CVE-2020-11933
Vulnérabilité élevée dans snapd (Canonical)
CVSS 7.3 · Élevée
EPSS 0.2%
Canonical•snapd•Versions : 2.45.2, <2.45.2, revision 8539, <2.45.2, revision 9659
Description
cloud-init as managed by snapd on Ubuntu Core 16 and Ubuntu Core 18 devices was run without restrictions on every boot, which a physical attacker could exploit by crafting cloud-init user-data/meta-data via external media to perform arbitrary changes on the device to bypass intended security mechanisms such as full disk encryption. This issue did not affect traditional Ubuntu systems. Fixed in snapd version 2.45.2, revision 8539 and core version 2.45.2, revision 9659.
Gravité et risque d'exploitation
CVE-2020-11933 obtient un score CVSS de 7.3/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.22 %, ce qui la place devant 11.3 % des CVE référencées.
Que faire ?
- Vérifiez si snapd (versions 2.45.2, <2.45.2, revision 8539, <2.45.2, revision 9659) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.