Debian dla-4095:intel-microcode - 安全性更新

high Nessus Plugin ID 233545

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機上安裝的一個套件受到 dla-4095 公告中提及的多個弱點影響。

------------------------------------------------------------------------- Debian LTS 公告 DLA-4095-1 [email protected] https://www.debian.org/lts/security/Tobias Frost 2025 年 3 月 29 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

套件:intel-microcode 版本:3.20250211.1~deb11u1 CVE ID:CVE-2023-34440 CVE-2023-43758 CVE-2024-24582 CVE-2024-28047 CVE-2024-28127 CVE-2024-29214 CVE-2024-31068 CVE-2024-31157 CVE-2024-36293 CVE-2024-37020 CVE-2024-39279 CVE-2024-39355 Debian 錯誤:1095805

已發布適用於 Intel(R) 處理器的 Microcode 更新,可解決可能會允許本機特權提升、拒絕服務或資訊洩漏等多個潛在弱點。

CVE-2023-34440 (INTEL-SA-01139)

某些 Intel(R) 處理器的 UEFI 韌體中存在不當的輸入驗證,特權使用者可能會藉此透過本機存取權提升特權。

CVE-2023-43758 (INTEL-SA-01139)

某些 Intel(R) 處理器的 UEFI 韌體中存在不當的輸入驗證,特權使用者可能會藉此透過本機存取權提升特權。

CVE-2024-24582 (INTEL-SA-01139)

某些 Intel(R) 處理器的 UEFI 韌體中的 XmlCli 功能存在不當的輸入驗證,有權限的使用者可能會藉此透過本機存取權提升權限。

CVE-2024-28047 (INTEL-SA-01139)

某些 Intel(R) 處理器的 UEFI 韌體存在不當輸入驗證,有權限的使用者或可利用此弱點,透過本機存取權限造成資訊洩漏。

CVE-2024-28127 (INTEL-SA-01139)

某些 Intel(R) 處理器的 UEFI 韌體中存在不當的輸入驗證,特權使用者可能會藉此透過本機存取權提升特權。

CVE-2024-29214 (INTEL-SA-01139)

某些 Intel(R) 處理器的 UEFI 韌體 CseVariableStorageSmm 中存在不當的輸入驗證,特權使用者可能會藉此透過本機存取權提升特權。

CVE-2024-31068 (INTEL-SA-01166)

某些 Intel(R) 處理器中硬體邏輯的有限狀態機 (FSM) 不正確,特權使用者可透過本機存取權限造成拒絕服務。

CVE-2024-31157 (INTEL-SA-01139)

某些 Intel(R) 處理器的 UEFI 韌體 OutOfBandXML 模組中存在不當初始化,可能會允許特權使用者透過本機存取權限造成資訊洩漏。

CVE-2024-36293 (INTEL-SA-01213)

在某些搭載 Intel(R) SGX 的 Intel(R) 處理器的 EDECCSSA user leaf 函式中存在不當存取控制,可能允許經驗證的使用者透過本機存取造成拒絕服務。

CVE-2024-37020 (INTEL-SA-01194)

- 某些 Intel(R) Xeon(R) 處理器的 Intel(R) DSA V1.0 中存在會導致意外行為的處理器指令序列,經驗證的使用者可能會透過本機存取權限來造成拒絕服務。

CVE-2024-39279 (INTEL-SA-01139)

- 某些 Intel(R) 處理器的 UEFI 韌體中存在存取控制精細程度不足問題,經驗證的使用者可能會透過本機存取權限造成拒絕服務。

CVE-2024-39355 (INTEL-SA-01228)

不當處理某些 Intel(R) 處理器中的實體或環境條件,可允許經驗證的使用者透過本機存取造成拒絕服務。

針對 Debian 11 bullseye,已在 3.20250211.1~deb11u1 版本中修正這些問題。

建議您升級 intel-microcode 套件。

如需有關 intel-microcode 安全性狀態的詳細資訊,請參閱其安全追蹤頁面:
https://security-tracker.debian.org/tracker/intel-microcode

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊,請參閱:https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級 intel-microcode 套件。

另請參閱

http://www.nessus.org/u?019586d4

https://security-tracker.debian.org/tracker/CVE-2023-34440

https://security-tracker.debian.org/tracker/CVE-2023-43758

https://security-tracker.debian.org/tracker/CVE-2024-24582

https://security-tracker.debian.org/tracker/CVE-2024-28047

https://security-tracker.debian.org/tracker/CVE-2024-28127

https://security-tracker.debian.org/tracker/CVE-2024-29214

https://security-tracker.debian.org/tracker/CVE-2024-31068

https://security-tracker.debian.org/tracker/CVE-2024-31157

https://security-tracker.debian.org/tracker/CVE-2024-36293

https://security-tracker.debian.org/tracker/CVE-2024-37020

https://security-tracker.debian.org/tracker/CVE-2024-39279

https://security-tracker.debian.org/tracker/CVE-2024-39355

https://packages.debian.org/source/bullseye/intel-microcode

Plugin 詳細資訊

嚴重性: High

ID: 233545

檔案名稱: debian_DLA-4095.nasl

版本: 1.1

類型: local

代理程式: unix

已發布: 2025/3/29

已更新: 2025/3/29

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.5

CVSS v2

風險因素: Medium

基本分數: 6.5

時間性分數: 4.8

媒介: CVSS2#AV:L/AC:L/Au:M/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2023-43758

CVSS v3

風險因素: High

基本分數: 8.2

時間性分數: 7.1

媒介: CVSS:3.0/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

CVSS v4

風險因素: High

Base Score: 8.7

Threat Score: 5.6

Threat Vector: CVSS:4.0/E:U

Vector: CVSS:4.0/AV:L/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

CVSS 評分資料來源: CVE-2024-29214

弱點資訊

CPE: cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:intel-microcode

必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2025/3/29

弱點發布日期: 2025/2/12

參考資訊

CVE: CVE-2023-34440, CVE-2023-43758, CVE-2024-24582, CVE-2024-28047, CVE-2024-28127, CVE-2024-29214, CVE-2024-31068, CVE-2024-31157, CVE-2024-36293, CVE-2024-37020, CVE-2024-39279, CVE-2024-39355