BIOS漏洞影响了全球数亿台戴尔电脑

个人电脑制造商戴尔发布了一项更新，以修复自2009年以来未被发现的多个关键权限提升漏洞，这可能使攻击者获得内核模式权限并造成拒绝服务情况。

SentinelOne的研究人员于2020年12月1日向戴尔报告了这些问题，这些问题存在于其设备上预装的名为“dbutil_2_3.sys”的固件更新驱动程序中。据称，该公司生产的数亿台台式机、笔记本电脑、笔记本电脑和平板电脑易受攻击。

“Dell dbutil_2_3.sys驱动程序包含一个访问控制不足的漏洞，可能导致权限升级、拒绝服务或信息泄露。需要本地经过身份验证的用户访问，”Dell在一份建议中说。

所有五个单独的缺陷都被指定为CVE标识符CVE-2021-21551，CVSS分数为8.8。这些缺点的分类如下-

• CVE-2021-21551：当地特权的提升#1和#8211；内存损坏
• CVE-2021-21551：当地特权的提升#2和#8211；内存损坏
• CVE-2021-21551：当地特权的提升#3和#8211；缺乏输入验证
• CVE-2021-21551：当地特权的提升#4和#8211；缺乏输入验证
• CVE-2021-21551：拒绝服务–；代码逻辑问题

SentinelOne高级安全研究员卡西夫·德克尔（Kasif Dekel）在周二的一份分析报告中指出：“这些严重性很高的漏洞可能会允许计算机上的任何用户，即使没有权限，也可以升级他们的权限，并在内核模式下运行代码。”。“这些漏洞的明显滥用包括它们可能被用来绕过安全产品。”

由于这些是本地权限升级漏洞，因此不太可能通过internet远程利用它们。要执行攻击，对手需要获得对易受攻击系统上非管理员帐户的访问权限，然后才能滥用驱动程序漏洞来获得本地权限提升。通过这种访问，攻击者可以利用其他技术执行任意代码，并在组织的网络中横向移动。

虽然没有检测到野生滥用的证据，但StEnelelOne表示，它计划在2021年6月1日发布概念证明（PoC）代码，给戴尔客户充足的时间来补救该漏洞。

据Crowdtrike的首席架构师Alex Ionescu称，SentinelOne的披露是过去两年来第三次向戴尔报告同一问题，该公司先是在2019年由总部位于桑尼维尔的网络安全公司披露，后又由IOActive披露。戴尔还将报告该漏洞归功于OSR开放系统资源公司的Scott Noone。