Dell潜藏12年的驱动漏洞影响数百万计算机
近日,美国计算机巨头Dell 被爆出一个潜藏12年的驱动漏洞,CVE编号CVE-2021-21551,漏洞可能引发系统权限提升,预计超过数亿Dell 台式机和笔记本电脑受到该漏洞的的影响。
CVE-2021-21551:5合一漏洞
CVE-2021-21551漏洞实际上是5个漏洞的集合,是Dell计算机在BIOS 更新过程中安装和加载的驱动DBUtil 中的安全漏洞。这5个漏洞分别是:
这5个漏洞除了会引发权限提升外,还有一个代码逻辑问题可能会引发DoS 攻击。
SentinelOne研究人员Kasif Dekel称该利用该漏洞可以将权限从非管理员用户提升到kernel模式权限。然后可以对系统上的硬件资源进行无限制的访问,包括引用任意的内存地址。
攻击者利用这类漏洞需要提前入侵计算机系统,所以说利用的难度是比较大的。但是攻击者和恶意软件可以在受感染的系统上实现驻留。
研究人员提供了该漏洞的相关技术细节,包括如何触发漏洞以及如何利用漏洞。
完整技术细节参见:https://labs.sentinelone.com/cve-2021-21551-hundreds-of-millions-of-dell-computers-at-risk-due-to-multiple-bios-driver-privilege-escalation-flaws/
利用该漏洞进行本地权限提升的PoC视频参见:https://assets.sentinelone.com/labs/Dell
研究人员计划在6月1日分析PoC 漏洞利用代码,以督促Dell 尽快修复该漏洞。
Dekel称Dell已经准备好了漏洞的修复方案,提供一个修复的驱动,但是截止目前Dell 尚未吊销有漏洞的驱动的证书,也就是说攻击者仍然可以发起利用该漏洞的攻击。
虽然受影响的设备较多,但是目前尚未发现有该漏洞的在野利用。
本文翻译自:https://www.bleepingcomputer.com/news/security/vulnerable-dell-driver-puts-hundreds-of-millions-of-systems-at-risk/如若转载,请注明原文地址。
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
小心合作伙伴 51%组织数据由第三方泄露
据外媒,来自SecureLink和Ponemon研究所共同发表的一份新报告显示,51%的组织经历过由第三方造成的数据泄露。调查结果显示,大部分企业没有采取必要的措施来减少第三方远程访问风险,并使其网络面临安全和不合规的风险。因此,44%的企业在过去12个月内经历了漏洞,其中74%的企业表示是由于给予第三方过多的特权访问而造成的。 据悉,许多企业将关键业务流程外包给第三方,超过一半的受访者表示,他们的企业在允许第三方访问敏感和机密信息之前,没有评估所有第三方的安全和隐私做法。该报告强调,尽管许多组织将第三方远程访问视为一种安全威胁,但大多数公司并未将此威胁作为首要的解决事项。 报告指出,此数据是为高级决策者提供有关第三方远程访问的信息,以便他们能够在不可避免的威胁面前保持领先。这也是为了帮助他们理解,这个问题不仅仅是保护单个组织的数据,而是保护属于客户、合作伙伴和整个社区的数据。
- 下一篇
调研机构估计30%的智能手机可能受到高通芯片新漏洞的影响
根据调研机构的估计,全球约有三分之一的智能手机将会受到高通公司的调制解调器组件中一个新漏洞的影响。该漏洞可以使网络攻击者访问人们的手机通话和短信历史记录,甚至可以了解通话内容。 该漏洞(名称为CVE-2020-11292)位于高通移动站调制解调器(MSM)芯片中,该芯片允许手机设备连接到移动网络。 该芯片最初于上世纪90年代初设计,多年来不断进行更新以支持2G、3G、4G以及5G通信,并已逐渐成为世界上最普及的通信技术之一,尤其是在智能手机厂商中。 目前使用MSM芯片的设备包括谷歌、三星、LG、小米和One Plus销售的多种高端智能手机型号。 漏洞对高通MSM接口协议的影响 以色列安全服务商Check Point公司在日前发布的一份调查报告中声称,该公司研究人员在高通MSM接口(QMI)中发现了一个漏洞,该协议允许芯片与智能手机的操作系统进行通信。 调查表明,MSM组件通过QMI接口接收到格式错误的类型长度值(TLV)数据包,这可能会触发内存损坏(缓冲区溢出),使网络攻击者可以运行他们自己的代码。 Check Point研究人员解释说:“在调查过程中,我们发现调制解调器数据服务中存在...
相关文章
文章评论
共有0条评论来说两句吧...