Intel 修复NUC固件多个缝隙安全公告

颁布功夫 2019-08-15

? 缝隙编号和级别


CVE编号：：：CVE-2019-11140，，，危险级别：：：高危，，，CVSS分值：：：厂商自评：：：7.5，，，官方未评定
CVE编号：：：CVE-2019-11163，，，危险级别：：：高危，，，CVSS分值：：：厂商自评：：：8.2，，，官方未评定
CVE编号：：：CVE-2019-11162，，，危险级别：：：高危，，，CVSS分值：：：厂商自评：：：8.2，，，官方未评定
CVE编号：：：CVE-2019-0173，，，危险级别：：：中危，，，CVSS分值：：：厂商自评：：：6.8，，，官方未评定
CVE编号：：：CVE-2019-11143，，，危险级别：：：中危，，，CVSS分值：：：厂商自评：：：6.3，，，官方未评定
CVE编号：：：CVE-2019-11145，，，危险级别：：：中危，，，CVSS分值：：：厂商自评：：：6.7，，，官方未评定
CVE编号：：：CVE-2019-11148，，，危险级别：：：中危，，，CVSS分值：：：厂商自评：：：6.7，，，官方未评定


? 影响版本


受影响的版本


CVE-2019-11140


Affected Product

Updated Firmware

Intel? NUC Kit NUC7i7DNx

BIOS version 0066 or later

Intel? NUC Kit NUC7i5DNx

BIOS version 0066 or later

Intel? NUC Kit NUC7i3DNx

BIOS version 0066 or later

Intel? Compute Stick STK2MV64CC

BIOS version 0060 or later

Intel? Compute Card CD1IV128MK

BIOS version 0037 or later


CVE-2019-11163

Intel? Processor Identification Utility for Windows* before version 6.1.0731.


CVE-2019-11162

Intel? Computing Improvement Program before version 2.4.0.04733.


CVE-2019-0173

Intel(R) RAID Web Console 2 all versions.


CVE-2019-11143

Intel? Authenticate before version 3.8.


CVE-2019-11145

Intel? Driver & Support Assistant before 19.7.30.2.


CVE-2019-11148

Intel? Remote Displays SDK before version 2.0.1 R2.


? 缝隙概述


Intel NUC kits是美国英特尔（Intel）公司的一款迷你型台式机。Intel RAID Web Console for Windows是美国英特尔（Intel）公司的一款基于Windows平台的RAID（独立冗余磁盘阵列）治理节制台法式。


英特尔修复了如下高危缝隙：：：


CVE-2019-11140

Intel（R）NUC的系统固件中的会话验证不及可能允许特权用户通过本地接见实现特权升级，，，回绝服务和/或信息泄露。


CVE-2019-11163

版本6.1.0731之前的合用于Windows的Intel（R）处置器鉴别实用法式的硬件抽象驱动法式中的接见节制不及可能允许经过身份验证的用户通过本地接见来升级权限，，，回绝服务或信息泄露。


CVE-2019-11162

在版本2.4.0.04733之前的Intel（R）推算改进打算的SEMA驱动法式中，，，硬件抽象中的接见节制不及可能允许经过身份验证的用户通过本地接见实现权限升级，，，回绝服务或信息泄露。


CVE-2019-0173

Intel（R）Raid Web Console 2的Web节制台中的身份验证绕过所有版本可能允许未经身份验证的攻击者通过网络接见潜在地启用信息泄露。


CVE-2019-11143

Intel（R）身份验证的软件装置法式中的不正确权限可能允许经过身份验证的用户通过本地接见来启用权限升级。


CVE-2019-11145

19.7.30.2之前Intel（R）驱动法式和支持助手的不正确目录权限可能允许经过身份验证的用户通过本地接见启用权限升级。


CVE-2019-11148

在版本2.0.1 R2之前，，，Intel（R）远程显示SDK的装置法式中的不正确权限可能允许经过身份验证的用户通过本地接见来启用权限升级。


? 缝隙验证


暂无POC/EXP。


? 修复建议


目前厂商已颁布升级补丁以修复缝隙，，，补丁获取链接：：：


https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00272.html
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00281.html
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00283.html
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00246.html
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00275.html
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00276.html
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00277.html


? 参考链接


https://www.bleepingcomputer.com/news/security/intel-updates-nuc-firmware-to-patch-high-severity-bug/