NVD / CVE Program· CNA intel

CVE-2021-0092: Improper access control in the firmware for some Intel(R) Processors may allow a privileged user to potentially enable a denial of service…

СредняяCVSS 4.4 · v3.1—Эксплойта нет Исправление не зафиксировано

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 17/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,24% (FIRST EPSS).
Может быть вызвана пользователем с локальным доступом к системе. Требуются права администратора. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Согласно записи, исправленной версии пока нет.

Пока низкий приоритет. Обновитесь, когда выйдет исправление; следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Improper access control in the firmware for some Intel(R) Processors may allow a privileged user to potentially enable a denial of service via local access.

Опубликовано: 9 февр. 2022 г.
Обновлено: 16 июн. 2026 г.
EPSS: 0,2 % · 16-й процентиль
CWE: CWE-400

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 17 / 40 · 4.4 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,2 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
intel	atom c3308	cpe:2.3:h:intel:atom_c3308
intel	atom c3336	cpe:2.3:h:intel:atom_c3336
intel	atom c3338	cpe:2.3:h:intel:atom_c3338
intel	atom c3338r	cpe:2.3:h:intel:atom_c3338r
intel	atom c3436l	cpe:2.3:h:intel:atom_c3436l
intel	atom c3508	cpe:2.3:h:intel:atom_c3508
intel	atom c3538	cpe:2.3:h:intel:atom_c3538
intel	atom c3558	cpe:2.3:h:intel:atom_c3558
intel	atom c3558r	cpe:2.3:h:intel:atom_c3558r
intel	atom c3708	cpe:2.3:h:intel:atom_c3708
intel	atom c3750	cpe:2.3:h:intel:atom_c3750
intel	atom c3758	cpe:2.3:h:intel:atom_c3758

и ещё 188

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (intel). Не зависят от анализа CPE в NVD и обычно опережают его.

n/a Intel(R) Processors
- See referencesзатронута

Затронутые версии · NVD (20)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

intel atom c3308все версии
intel atom c3336все версии
intel atom c3338все версии
intel atom c3338rвсе версии
intel atom c3436lвсе версии
intel atom c3508все версии
intel atom c3538все версии
intel atom c3558все версии
intel atom c3558rвсе версии
intel atom c3708все версии
intel atom c3750все версии
intel atom c3758все версии
intel atom c3758rвсе версии
intel atom c3808все версии
intel atom c3830все версии
intel atom c3850все версии
intel atom c3858все версии
intel atom c3950все версии
intel atom c3955все версии
intel atom c3958все версии

Тот же продукт

intel: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2021-0099Insufficient control flow management in the firmware for some Intel(R) Processors may allow an authenticated user to potentially enable an…
31Наблюдать
CVE-2021-0091Improper access control in the firmware for some Intel(R) Processors may allow an unauthenticated user to potentially enable an escalation…
31Наблюдать
CVE-2022-0002Non-transparent sharing of branch predictor within a context in some Intel(R) Processors may allow an authorized user to potentially enable…
26Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2020-245139 июн. 2021 г. · Domain-bypass transient execution vulnerability in some Intel Atom(R) Processors may allow an authenticated user to potentially enable…
26Наблюдать
Позже →CVE-2021-00939 февр. 2022 г. · Incorrect default permissions in the firmware for some Intel(R) Processors may allow a privileged user to potentially enable a denial of…
17Наблюдать
Позже →CVE-2021-01039 февр. 2022 г. · Insufficient control flow management in the firmware for some Intel(R) Processors may allow a privileged user to potentially enable an…
26Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Охват bug bounty

Intel® Vulnerability Disclosure Program Intigriti · только раскрытие (VDP)

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки.

Технические детали

Условия атаки

Может быть вызвана пользователем с локальным доступом к системе.
Требуются права администратора.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: нет
Целостность: нет
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Локальный
Сложность атаки: Низкая
Требуемые привилегии: Высокие
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Нет
Влияние на целостность: Нет
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-400 · Uncontrolled Resource Consumption

Вектор CVSS

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H

nvd-primary

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Ошибка в коде

Весь класс CWE-400

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1function expand(node) {
2  return node.children.map(expand);
3}

Исправленный код

1const MAX_DEPTH = 32;
2function expand(node, depth = 0) {
3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");
4  return node.children.map((c) => expand(c, depth + 1));
5}