BDU:2024-06914

Опубликовано: 23 окт. 2023

Источник: fstec

CVSS3: 6.7

CVSS2: 6.5

EPSS Низкий

Описание

Уязвимость среды с открытым исходным кодом для разработки UEFI EDK2 связана с ошибками конфигурации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Tianocore

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

edk2

Версия ПО

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

до 2024.02-2 (edk2)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,7)

Возможные меры по устранению уязвимости

Для EDK2:

использование рекомендаций производителя: https://launchpadlibrarian.net/710722459/Disable-the-Shell-when-SecureBoot-is-enabled.patch

Для Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2023-48733

Для ОС Astra Linux:

обновить пакет edk2 до 2024.02-2.astra.se02 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

обновить пакет edk2 до 2024.02-2.astra.se04 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-48733
CVE

EPSS

Процентиль: 5%

0.00021

Низкий

6.7 Medium

CVSS3

6.5 Medium

CVSS2

Связанные уязвимости

CVE-2023-48733

CVSS3: 6.7

ubuntu

почти 2 года назад

An insecure default to allow UEFI Shell in EDK2 was left enabled in Ubuntu's EDK2. This allows an OS-resident attacker to bypass Secure Boot.

CVE-2023-48733

CVSS3: 6.7

nvd

почти 2 года назад

An insecure default to allow UEFI Shell in EDK2 was left enabled in Ubuntu's EDK2. This allows an OS-resident attacker to bypass Secure Boot.

CVE-2023-48733

CVSS3: 6.7

debian

почти 2 года назад

An insecure default to allow UEFI Shell in EDK2 was left enabled in Ub ...

GHSA-cjc8-gmgf-qv2g

CVSS3: 6.7

github

почти 2 года назад

An insecure default to allow UEFI Shell in EDK2 was left enabled in Ubuntu's EDK2. This allows an OS-resident attacker to bypass Secure Boot.

EPSS

Процентиль: 5%

0.00021

Низкий

6.7 Medium

CVSS3

6.5 Medium

CVSS2