Vulnerabilidad en Insyde InsydeH2O (CVE-2022-35407)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-787 Escritura fuera de límites

Fecha de publicación:

22/11/2022

Última modificación:

29/04/2025

Descripción

Se descubrió un problema en Insyde InsydeH2O con los kernels 5.0 a 5.5. Un desbordamiento del búfer conduce a la ejecución de código arbitrario en el controlador SetupUtility en plataformas Intel. Un atacante puede cambiar los valores de ciertas variables UEFI. Si el tamaño de la segunda variable excede el tamaño de la primera, se sobrescribirá el búfer. Este problema afecta al controlador SetupUtility de InsydeH2O.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.80 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto