Dell SupportAssist 6月多個安全漏洞
發布時間 2021-06-250x00 漏洞概述
CVE ID | 時 間 | 2021-06-25 | |
類 型 | 等 級 | 高危 | |
遠程利用 | 影響范圍 | ||
攻擊復雜度 | 可用性 | ||
用戶交互 | 所需權限 | 無 | |
PoC/EXP | 未公開 | 在野利用 | 否 |
0x01 漏洞詳情
2021年06月24日，Dell發布安全更新，修復了Dell SupportAssist 的 BIOSConnect 功能和HTTPS引導功能中的4個安全漏洞。這些漏洞分別為不安全的TLS連接問題（CVE-2021-21571）和3個溢出漏洞（CVE-2021-21572、CVE-2021-21573和CVE-2021-21574），允許攻擊者在目標設備的BIOS中執行任意代碼，CVSS評分為8.3。
這些漏洞影響了129款Dell型號的商務筆記本電腦、臺式機和平板電腦，包括使用Dell安全啟動和安全內核PC保護的設備，據表示，大約有3000萬臺設備受到影響。
漏洞細節
SupportAssist 軟件預裝在大多數運行 Windows 系統的Dell設備上，而 BIOSConnect 提供遠程固件更新和操作系統恢復功能。遠程攻擊者能夠通過一些漏洞利用主機的UEFI固件并獲得設備上代碼的控制，詳情如下：
UEFI BIOS https堆棧證書驗證漏洞（CVE-2021-21571）
該漏洞的CVSSv3評分為5.9。由于Dell BIOSConnect功能和Dell HTTPS引導功能使用的Dell UEFI BIOS https堆棧包含一個證書驗證漏洞，未經身份驗證的遠程攻擊者可通過中間人攻擊來利用該漏洞，導致拒絕服務和Payload篡改。
BIOSConnect緩沖區溢出漏洞（CVE-2021-21572、CVE-2021-21573和CVE-2021-21574）
這些漏洞的CVSSv3評分均為7.2。由于BIOSConnect功能包含一個緩沖區溢出漏洞，具有系統本地訪問權限的經過認證的攻擊者可以利用該漏洞運行任意代碼并繞過UEFI限制。
這并不是Dell計算機用戶第一次遭到 SupportAssist 軟件中安全漏洞的攻擊。2015年，在Dell系統檢測軟件中也發現了一個RCE 漏洞。2019 年 5 月，Dell修復了一個由安全研究員 Bill Demirkapi 于 2018年報告的SupportAssist 遠程代碼執行 (RCE) 漏洞。 2020 年 2 月，SupportAssist再次被修復，以解決由于 DLL 搜索順序劫持漏洞而導致的安全漏洞。最后，上個月Dell修復了一個可以將非管理員用戶的權限提升到內核權限的漏洞，它是在數千萬臺戴爾設備附帶的 DBUtil 驅動程序中被發現的。
0x02 處置建議
目前，CVE-2021-21573 和 CVE-2021-21574已經在服務端修復，受影響的用戶不需要額外操作；但CVE-2021-21571 和 CVE-2021-21572 需要Dell客戶端進行 BIOS更新以修復漏洞。目前Dell正在為受影響的系統提供 BIOS/UEFI 更新，并在 Dell.com 上對受影響的可執行程序進行更新。
用戶必須為所有受影響的系統更新系統 BIOS/UEFI，建議使用 SupportAssist 的 BIOSConnect功能以外的方法進行BIOS更新。不能立即更新系統的用戶可以從BIOS設置頁面或使用Dell Command | Configure（DCC）的遠程系統管理工具禁用BIOSConnect。
具體受影響設備和相關修復措施詳見Dell官方的安全公告：
https://www.dell.com/support/kbdoc/zh-cn/000188682/dsa-2021-106-dell-client-platform-security-update-for-multiple-vulnerabilities-in-the-supportassist-biosconnect-feature-and-https-boot-feature
0x03 參考鏈接
https://www.dell.com/support/kbdoc/zh-cn/000188682/dsa-2021-106-dell-client-platform-security-update-for-multiple-vulnerabilities-in-the-supportassist-biosconnect-feature-and-https-boot-feature
https://www.bleepingcomputer.com/news/security/dell-supportassist-bugs-put-over-30-million-pcs-at-risk/
https://www.zdnet.com/article/biosconnect-code-execution-bugs-impact-millions-of-dell-devices/#ftag=RSSbaffb68
0x04 時間線
2021-06-24 Dell發布安全通告
2021-06-25 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號