PT-2022-22809 · Insyde · Insydeh2O

CVE-2022-35408

·

Publicado

2022-09-22

·

Atualizado

2022-09-23

CVSS v3.1

8.2

Alta

VetorAV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Insyde InsydeH2O, versões 5.0 a 5.5
Descrição
Foi descoberta uma falha no Insyde InsydeH2O, na qual uma vulnerabilidade de chamada SMM no driver SMM em UsbLegacyControlSmm leva à possível execução de código arbitrário no SMM e à escalada de privilégios. Um invasor poderia sobrescrever os ponteiros de função na tabela EFI BOOT SERVICES antes que o manipulador USB SMI seja acionado. Esta falha não é explorável a partir de código em execução no sistema operacional.
Recomendações
Para as versões 5.0 a 5.5 do Insyde InsydeH2O, considere desativar o driver SMM UsbLegacyControlSmm como uma solução temporária para minimizar o risco de exploração.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-123

Identificadores relacionados

CVE-2022-35408

Produtos afetados

Insydeh2O