CVE-2021-26363: A malicious or compromised UApp or ABL could potentially change the value that the ASP uses for its reserved DRAM, to one outside of the…
Оценка Noroxi
Приоритет: Наблюдать (оценка срочности 17/100)
- В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
- Вероятность эксплуатации в ближайшие 30 дней: 0,21% (FIRST EPSS).
- Может быть вызвана пользователем с локальным доступом к системе. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- Согласно записи, исправленной версии пока нет.
Пока низкий приоритет. Обновитесь, когда выйдет исправление; следите за бюллетенем производителя.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
A malicious or compromised UApp or ABL could potentially change the value that the ASP uses for its reserved DRAM, to one outside of the fenced area, potentially leading to data exposure.
- Опубликовано
- 12 мая 2022 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 0,2 % · 12-й процентиль
- CWE
- —
Инструменты для отчёта
Оценка срочности
17
Пока низкий приоритет.
- CVSS
- 17 / 40 · 4.4 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 0 / 30 · 0,2 %
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Публичного эксплойта нет
- Исправленной версии пока нет
Если что-то из этого изменится, сообщим в ежедневной сводке.
Затронута ли ваша версия? ПроверьтеАнализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| amd | radeon software | cpe:2.3:a:amd:radeon_software |
| amd | ryzen 3 3100 firmware | cpe:2.3:o:amd:ryzen_3_3100_firmware |
| amd | ryzen 3 3100 | cpe:2.3:h:amd:ryzen_3_3100 |
| amd | ryzen 3 3300g firmware | cpe:2.3:o:amd:ryzen_3_3300g_firmware |
| amd | ryzen 3 3300g | cpe:2.3:h:amd:ryzen_3_3300g |
| amd | ryzen 3 3300x firmware | cpe:2.3:o:amd:ryzen_3_3300x_firmware |
| amd | ryzen 3 3300x | cpe:2.3:h:amd:ryzen_3_3300x |
| amd | ryzen 3 5400u firmware | cpe:2.3:o:amd:ryzen_3_5400u_firmware |
| amd | ryzen 3 5400u | cpe:2.3:h:amd:ryzen_3_5400u |
| amd | ryzen 9 5900hs firmware | cpe:2.3:o:amd:ryzen_9_5900hs_firmware |
| amd | ryzen 9 5900hs | cpe:2.3:h:amd:ryzen_9_5900hs |
| amd | ryzen 9 5900hx firmware | cpe:2.3:o:amd:ryzen_9_5900hx_firmware |
и ещё 55
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (AMD). Не зависят от анализа CPE в NVD и обычно опережают его.
AMD Athlon™ Series
- variousзатронута
AMD Ryzen™ Series
- variousзатронута
Затронутые версии · NVD (20)
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- amd radeon softwareвсе версии
- amd ryzen 3 3100 firmwareвсе версии
- amd ryzen 3 3300g firmwareвсе версии
- amd ryzen 3 3300x firmwareвсе версии
- amd ryzen 3 5125c firmwareвсе версии
- amd ryzen 3 5400u firmwareвсе версии
- amd ryzen 3 5425c firmwareвсе версии
- amd ryzen 3 5425u firmwareвсе версии
- amd ryzen 5 3400g firmwareвсе версии
- amd ryzen 5 3450g firmwareвсе версии
- amd ryzen 5 3600 firmwareвсе версии
- amd ryzen 5 3600x firmwareвсе версии
- amd ryzen 5 5560u firmwareвсе версии
- amd ryzen 5 5600h firmwareвсе версии
- amd ryzen 5 5600hs firmwareвсе версии
- amd ryzen 5 5600u firmwareвсе версии
- amd ryzen 5 5600x firmwareвсе версии
- amd ryzen 5 5625c firmwareвсе версии
- amd ryzen 5 5625u firmwareвсе версии
- amd ryzen 5 5700g firmwareвсе версии
Тот же продукт
amd: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2023-20586Radeon™ Software Crimson ReLive Edition39Наблюдать
- CVE-2024-21937Incorrect default permissions in the AMD HIP SDK installation directory could allow an attacker to achieve privilege escalation potentially…31Наблюдать
- CVE-2023-20598
An improper privilege management in the AMD Radeon™ Graphics driver may allow an authenticated attacker to craft an IOCTL request to…31Наблюдать
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2021-2636912 мая 2022 г. · A malicious or compromised UApp or ABL may be used by an attacker to send a malformed system call to the bootloader, resulting in…31Наблюдать
- ← РаньшеCVE-2021-2631712 мая 2022 г. · Failure to verify the protocol in SMM may allow an attacker to control the protocol and modify SPI flash resulting in a potential arbitrary…31Наблюдать
- Позже →CVE-2021-4674814 нояб. 2023 г. · Insufficient bounds checking in the ASP (AMD Secure Processor) may allow an attacker to access memory outside the bounds of what is…22Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.
Технические детали
Условия атаки
- Может быть вызвана пользователем с локальным доступом к системе.
- Достаточно учётной записи с низкими привилегиями.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- низкое · данные могут быть прочитаны
- Целостность
- низкое · данные или конфигурация могут быть изменены
- Доступность
- нет
- Вектор атаки
- Локальный
- Сложность атаки
- Низкая
- Требуемые привилегии
- Низкие
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Низкое
- Влияние на целостность
- Низкое
- Влияние на доступность
- Нет
Класс уязвимости (CWE)
—
Вектор CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.
Журнал изменений (0)
Изменений отслеживаемых полей пока нет. Здесь появятся изменения оценки, KEV, зрелости эксплойта и статуса исправления.
Источники
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.