors with Radeon graphics

AMD Ryzen 4000 Series Mobile processors with Radeon graphics

Fedora

2nd Gen AMD EPYC

4th Gen AMD EPYC

AMD Ryzen 3000 Series Desktop Processors

AMD Ryzen 5000 Series Desktop Processors

AMD Ryzen 7000 Series Desktop Processors

AMD Ryzen Threadripper PRO 3000WX Series

AMD Ryzen Threadripper PRO 5000WX Processors

AMD Ryzen 7020 Series Mobile Processors with Radeon Graphics

AMD Ryzen 6000 Series Processors with Radeon Graphics

AMD Ryzen 7035 Series Processors with Radeon Graphics

AMD Ryzen 5000 Series Processors with Radeon Graphics

AMD Ryzen 7030 Series Processors with Radeon Graphics

AMD Ryzen 7040 Series Mobile Processors with Radeon Graphics

AMD Ryzen 7045 Series Processors

Linux

ОСОН ОСнова Оnyx

Версия ПО

7 (Red Hat Enterprise Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (1st Gen AMD EPYC)

- (3rd Gen AMD EPYC)

9 (Red Hat Enterprise Linux)

- (AMD Ryzen 4000 Series Desktop processors with Radeon graphics)

- (AMD Ryzen 5000 Series Desktop processor with Radeon graphics)

- (AMD Athlon 3000 Series Mobile processors with Radeon graphics)

- (AMD Ryzen 4000 Series Mobile processors with Radeon graphics)

37 (Fedora)

4.7 (Astra Linux Special Edition)

38 (Fedora)

- (2nd Gen AMD EPYC)

- (4th Gen AMD EPYC)

- (AMD Ryzen 3000 Series Desktop Processors)

- (AMD Ryzen 5000 Series Desktop Processors)

- (AMD Ryzen 7000 Series Desktop Processors)

- (AMD Ryzen Threadripper PRO 3000WX Series)

- (AMD Ryzen Threadripper PRO 5000WX Processors)

- (AMD Ryzen 7020 Series Mobile Processors with Radeon Graphics)

- (AMD Ryzen 6000 Series Processors with Radeon Graphics)

- (AMD Ryzen 7035 Series Processors with Radeon Graphics)

- (AMD Ryzen 5000 Series Processors with Radeon Graphics)

- (AMD Ryzen 7030 Series Processors with Radeon Graphics)

- (AMD Ryzen 7040 Series Mobile Processors with Radeon Graphics)

- (AMD Ryzen 7045 Series Processors)

от 5.11 до 5.15.124 включительно (Linux)

от 5.16 до 6.1.43 включительно (Linux)

от 6.2 до 6.4.8 включительно (Linux)

от 4.0 до 5.10.188 включительно (Linux)

до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Микропрограммный код аппаратных компонент компьютера

Микропрограммный код

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Red Hat Inc. Red Hat Enterprise Linux 9

Fedora Project Fedora 37

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Fedora Project Fedora 38

Сообщество свободного программного обеспечения Linux от 5.11 до 5.15.124 включительно

Сообщество свободного программного обеспечения Linux от 5.16 до 6.1.43 включительно

Сообщество свободного программного обеспечения Linux от 6.2 до 6.4.8 включительно

Сообщество свободного программного обеспечения Linux от 4.0 до 5.10.188 включительно

АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 3,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,7)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- для процессоров на базе микроархитектур Zen1 и Zen2 блокирование уязвимости может осуществляться на уровне инструкций IBPB (Indirect Branch Prediction Barriers), уже применяемых для защиты от атак типа Spectre;

- для процессоров семейств Zen3 и Zen4 возможности защиты отсутствуют и для блокирования уязвимости в них необходима установка обновления микрокода (оценка влияния на производительность не осуществлена).

Использование рекомендаций:

Для продуктов Advanced Micro Devices Inc.:

https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7005.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-20569

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-20569

Для Linux:

https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=fb3bd914b3ec

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.10.189

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.125

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.1.44

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.4.9

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/L4E4TZNMLYL2KETY23IPA43QXFAVJ46V/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PKK3IA63LSKM4EC3TN4UM6DDEIOWEQIG/

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения xen до версии 4.17.2-1

Обновление программного обеспечения linux до версии 5.15.140-1.oasnova221

Для ОС Astra Linux Special Edition 1.7:

- обновить пакет linux до 5.4.0-162.astra1+ci6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

- обновить пакет amd64-microcode до 3.20230719.1~deb10u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

- обновить пакет linux-5.10 до 5.10.190-1.astra1+ci6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

- обновить пакет linux-5.15 до 5.15.0-83.astra1+ci14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

Для ОС Astra Linux 1.6 «Смоленск»:

- обновить пакет linux до 5.4.0-162.astra1+ci21 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

- обновить пакет linux-5.10 до 5.10.190-1.astra1+ci17 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

- обновить пакет linux-5.15 до 5.15.0-83.astra1+ci36 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

- обновить пакет linux до 5.4.0-186.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

- обновить пакет linux-5.10 до 5.10.190-1.astra1+ci10 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

- обновить пакет linux-5.15 до 5.15.0-83.astra1+ci16 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-20569
CVE

EPSS

Процентиль: 69%

0.00633

Низкий

4.7 Medium

CVSS3

3.8 Low

CVSS2

Связанные уязвимости

CVE-2023-20569

CVSS3: 4.7

ubuntu

почти 2 года назад

A side channel vulnerability on some of the AMD CPUs may allow an attacker to influence the return address prediction. This may result in speculative execution at an attacker-controlled address, potentially leading to information disclosure.

CVE-2023-20569

CVSS3: 5.6

redhat

почти 2 года назад

A side channel vulnerability on some of the AMD CPUs may allow an attacker to influence the return address prediction. This may result in speculative execution at an attacker-controlled address, potentially leading to information disclosure.

CVE-2023-20569

CVSS3: 4.7

nvd

почти 2 года назад

A side channel vulnerability on some of the AMD CPUs may allow an attacker to influence the return address prediction. This may result in speculative execution at an attacker-controlled address, potentially leading to information disclosure.

CVE-2023-20569

msrc

почти 2 года назад

AMD: CVE-2023-20569 Return Address Predictor

CVE-2023-20569

CVSS3: 4.7

debian

почти 2 года назад

A side channel vulnerability on some of the AMD CPUs may allow an atta ...

EPSS

Процентиль: 69%

0.00633

Низкий

4.7 Medium

CVSS3

3.8 Low

CVSS2