PT-2024-37048

CVE-2024-56738

Publicado

2024-12-27

Atualizado

2026-09-03

Descrição por

CVSS 3.1

5.3

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

GNU GRUB (também conhecido como GRUB2), versões 2.12 e anteriores

Descrição

O problema está relacionado ao uso de um algoritmo de tempo não constante para grub crypto memcmp, o que permite ataques de canal lateral. Isso significa que um invasor poderia potencialmente explorar a diferença no tempo que leva para a comparação ocorrer, obtendo acesso não autorizado a informações confidenciais.

Recomendações

Para as versões 2.12 e anteriores do GNU GRUB (também conhecido como GRUB2), considere atualizar para uma versão que utilize um algoritmo de tempo constante para grub crypto memcmp, a fim de prevenir ataques de canal lateral. Como solução temporária, restrinja o acesso a informações confidenciais que possam ser exploradas por meio de ataques de canal lateral até que um patch esteja disponível.

Explorabilidade

Correção

Impactos

Pesquisadores

Jbo

Jonathan Bar Or

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-208: Observable Timing Discrepancy

CWE-203: Observable Discrepancy

Identificadores relacionados