Dell SupportAssist 6月多个安全漏洞
发布时间 2021-06-250x00 漏洞概述
CVE ID | 时 间 | 2021-06-25 | |
类 型 | 等 级 | 高危 | |
远程利用 | 影响范围 | ||
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | 无 | |
PoC/EXP | 未公开 | 在野利用 | 否 |
0x01 漏洞详情
2021年06月24日，Dell发布安全更新，修复了Dell SupportAssist 的 BIOSConnect 功能和HTTPS引导功能中的4个安全漏洞。这些漏洞分别为不安全的TLS连接问题（CVE-2021-21571）和3个溢出漏洞（CVE-2021-21572、CVE-2021-21573和CVE-2021-21574），允许攻击者在目标设备的BIOS中执行任意代码，CVSS评分为8.3。
这些漏洞影响了129款Dell型号的商务笔记本电脑、台式机和平板电脑，包括使用Dell安全启动和安全内核PC保护的设备，据表示，大约有3000万台设备受到影响。
漏洞细节
SupportAssist 软件预装在大多数运行 Windows 系统的Dell设备上，而 BIOSConnect 提供远程固件更新和操作系统恢复功能。远程攻击者能够通过一些漏洞利用主机的UEFI固件并获得设备上代码的控制，详情如下：
UEFI BIOS https堆栈证书验证漏洞（CVE-2021-21571）
该漏洞的CVSSv3评分为5.9。由于Dell BIOSConnect功能和Dell HTTPS引导功能使用的Dell UEFI BIOS https堆栈包含一个证书验证漏洞，未经身份验证的远程攻击者可通过中间人攻击来利用该漏洞，导致拒绝服务和Payload篡改。
BIOSConnect缓冲区溢出漏洞（CVE-2021-21572、CVE-2021-21573和CVE-2021-21574）
这些漏洞的CVSSv3评分均为7.2。由于BIOSConnect功能包含一个缓冲区溢出漏洞，具有系统本地访问权限的经过认证的攻击者可以利用该漏洞运行任意代码并绕过UEFI限制。
这并不是Dell计算机用户第一次遭到 SupportAssist 软件中安全漏洞的攻击。2015年，在Dell系统检测软件中也发现了一个RCE 漏洞。2019 年 5 月，Dell修复了一个由安全研究员 Bill Demirkapi 于 2018年报告的SupportAssist 远程代码执行 (RCE) 漏洞。 2020 年 2 月，SupportAssist再次被修复，以解决由于 DLL 搜索顺序劫持漏洞而导致的安全漏洞。最后，上个月Dell修复了一个可以将非管理员用户的权限提升到内核权限的漏洞，它是在数千万台戴尔设备附带的 DBUtil 驱动程序中被发现的。
0x02 处置建议
目前，CVE-2021-21573 和 CVE-2021-21574已经在服务端修复，受影响的用户不需要额外操作；但CVE-2021-21571 和 CVE-2021-21572 需要Dell客户端进行 BIOS更新以修复漏洞。目前Dell正在为受影响的系统提供 BIOS/UEFI 更新，并在 Dell.com 上对受影响的可执行程序进行更新。
用户必须为所有受影响的系统更新系统 BIOS/UEFI，建议使用 SupportAssist 的 BIOSConnect功能以外的方法进行BIOS更新。不能立即更新系统的用户可以从BIOS设置页面或使用Dell Command | Configure（DCC）的远程系统管理工具禁用BIOSConnect。
具体受影响设备和相关修复措施详见Dell官方的安全公告：
https://www.dell.com/support/kbdoc/zh-cn/000188682/dsa-2021-106-dell-client-platform-security-update-for-multiple-vulnerabilities-in-the-supportassist-biosconnect-feature-and-https-boot-feature
0x03 参考链接
https://www.dell.com/support/kbdoc/zh-cn/000188682/dsa-2021-106-dell-client-platform-security-update-for-multiple-vulnerabilities-in-the-supportassist-biosconnect-feature-and-https-boot-feature
https://www.bleepingcomputer.com/news/security/dell-supportassist-bugs-put-over-30-million-pcs-at-risk/
https://www.zdnet.com/article/biosconnect-code-execution-bugs-impact-millions-of-dell-devices/#ftag=RSSbaffb68
0x04 时间线
2021-06-24 Dell发布安全通告
2021-06-25 VSRC发布安全通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号