Dell SupportAssist 6月多个清静误差

宣布时间 2021-06-25

0x00 误差概述

CVE     ID


时      间

2021-06-25

类      型


等      级

高危

远程使用


影响规模


攻击重漂后


可用性


用户交互


所需权限

无

PoC/EXP

未果真

在野使用

否

 

0x01 误差详情

image.png

2021年06月24日，，Dell宣布清静更新，，修复了Dell SupportAssist 的 BIOSConnect 功效和HTTPS指导功效中的4个清静误差。 。。。。这些误差划分为不清静的TLS毗连问题（CVE-2021-21571）和3个溢出误差（CVE-2021-21572、CVE-2021-21573和CVE-2021-21574），，允许攻击者在目的装备的BIOS中执行恣意代码，，CVSS评分为8.3。 。。。。

这些误差影响了129款Dell型号的商务条记本电脑、台式机清静板电脑，，包括使用Dell清静启动和清静内核PC�；； ；；；；さ淖氨福萏逑郑寄�3000万台装备受到影响。 。。。。

 

误差细节

SupportAssist 软件预装在大大都运行 Windows 系统的Dell装备上，，而 BIOSConnect 提供远程固件更新和操作系统恢复功效。 。。。。远程攻击者能够通过一些误差使用主机的UEFI固件并获得装备上代码的控制，，详情如下：

UEFI BIOS https客栈证书验证误差（CVE-2021-21571）

该误差的CVSSv3评分为5.9。 。。。。由于Dell BIOSConnect功效和Dell HTTPS指导功效使用的Dell UEFI BIOS https客栈包括一个证书验证误差，，未经身份验证的远程攻击者可通过中心人攻击来使用该误差，，导致拒绝效劳和Payload改动。 。。。。

 

BIOSConnect缓冲区溢出误差（CVE-2021-21572、CVE-2021-21573和CVE-2021-21574）

这些误差的CVSSv3评分均为7.2。 。。。。由于BIOSConnect功效包括一个缓冲区溢出误差，，具有系统外地会见权限的经由认证的攻击者可以使用该误差运行恣意代码并绕过UEFI限制。 。。。。

这并不是Dell盘算机用户第一次遭到 SupportAssist 软件中清静误差的攻击。 。。。。2015年，，在Dell系统检测软件中也发明了一个RCE 误差。 。。。。2019 年 5 月，，Dell修复了一个由清静研究员 Bill Demirkapi 于 2018年报告的SupportAssist 远程代码执行 (RCE) 误差。 。。。。 2020 年 2 月，，SupportAssist再次被修复，，以解决由于 DLL 搜索顺序挟制误差而导致的清静误差。 。。。。最后，，上个月Dell修复了一个可以将非治理员用户的权限提升到内核权限的误差，，它是在数万万台戴尔装备附带的 DBUtil 驱动程序中被发明的。 。。。。

 

0x02 处置惩罚建议

现在，，CVE-2021-21573 和 CVE-2021-21574已经在效劳端修复，，受影响的用户不需要特殊操作；； ；；；；但CVE-2021-21571 和 CVE-2021-21572 需要Dell客户端举行 BIOS更新以修复误差。 。。。。现在Dell正在为受影响的系统提供 BIOS/UEFI 更新，，并在 Dell.com 上对受影响的可执行程序举行更新。 。。。。

用户必需为所有受影响的系统更新系统 BIOS/UEFI，，建议使用 SupportAssist 的 BIOSConnect功效以外的要领举行BIOS更新。 。。。。不可连忙更新系统的用户可以从BIOS设置页面或使用Dell Command | Configure（DCC）的远程系统治理工具禁用BIOSConnect。 。。。。

详细受影响装备和相关修复步伐详见Dell官方的清静通告：

https://www.dell.com/support/kbdoc/zh-cn/000188682/dsa-2021-106-dell-client-platform-security-update-for-multiple-vulnerabilities-in-the-supportassist-biosconnect-feature-and-https-boot-feature

 

0x03 参考链接

https://www.dell.com/support/kbdoc/zh-cn/000188682/dsa-2021-106-dell-client-platform-security-update-for-multiple-vulnerabilities-in-the-supportassist-biosconnect-feature-and-https-boot-feature

https://www.bleepingcomputer.com/news/security/dell-supportassist-bugs-put-over-30-million-pcs-at-risk/

https://www.zdnet.com/article/biosconnect-code-execution-bugs-impact-millions-of-dell-devices/#ftag=RSSbaffb68

 

0x04 时间线

2021-06-24  Dell宣布清静通告

2021-06-25  VSRC宣布清静通告

 

0x05 附录

CVSS评分标准官网：http://www.first.org/cvss/

image.png