freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

戴尔曝出五大漏洞,影响数百万 Inspiron、Vostro、XPS、Alienware 系统
2022-03-23 18:55:27

据thehackernews消息,戴尔BIOS存在五个新的安全漏洞,如果这些漏洞被黑客利用,可能会导致在易受攻击的系统上执行代码。这与最近在Insyde Software 的InsydeH2O和 HP 统一可扩展固件接口 ( UEFI ) 中发现的固件漏洞类似。

五个高危漏洞的编号分别是 CVE-2022-24415、CVE-2022-24416、CVE-2022-24419、CVE-2022-24420 和 CVE-2022-24421,在 CVSS 评分系统中被评为 8.2 分(满分 10 分)。

发现后三个漏洞的固件安全公司 Binarly表示,“由于可信平台模块 (TPM) 测量的限制,固件完整性监控系统无法检测到对所有已发现漏洞的主动利用。而固件运行时可见性的设计限制,让远程设备健康证明解决方案不会检测到受影响的系统。”

所有缺陷都与影响固件系统管理模式 ( SMM ) 的不正确输入验证漏洞有关,有效地允许本地经过身份验证的攻击者利用系统管理中断 (SMI) 来实现任意代码执行。

系统管理模式是指x86 微控制器中的一种专用 CPU 模式,旨在处理系统范围的功能,如电源管理、系统硬件控制、热监控和其他专有制造商开发的代码。

每当请求其中一项操作时,都会在运行时调用不可屏蔽中断 (SMI),它会执行 BIOS 安装的 SMM 代码。鉴于 SMM 代码在最高权限级别执行并且对底层操作系统不可见,因此该方法让攻击者可以部署持久性固件植入。

包括 Alienware、Inspiron、Vostro 系列和 Edge Gateway 3000 系列在内的许多戴尔产品都受到了影响,因此戴尔也强烈建议用户尽快升级其BIOS。

Binarly 研究人员表示,“这些故障是代码库的复杂性或对安全性关注较少遗留组件产生的直接后果,仍广泛部署在该领域。在许多情况下,可以通过多次迭代修复相同的漏洞,但是攻击面的复杂性仍为恶意利用留下了空白。”

参考来源:https://thehackernews.com/2022/03/new-dell-bios-bugs-affect-millions-of.html

本文作者:, 转载请注明来自FreeBuf.COM

# 安全漏洞 # 任意代码执行 # 网络攻击
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦