Thinkstation P920
Уязвимости
16
Эксплуатируемые
0
Макс. CVSS
8.8
Макс. EPSS
0.01855
Распределение по критичности
Критический
0
Высокий
5
Средний
10
Низкий
1
Также сопоставлено как (исходные строки): thinkstation_p920_firmware,xclarity_controller
Топ уязвимостей
CVE-2023-29057Разрешения локальной учетной записи действительного пользователя XCC переопределяют разрешения Active Directory при определенных конфигурациях. Это может привести к повышению привилегий. Уязвимость возникает, если LDAP настроен для аутентификации/авторизации, а вход в систему настроен как «Сначала локально, затем LDAP».
CVE-2023-25492Аутентифицированный пользователь может вызвать отказ в обслуживании веб-интерфейса XCC или другое неопределенное поведение из-за уязвимости внедрения форматной строки в API веб-интерфейса.
CVE-2023-0683Действительный, аутентифицированный пользователь XCC с правами только на чтение может получить повышенные привилегии с помощью специально созданного вызова API.
CVE-2019-0135Неправильные разрешения в установщике Intel(R) Accelerated Storage Manager в Intel(R) RSTe до версии 5.5.0.2015 могут позволить аутентифицированному пользователю потенциально включить повышение привилегий через локальный доступ. L-SA-00206
CVE-2019-0130Отраженный XSS в веб-интерфейсе для Intel(R) Accelerated Storage Manager в Intel(R) RSTe до версии 5.5.0.2015 может позволить неаутентифицированному пользователю потенциально вызвать отказ в обслуживании через сетевой доступ.
CVE-2021-3519Сообщается об уязвимости в некоторых моделях Lenovo Desktop, которая может позволить несанкционированный доступ к загрузочному меню, когда для параметра BIOS "BIOS Password At Boot Device List" установлено значение Yes.
CVE-2020-8321Потенциальная уязвимость в функции обратного вызова SMI, используемой в драйвере System Lock Preinstallation в некоторых моделях Lenovo Notebook и ThinkStation, может позволить выполнить произвольный код.
CVE-2023-29058Действительный аутентифицированный пользователь XCC с правами только для чтения может изменять пользовательские роли для других учетных записей пользователей и сообщение о несанкционированном доступе через XCC CLI. Уязвимость отсутствует, если SSH отключен или если нет пользователей, которым назначены дополнительные права только для чтения.
CVE-2022-34884Существует переполнение буфера в подсистеме Remote Presence, которое потенциально может позволить действительным аутентифицированным пользователям вызвать восстанавливаемый отказ в обслуживании подсистемы.
CVE-2023-29056Действительный пользователь LDAP при определенных условиях будет иметь разрешения только для чтения при аутентификации в XCC. Уязвимость возникает, если XCC настроен на использование LDAP-сервера для аутентификации/авторизации и атрибут разрешения на вход в систему не определен.
CVE-2019-6190Lenovo была уведомлена о потенциальной уязвимости типа "отказ в обслуживании", затрагивающей различные версии BIOS для Lenovo Desktop, Desktop - All in One и ThinkStation, которая могла привести к периодической очистке PCR после выхода из спящего режима (S3) в системах с включенной Intel TXT.
CVE-2021-3956В третьем квартале 2021 года выпуска прошивки Lenovo XClarity Controller (XCC) была обнаружена уязвимость обхода аутентификации только для чтения, затрагивающая устройства XCC, настроенные в режиме аутентификации только LDAP и использующие LDAP-сервер, поддерживающий «неаутентифицированный bind», например, Microsoft Active Directory. Неаутентифицированный пользователь может получить доступ только для чтения к XCC в такой конфигурации, что позволит просматривать, но не изменять конфигурацию устройства XCC. Устройства XCC, настроенные на использование локальной аутентификации, режима аутентификации + авторизации LDAP или LDAP-серверов, поддерживающих только «аутентифицированный bind» и/или «анонимный bind», не затрагиваются.
CVE-2023-25495Действительный аутентифицированный пользователь с правами администратора может запросить API веб-интерфейса, чтобы узнать настроенный пароль клиента LDAP, используемый XCC для аутентификации на внешнем сервере LDAP в определенных конфигурациях. Уязвимость отсутствует, если пароль клиента LDAP не настроен.
CVE-2022-40136Уязвимость утечки информации в SMI Handler, используемом для настройки параметров платформы через WMI в некоторых моделях Lenovo, может позволить злоумышленнику с локальным доступом и повышенными привилегиями читать память SMM.
CVE-2022-34888Функция Remote Mount потенциально может быть использована действительными аутентифицированными пользователями для подключения к внутренним службам, которые обычно могут быть недоступны для пользователей. Элементы управления доступом к внутренним службам, в зависимости от обстоятельств, остаются в силе.
CVE-2019-6156В системах Lenovo защита от записи SMM BIOS используется для предотвращения записи во флэш-память SPI. Хотя это обеспечивает достаточную защиту, дополнительный уровень защиты обеспечивается регистрами защищенного диапазона SPI (PRx). Lenovo была уведомлена о том, что после возобновления работы из спящего режима S3 в различных версиях BIOS для систем Lenovo PRx не устанавливается. Это не влияет на защиту от записи SMM BIOS, которая обеспечивает защиту систем.