solution Contentsolution Content

Insyde UEFI 固件 2022 年 2 月安全更新

在某些使用 Insyde UEFI 固件 (InsydeH20) 的 HP 电脑产品中发现了可能会导致权限升级和/或任意代码执行的潜在漏洞。HP 正在与 Insyde 合作,对受到影响的 HP 电脑产品的固件进行更新,以减轻潜在漏洞造成的影响。

严重程度

严重

HP 参考

HPSBHF03778 修订版 2

发布日期

2022 年 3 月 4 日

上次更新日期

2022 年 6 月 24 日

类别

电脑

潜在安全影响

权限升级、任意代码执行

相关的常见漏洞和披露 (CVE) 列表

报告人:Insyde、Binarly

CVE ID 列表

CVE ID

基准分值

基准矢量

供应商 ID

CVE-2022-24030

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

INSYDE-SA-2022011

BRLY-2021-026

CVE-2021-42554

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

INSYDE-SA-2022012

BRLY-2021-027

CVE-2021-41837

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022024

BRLY-2021-009

CVE-2021-41838

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022023

BRLY-2021-010

CVE-2021-33627

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022022

BRLY-2021-011

CVE-2021-45971

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022001

BRLY-2021-012

CVE-2021-45970

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022002

BRLY-2021-015

CVE-2021-45969

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022003

BRLY-2021-016

CVE-2021-41839

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022020

BRLY-2021-017

CVE-2021-41841

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022019

BRLY-2021-018

CVE-2021-41840

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022018

BRLY-2021-019

CVE-2021-42060

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022007

BRLY-2021-022

CVE-2021-42113

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022008

BRLY-2021-023

CVE-2022-24069

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022010

BRLY-2021-025

CVE-2021-43615

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022013

BRLY-2021-028

CVE-2022-24031

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022015

BRLY-2021-030

CVE-2021-43323

8.2

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022016

BRLY-2021-031

CVE-2021-33626

7.8

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

INSYDE-SA-2022021

BRLY-2021-013

CVE-2020-5953

7.5

CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022017

BRLY-2021-008

CVE-2021-43522

7.5

CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022009

BRLY-2021-024

CVE-2021-33625

7.5

CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

INSYDE-SA-2022014

BRLY-2021-029

CVE-2020-27339

6.7

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

INSYDE-SA-2021001

BRLY-2021-020

CVE-2021-42059

6.7

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

INSYDE-SA-2022006

BRLY-2021-021

详细了解 CVSS 3.1 基本指标(范围从 0 到 10)。

PSR-2022-0017

参考资料

解决方法

Insyde 已经发布了 InsydeH20 内核更新,以缓解所报告的漏洞。HP 已确定受影响的平台,目前正在发布可缓解潜在漏洞问题最低版本的相应 SoftPaq。请参阅下列受影响的平台。

可能会提供更新的版本,下面列出的最低版本可能已过时。如果 SoftPaq 链接无效,请查看 HP 客户支持 - 软件和驱动程序下载网站,获取适用于您产品型号的最新更新。

HP 建议您将系统固件和软件升级到最新版本。

注:

此公告可能会在提供新信息和/或 SoftPaq 时更新。注册 HP 订阅服务以获取通知并接收以下内容:

  • 产品支持电子警告

  • 驱动程序更新

  • 安全公告更新

SoftPaq 和受影响的产品

找到可解决您系统漏洞的 SoftPaq。

SoftPaq 状态

  • 待处理:SoftPaq 正在开发中。

  • 正在调查:正在调查系统所受的影响,或者正在调查 SoftPaq 的可行性/可用性。

  • 不可用:技术或物流限制造成 SoftPaq 不可用。

  • 查看支持页面:所列出的 SoftPaq 已从下载网站中删除。HP 客户支持 - 软件和驱动程序下载网站可能提供有更新版本的 SoftPaq。

修订历史记录

本文档根据以下信息进行了修订。

版本列表

版本

说明

日期

2

更新了受影响的产品列表和 SoftPaq 信息。

2022 年 6 月 24 日

1

初始版本

2022 年 3 月 4 日

其他信息

单击以下链接,了解其他信息。

第三方安全补丁

在运行 HP 软件产品的系统上所安装的第三方安全补丁应符合客户的补丁管理策略。

支持

如果对实施此安全公告的建议操作有任何问题,请访问 http://www.hp.com/go/contacthp,了解您的 HP 支持选项。

报告

要报告有关 HP 支持的任何产品的潜在安全漏洞,请将电子邮件发送到:hp-security-alert@hp.com。

安全公告档案

要查看已发布的安全公告,请访问 https://support.hp.com/security-bulletins

强烈建议将与安全相关的信息传送到 HP,并采用 PGP 进行加密,尤其是开发信息。

下载 HP 安全警告 PGP 密钥

法律信息

必须经常检查系统管理和安全程序,保持系统完整性。HP 不断检查并增强软件产品的安全功能,为客户提供最新的安全解决方案。

HP 广泛发布此安全公告,以此告知用户此安全公告中包含的受影响 HP 产品的重要安全信息。HP 建议所有用户确定这些信息对个人情况的适用性,并采取相应的措施。HP 无法保证这些信息对所有用户情况都一定准确或完整,因此,由于用户使用不当或忽略此安全公告中提供的信息而造成的任何损坏,HP 概不负责。在法律所允许的范围内,无论是明示保证还是默示保证,包括针对特定用途、权利和非侵害性的商品性能和适用性保证,HP 都不承担责任。

© 版权所有 2022 HP Development Company, L.P.

HP Inc. (HP) 对此处存在的技术或编辑错误或疏漏概不负责。信息“按原样”提供,不含任何形式的担保。在法律许可的范围内,HP 及其附属公司、分包商或供应商对偶然、特殊或附带损失不承担任何责任。这些损失包括:停机成本;利润损失;与购买替代产品或服务相关的损失;或者数据丢失或软件恢复造成的损失。本文档中的信息如有更改,恕不另行通知。“HP Inc.”、“HP”以及本文中提到的 HP 产品的名称是 HP Inc. 或其附属公司在美国和其他国家/地区的商标。本文中提到的其他产品和公司名称可能是其各自所有者的商标。