[互联网] 关于EDK II固件漏洞修复及版本回退的安全通告 [推广有奖]

学前班

80%

还不是VIP/贵宾

楼主

vkzly 发表于 2025-12-3 16:39:14 |AI写论文

是否 +2 论坛币

k人参与回答

应届毕业生专属福利!

求职就业群

赵安豆老师微信：zhaoandou666

送您一个全额奖学金名额~ !

经管之家送您两个论坛币！

+2 论坛币

发布日期与概述

2025年11月28日，官方发布了USN-7894-1安全通告。该更新原计划修复EDK II中的多个安全漏洞，但在实施过程中引入了新的回归问题，因此部分补丁已被临时回退。

edk2

本次更新主要影响虚拟机所使用的UEFI固件组件。

尽管此次更新旨在解决EDK II中的一系列高危漏洞，但因在UEFI网络引导功能中触发了回归问题，目前针对CVE-2023-45236和CVE-2023-45237的修复已被暂时撤销，待进一步分析确认后重新发布。

以下是原本计划修复的安全漏洞汇总：

CVE-2023-45236, CVE-2023-45237：EDK II存在TCP初始序列号可预测的问题，可能被攻击者利用以实现未授权访问。仅影响Ubuntu 22.04 LTS与24.04 LTS。
CVE-2024-1298：EDK II对S3睡眠状态处理不当，可能导致系统拒绝服务。
CVE-2024-38796：PE/COFF加载程序在处理特定内存操作时存在缺陷，可能引发拒绝服务、敏感信息泄露或任意代码执行。
CVE-2024-38797：PE镜像哈希函数未能正确处理某些内存操作，可能导致拒绝服务或任意代码执行。
CVE-2024-38805, CVE-2025-2295：BIOS模块在处理内存操作时出错，可能造成系统拒绝服务。
CVE-2025-3770：MCE（机器检查异常）启用机制存在错误处理，攻击者可借此触发拒绝服务或执行任意代码。
OpenSSL库相关漏洞：EDK II内嵌的OpenSSL版本包含多个已知漏洞（CVE-2021-3712, CVE-2022-0778, CVE-2022-4304, CVE-2022-4450, CVE-2023-0215, CVE-2023-0286, CVE-2023-0464, CVE-2023-0465, CVE-2023-0466, CVE-2023-2650, CVE-2023-3446, CVE-2023-3817, CVE-2023-5678, CVE-2023-6237, CVE-2024-0727, CVE-2024-13176, CVE-2024-2511, CVE-2024-41996, CVE-2024-4741, CVE-2024-5535, CVE-2024-6119, CVE-2024-9143, CVE-2025-9232），可能被用于拒绝服务、信息窃取或远程代码执行。

完成标准系统的软件更新后，必须重启所有使用受影响UEFI固件的虚拟机，以确保变更完全生效。

各Ubuntu发行版对应的已修复软件包版本如下：