In der von Dell angebotenen Technologie fĂŒr die Remote-Wiederherstellung von Betriebssystemen und Firmware-Updates (BIOSConnect und HTTPS Boot) wurden SicherheitsanfĂ€lligkeiten entdeckt, die es ermöglichen, die installierten BIOS/UEFI-Firmware-Updates zu manipulieren und remote Code auf Firmware-Ebene auszufĂŒhren. Der gestartete Code kann den Anfangszustand des Betriebssystems Ă€ndern und zur Umgehung von implementierten Schutzmechanismen verwendet werden. Die SicherheitsanfĂ€lligkeiten betreffen 129 Modelle verschiedener Laptops, Tablets und PCs von Dell, einschlieĂlich derjenigen, die durch UEFI Secure Boot und Dell Secured-core-Technologien geschĂŒtzt sind.
Die Schwachstelle CVE-2021-21571 resultiert aus einer fehlerhaften ZertifikatsĂŒberprĂŒfung Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden. von dell.com im HTTPS-Stack, der in UEFI/BIOS-Firmwares verwendet wird, die die Technologien Dell BIOSConnect und Dell HTTPS Boot unterstĂŒtzen. Das Problem ermöglicht es einem nicht authentifizierten externen Angreifer, einen MITM-Angriff durchzufĂŒhren, sich als Dell.com auszugeben und ĂŒbertragene Daten zu manipulieren. Bei der Verbindung des BIOS mit dem Dell-Server wird in BIOSConnect jedes gĂŒltige TLS-Zertifikat, das eine Gruppe von Subdomains unter einer Wildcard abdeckt.
Die Schwachstellen CVE-2021-21572, CVE-2021-21573 und CVE-2021-21574 hĂ€ngen mit BufferĂŒberlĂ€ufen im Dell BIOSConnect-Code zusammen und ermöglichen es einem lokalen Administrator oder einem entfernten Angreifer, der die Schwachstelle CVE-2021-2157 ausnutzt, seinen Code auf Firmware-Ebene auszufĂŒhren und UEFI-EinschrĂ€nkungen zu umgehen. Die Schwachstellen CVE-2021-21573 und CVE-2021-21574 sind auf der Seite der Dell Serverinfrastruktur vorhanden und wurden bereits behoben. Die Schwachstellen CVE-2021-21571 und CVE-2021-21572 betreffen die Benutzerseite und erfordern ein Firmware-Update. Als vorlĂ€ufiger Schutz kann die UnterstĂŒtzung der BIOSConnect-Technologie im BIOS deaktiviert werden.
Quelle: opennet.ru
