CVE-2023-20518

Description

Incomplete cleanup in the ASP may expose the Master Encryption Key (MEK) to a privileged attacker with access to the BIOS menu or UEFI shell and a memory exfiltration vulnerability, potentially resulting in loss of confidentiality.

Gravité et risque d'exploitation

CVE-2023-20518 obtient un score CVSS de 1.9/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.10 %, ce qui la place devant 0.7 % des CVE référencées.

Que faire ?

• Vérifiez si AMD EPYC™ 9004 Series Processors (versions EmbeddedR2KPI-FP5 1.0.0.2, CastlePeakWSPI-sWRX8 1.0.0.B, EmbAM4PI 1.0.0.3, PollockPI-FT5 1.0.0.5, EmbeddedAM5PI 1.0.0.0, RenoirPI-FP6 1.0.0.C, ComboAM5 1.0.0.6, CezannePI-FP6 1.0.0.E, CastlePeakPI-SP3r3 1.0.0.9, ComboAM4V2 1.2.0.A, ChagallWSPI-sWRX8 1.0.0.6, CezannePI-FP6 1.0.0.E, ChagallWSPI-sWRX8 1.0.0.6, GenoaPI 1.0.0.4, MendocinoPI-FT6 1.0.0.4, EmbeddedPI-FP5 1.2.0.A, RembrandtPI-FP7 1.0.0.8, PicassoPI-FP5 1.0.0.F, various, EmbeddedPI-FP6 1.0.0.8, ComboAM4V1 1.0.0.A, EmbeddedPI-FP7r2 1.0.0.5) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3003.html
• https://www.amd.com/en/resources/product-security/bulletin/amd-sb-5002.html